Las contraseñas tienen tres problemas difíciles de resolver: se reutilizan, se filtran y se pueden adivinar. La verificación en dos pasos, conocida como 2FA, agrega un segundo factor y reduce el daño cuando la contraseña se compromete. Las passkeys van un paso más allá: eliminan la contraseña y usan criptografía de clave pública. No son lo mismo, y conviene saber qué protege cada opción.

Qué es la verificación en dos pasos

La 2FA combina dos cosas distintas: algo que sabes, como una contraseña, y algo que tienes o que eres, como un código temporal, un dispositivo físico o una huella. Si un atacante obtiene la contraseña, todavía necesita el segundo factor. La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) lo resume así: la contraseña, por sí sola, no está protegiendo la cuenta como se cree.

Los métodos, de menor a mayor protección

  • Códigos por SMS. Mejoran frente a la contraseña sola, pero son vulnerables al intercambio de tarjeta SIM y a la interceptación. Sirven como último recurso, no como primera opción.
  • Aplicaciones de autenticación. Generan códigos temporales en el propio teléfono, sin depender de la red móvil. Son más resistentes que el SMS, aunque un sitio de phishing en tiempo real puede pedir el código y usarlo al instante.
  • Notificaciones push y códigos por correo. Cómodos, pero expuestos al cansancio por notificaciones y al compromiso del correo.
  • Llaves de seguridad físicas. Implementan estándares como FIDO2 y verifican el origen del sitio. Resisten el phishing porque la clave no se entrega a un dominio distinto.
  • Passkeys. Sustituyen la contraseña por un par de claves: la privada se queda en el dispositivo y la pública en el servicio. No hay contraseña que robar ni código que interceptar.

El NIST, en su publicación especial 800-63B, ordena los autenticadores por nivel de garantía y exige resistencia al phishing en los niveles más altos. Esa clasificación es la que explica por qué una llave física o una passkey protegen más que un código por SMS.

Cómo funcionan las passkeys

Una passkey se apoya en criptografía asimétrica. El servicio guarda la clave pública; el dispositivo, la privada. Para entrar, el dispositivo firma un desafío que solo tiene sentido para el dominio correcto. Si un atacante clona la página de inicio de sesión en otro dominio, la firma no se produce. Además, la clave privada puede sincronizarse entre dispositivos del mismo ecosistema, lo que facilita la recuperación si se pierde el teléfono.

La alianza FIDO, que impulsa el estándar, presenta las passkeys como una autenticación sin contraseña y resistente al phishing. Es importante entender el matiz: resistente no significa invulnerable. Si el dispositivo está comprometido, si la cuenta de recuperación es débil o si el usuario aprueba una solicitud engañosa, el ataque puede funcionar por otra vía.

Cómo configurarlo sin quedar afuera

  • Empiece por el correo electrónico, que es la llave maestra para recuperar el resto de las cuentas.
  • Active 2FA con aplicación de autenticación antes de probar con SMS.
  • Registre un segundo método de respaldo y guarde los códigos de recuperación en un lugar seguro, fuera del teléfono.
  • Pruebe el acceso desde otro dispositivo antes de cerrar sesión en todos lados.
  • Adopte passkeys en los servicios que ya las ofrecen; suelen convivir con la contraseña durante una transición.

Los ataques que la 2FA no detiene

La autenticación multifactor no corrige todos los errores. El phishing en tiempo real puede reenviar códigos; el cansancio por notificaciones push puede llevar a aprobar un acceso por error; el intercambio de SIM puede secuestrar el número; y la ingeniería social puede convencer a la víctima de compartir un código. La defensa incluye desconfiar de los mensajes que piden credenciales, verificar siempre la dirección del sitio y no aprobar solicitudes que no se iniciaron.

La 2FA compra tiempo y eleva el costo del ataque; las passkeys, además, hacen que la contraseña robada deje de ser útil.

Si sospecha un acceso no autorizado, cambie la contraseña, revoque las sesiones activas y revise la lista de dispositivos vinculados, incluidos los que no reconozca. Revise también los permisos de las aplicaciones conectadas: una cuenta puede perderse por una integración débil. La autenticación protege la puerta principal, no las puertas laterales que abren esas integraciones. Ninguna medida es definitiva. La combinación de contraseñas únicas, un segundo factor robusto, passkeys cuando existan y revisiones periódicas de accesos es lo que mantiene una cuenta bajo control.