Qué es la autenticación de dos factores y cómo activarla

Definición

Kaspersky (artículo en español consultado el 08/09/2026) describe la 2FA como un proceso de seguridad que requiere que los usuarios verifiquen sus identidades con dos tipos separados de factores de autenticación. La palabra clave es tipos: escribir dos contraseñas no es 2FA, porque ambas son del mismo tipo. La seguridad viene de combinar categorías distintas, de modo que un atacante tenga que vulnerar dos cosas independientes.

Los tipos de factores

Según Kaspersky, los factores se agrupan en categorías:

• De conocimiento: contraseñas, PIN o respuestas a preguntas de seguridad.
• De posesión: dispositivos físicos como tokens de seguridad, aplicaciones de autenticación o teléfonos inteligentes.
• Biométricos: huella digital, reconocimiento facial o de voz.
• De ubicación: verificación mediante dirección IP o GPS.
• De tiempo: restricciones temporales de acceso.
• De comportamiento: patrones de conducta del usuario.

La 2FA habitual combina conocimiento (contraseña) con posesión (celular o llave) o con biometría. Los factores de ubicación, tiempo y comportamiento suelen usarse como capas adicionales en sistemas empresariales, por ejemplo para pedir una verificación extra cuando alguien entra desde un país nuevo.

Métodos más comunes, de menos a más seguro

Kaspersky enumera como métodos comunes los SMS con contraseñas de un solo uso, las aplicaciones de autenticación, las llaves de seguridad físicas y la verificación biométrica. Cómo se comparan en la práctica:

1. Código por SMS o correo. El más fácil de activar y el más débil: depende de la línea telefónica o del correo, que pueden ser interceptados o duplicados. Mejor que nada, pero no para cuentas críticas.
2. Aplicación de autenticación. Genera códigos temporales en el celular sin necesidad de señal. Es el estándar recomendado para la mayoría de cuentas de una empresa; gratuita y compatible con casi todos los servicios.
3. Notificación en la app del servicio. Un aviso para aprobar el ingreso. Cómodo, pero vulnerable a la fatiga de solicitudes: si el atacante manda muchas, alguien termina aprobando una.
4. Llave de seguridad física. Un dispositivo USB o NFC que se conecta o acerca al equipo. Es el método más resistente al phishing, porque la llave solo responde al sitio legítimo. Recomendado para administradores, finanzas y cuentas con acceso a datos de clientes.
5. Biometría del dispositivo. Huella o rostro para desbloquear la llave o la app. Cómodo y seguro cuando el dispositivo es de confianza.

Ventajas y límites

Kaspersky destaca que la 2FA puede ayudar a evitar fraudes que requieren información personal, incluido el robo de identidad, que minimiza el acceso no autorizado y que reduce el riesgo de más ataques en caso de contraseñas comprometidas. Ese último punto es el que más importa a una empresa: las contraseñas se filtran, se reutilizan y se adivinan; con 2FA, una filtración deja de ser una emergencia.

Sobre los límites, el mismo artículo advierte que aunque la 2FA mejora la seguridad en línea, no ofrece una protección del cien por ciento, porque los atacantes pueden usar phishing o abrumar con solicitudes falsas. Traducido: si alguien escribe su código en una página falsa, o aprueba una notificación que no pidió, el segundo factor no lo salva. Por eso el método importa (las llaves físicas resisten el phishing) y por eso la 2FA se combina con capacitación; las demás capas están en mejores prácticas de ciberseguridad empresarial.

2FA y MFA

Según Kaspersky, la 2FA es un tipo de MFA (autenticación multifactor); la única diferencia es que la 2FA requiere exactamente dos factores, mientras que la MFA puede necesitar más de dos. En la práctica, los servicios usan ambos términos y lo importante es que exista al menos un segundo factor de categoría distinta a la contraseña.

Dónde activarla primero en tu empresa

Prioriza por daño potencial:

1. Correo corporativo: es la llave de todo lo demás, porque con el correo se restablecen las otras contraseñas.
2. Administración del dominio, hosting y DNS: quien controla eso controla tu web y tu correo; las bases están en hosting y dominio.
3. Panel del CMS y del ecommerce: el acceso de administrador a tu web; su protección forma parte del mantenimiento web: seguridad y rendimiento.
4. Banca, pasarelas de pago y facturación electrónica.
5. Sistemas internos: ERP, CRM, intranet, herramientas de RR. HH. Si construyes o contratas una intranet, la 2FA debería ser requisito desde el diseño; su alcance está en intranet empresarial: qué es y cuándo la necesitas.
6. Cuentas de redes sociales y publicidad, que suelen compartirse entre varias personas y agencias.
7. WhatsApp Business: activa la verificación en dos pasos, sobre todo si el número recibe pedidos o pagos; hay más recomendaciones en CRM para WhatsApp en empresas peruanas.

Cómo implantarla sin fricción

• Exige 2FA por política, no por recomendación: la mayoría de servicios empresariales permiten obligarla a todos los usuarios.
• Elige aplicación de autenticación como estándar y llaves físicas para administradores y finanzas.
• Guarda los códigos de recuperación en un gestor de contraseñas de la empresa, no en un correo.
• Define qué pasa cuando alguien pierde el celular: un procedimiento de verificación de identidad y de restablecimiento, con responsable.
• Al desvincular a un colaborador, revoca sus dispositivos de segundo factor el mismo día, junto con sus accesos; la lógica es la misma que en el control físico de ingreso, que repasamos en tipos de control de acceso.
• Capacita con un mensaje simple: nunca escribas un código en una página a la que llegaste por un enlace, y nunca apruebes un ingreso que no iniciaste tú.

Si tu empresa trata datos personales de clientes, estas medidas también ayudan a cumplir las obligaciones de seguridad de la Ley 29733, Ley de Protección de Datos Personales, y su reglamento, el Decreto Supremo 016-2024-JUS. Esta mención es orientativa y no reemplaza asesoría legal. El panorama completo de riesgos para una empresa está en ciberseguridad en la empresa.

Qué hacer ahora

Haz una lista de las siete cuentas críticas de arriba y marca cuáles tienen 2FA activa y con qué método. Activa hoy la aplicación de autenticación en el correo y en el panel del dominio, y planifica las llaves físicas para los administradores. Si quieres que revisemos los accesos de tu web, tu intranet o tus sistemas e implementemos 2FA y control de accesos por rol, escríbenos por WhatsApp.