El 81% de las brechas de seguridad relacionadas con hackeo se deben a contraseñas robadas, reutilizadas o demasiado débiles, según el informe anual de Verizon sobre investigaciones de brechas de datos. No es un fallo técnico sofisticado: es, casi siempre, una contraseña que alguien ya tenía apuntada en otro sitio. Y sin embargo, existe desde hace 40 años una solución que reduce ese riesgo de forma drástica. Esta es la historia de cómo llegó hasta el móvil de todos nosotros.
Quién inventó la verificación en dos pasos, y cuándo
La idea de exigir dos pruebas de identidad distintas para entrar en un sistema no nació en internet, sino en la banca y el ejército de los años 80. El inventor con nombre y apellido es Kenneth P. Weiss, un ingeniero que en 1984 fundó la empresa Security Dynamics con una idea muy concreta: un pequeño dispositivo físico, del tamaño de una llave, que mostrara un número distinto cada minuto. Ese número tenía que coincidir exactamente con el que calculaba el servidor en ese mismo instante — si coincidía, la identidad quedaba confirmada.
Ese dispositivo se llamó SecurID, y a finales de los años 80 empezó a venderse a bancos, agencias gubernamentales y grandes empresas — el Departamento de Defensa de EE.UU. y varias agencias federales lo adoptaron entre sus primeros clientes. En 1993, Security Dynamics compró una pequeña empresa de cifrado llamada RSA, y con el tiempo pasó a llamarse RSA Security — por eso hoy en día a esos dispositivos aún se los conoce como «tokens RSA».
El momento en que se convirtió en un estándar abierto
Google Authenticator no inventó un sistema propio desde cero: implementó un borrador de estándar que un grupo de empresas de seguridad (la alianza OATH, Open Authentication) llevaba tiempo desarrollando en conjunto, precisamente para que cualquiera pudiera construir apps compatibles entre sí sin depender de una sola marca. En mayo de 2011, ese borrador se formalizó como estándar oficial de internet con el nombre TOTP (Time-based One-Time Password, documento técnico RFC 6238). Desde entonces, Microsoft Authenticator, Authy, y prácticamente cualquier app de este tipo que exista hoy hablan literalmente «el mismo idioma» matemático, aunque las haga una empresa distinta.
Un poco de contexto: por qué la contraseña sola dejó de bastar
La contraseña como método de acceso a un ordenador se remonta a 1961, en el MIT, para repartir el tiempo de uso de un ordenador compartido entre varios usuarios. En ese momento tenía sentido: pocas personas, pocos sistemas, y nadie pensando en robarla de forma masiva. Sesenta años después, una persona media gestiona decenas de cuentas online, y la tentación de reutilizar la misma contraseña en varias es casi universal — según distintos estudios de gestores de contraseñas, más del 60% de los usuarios reconoce reutilizar contraseñas entre servicios.
Ese hábito es, precisamente, el que rompe el modelo: cuando un servicio cualquiera sufre una filtración (y ocurre constantemente, en empresas de todos los tamaños), esa misma combinación de usuario y contraseña se prueba automáticamente contra miles de otros sitios — un ataque conocido como credential stuffing («relleno de credenciales»: probar la misma contraseña filtrada en cientos de sitios distintos a la vez, de forma automática). Tu WordPress no tiene por qué haber sido atacado directamente para verse afectado: basta con que reutilices en algún sitio una contraseña que se filtró en otro completamente distinto.
Qué es exactamente la autenticación en dos pasos (2FA), explicado sin tecnicismos
2FA (siglas de Two-Factor Authentication, autenticación de dos factores) significa, en la práctica, pedirte dos pruebas distintas de que eres tú, no solo una. La seguridad informática clasifica esas pruebas en tres categorías:
| Categoría | Ejemplo cotidiano | Punto débil |
|---|---|---|
| Algo que sabes | Tu contraseña, un PIN | Se puede robar, filtrar o adivinar sin que tú lo notes |
| Algo que tienes | Tu móvil, con una app que genera un código | Necesita el objeto físico contigo en ese momento — por eso es tan efectivo |
| Algo que eres | Tu huella dactilar o tu cara | Menos común en webs, más habitual para desbloquear el propio móvil |
2FA exige combinar dos categorías distintas de la tabla de arriba — no basta con dos contraseñas, ni con responder dos preguntas de seguridad; eso sigue siendo «algo que sabes» repetido dos veces. Para entrar hacen falta la contraseña (categoría 1) y, además, el código que solo genera tu móvil físico en ese instante (categoría 2). Que un atacante tenga tu contraseña, por sí sola, ya no es suficiente para entrar.
Cómo funciona el código que cambia cada 30 segundos (sin matemáticas complicadas)
Cuando activas 2FA con una app como Google Authenticator, tu servidor y tu móvil se ponen de acuerdo en un secreto compartido en el momento de la activación — eso es lo que hace el código QR que escaneas la primera vez, es una forma cómoda de transmitir ese secreto sin tener que escribirlo a mano. A partir de ahí, ambos —de forma completamente independiente, sin necesidad de que el móvil tenga conexión a internet— calculan el mismo código de 6 dígitos usando ese secreto combinado con la hora actual. Como los dos relojes están sincronizados, ambos llegan al mismo número sin comunicarse en tiempo real, cada 30 segundos. Es, literalmente, el resultado de una fórmula matemática aplicada al momento exacto en que lo miras — nada mágico, solo un cálculo que solo tú y el servidor podéis reproducir porque solo vosotros dos conocéis el secreto de partida.
Qué ataques bloquea 2FA (y cuál no)
| Tipo de ataque | En qué consiste | ¿Lo bloquea 2FA? |
|---|---|---|
| Credential stuffing | Probar contraseñas filtradas en otro sitio | Sí — sin el segundo factor, ni entra |
| Fuerza bruta / diccionario | Probar miles de contraseñas comunes automáticamente | Sí — acertar la contraseña ya no basta |
| Keylogger en un equipo compartido | Software que registra lo que tecleas | Sí — captura la contraseña, pero no el código del móvil |
| Phishing en tiempo real muy sofisticado | Web falsa que retransmite tu código al atacante en el mismo segundo | No del todo — raro, pero existe |
Por eso 2FA es una capa más de protección, no una barrera mágica que sustituye a todas las demás — pero cubre, con diferencia, el escenario más común y más barato de ejecutar para un atacante.
Por qué el SMS es el método más débil de todos (y por qué muchos ya lo evitan)
Durante años, recibir el código por SMS fue el estándar más extendido, porque no requería instalar nada. Hoy se considera el eslabón más débil de los métodos habituales, por un ataque específico: el SIM swapping («intercambio de SIM»). Un atacante convence a tu operador de telefonía de que «eres tú» — a veces con datos personales obtenidos en otra filtración previa — y consigue que tu número de teléfono se traspase a una tarjeta SIM que controla él. A partir de ese momento, todos los SMS que te enviarían a ti —incluidos los códigos de 2FA— le llegan a él, no a ti, sin que tu móvil deje de funcionar de forma evidente.
Por eso el NIST (el instituto de estándares de tecnología de EE.UU.) desaconseja el SMS como segundo factor desde 2016, y recomienda apps de autenticación como alternativa mucho más robusta: el código se genera en tu propio dispositivo, sin pasar por la red del operador de telefonía en ningún momento del proceso.
| Método | Facilidad de uso | Nivel de seguridad | Punto débil principal |
|---|---|---|---|
| Código por SMS | Muy alta — no requiere instalar nada | Bajo | SIM swapping |
| App Authenticator (TOTP) | Alta, tras una activación de 1 minuto | Alto | Ninguno grave conocido para uso normal |
| Código por Email | Muy alta — sin apps nuevas | Medio-Alto | Depende de que tu propio email esté bien protegido |
| Llave física de seguridad (FIDO2/U2F) | Media — hay que comprar y llevar el dispositivo | Muy alto | Coste y riesgo de perder la llave física |
Entonces, ¿por qué no lo usa todo el mundo todavía?
La razón principal no es técnica, es de fricción: activar 2FA se siente como «un paso más» y mucha gente lo pospone hasta que ya es tarde. La paradoja es que ese paso de más tarda menos de un minuto la primera vez, y después es casi invisible en el día a día — escaneas el código una vez y listo, no hay que repetir el proceso en cada visita.
Preguntas frecuentes
¿2FA me protege si mi contraseña ya ha sido filtrada?
Sí, y es precisamente el escenario donde más marca la diferencia: aunque un atacante tenga tu contraseña exacta, sin el segundo factor no puede completar el acceso.
¿Un atacante puede saltarse el 2FA si me roba el móvil físicamente?
Solo si además tiene tu contraseña y consigue desbloquear el teléfono (huella, PIN o cara) — son tres barreras distintas a la vez, no una. Es un escenario mucho más improbable y costoso para un atacante que robar una contraseña filtrada desde el otro lado del mundo, que es como ocurre casi todo el «hackeo» real.
¿Necesito conexión a internet en el móvil para generar el código?
No — y esa es una de las ventajas más subestimadas del método TOTP frente al SMS. El código se calcula localmente en el teléfono a partir del secreto compartido y la hora, sin enviar ni recibir nada por red. Funciona igual en modo avión.
¿Puedo perder el acceso si pierdo el móvil?
Es el motivo por el que la mayoría de sistemas serios ofrecen un método de recuperación alternativo (códigos de respaldo, un segundo factor por email) — conviene configurarlo desde el primer día, no cuando ya lo necesitas.