¿Qué es el doble factor de autenticación?
Es confirmar tu identidad de al menos dos maneras distintas al entrar en una cuenta: algo que sabes, como la contraseña; algo que tienes, como el móvil o una llave; o algo que eres, como la huella. Si alguien roba la contraseña, sin el segundo factor no entra. En inglés se llama MFA o 2FA.
La definición es de INCIBE: «el proceso de seguridad por el cual un usuario debe confirmar su identidad de al menos 2 maneras diferentes» (INCIBE, 10-09-2020). CISA, la agencia de ciberseguridad de Estados Unidos, explica el efecto: si se compromete un factor, como la contraseña, quien no tenga también el segundo no puede entrar, y eso frena técnicas comunes como probar las mismas contraseñas en muchas cuentas a la vez.
| Factor | Ejemplos que da INCIBE |
|---|---|
| Algo que sabes | Contraseña, PIN |
| Algo que tienes | Generador de claves, tarjeta de coordenadas, memoria USB de autenticación, aplicación que genera códigos temporales |
| Algo que eres | Huella dactilar, reconocimiento facial, voz |
¿Cuánto protege el doble factor?
Según Microsoft, la autenticación multifactor junto con el bloqueo de la autenticación heredada detiene más del 99,9 % de los ataques comunes contra la identidad. No lo para todo: CISA advierte de que algunos métodos caen ante el phishing, el bombardeo de notificaciones o el duplicado de la SIM. Por eso importa qué método eliges.
99,9 %
de los ataques comunes contra la identidad se detienen con la autenticación multifactor y el bloqueo de la autenticación heredada, según Microsoft en la documentación de sus valores predeterminados de seguridad (actualizada en julio de 2025).
Dos matices para leer bien esa cifra. Es de Microsoft, sobre sus servicios, y habla de ataques «comunes», no de todos. Y va unida a otra medida: bloquear la autenticación heredada, que son los protocolos antiguos de correo como IMAP, SMTP o POP3. Esos protocolos no admiten el doble factor, así que, según Microsoft, un atacante puede entrar por ellos con la contraseña aunque el doble factor esté activado.
| Ataque | Cómo funciona | A qué métodos afecta |
|---|---|---|
| Phishing | Una web falsa que imita la de tu correo te pide la contraseña y el código, y el atacante los usa al momento | A todos los que obligan a teclear un código |
| Bombardeo de notificaciones | Avisos de inicio de sesión sin parar hasta que alguien pulsa «Aceptar» | A la notificación que solo pide aceptar |
| Fallos de la red telefónica (SS7) | Se interceptan los códigos que llegan por SMS o por llamada | Al SMS y la llamada |
| Duplicado de SIM | Convencen a la operadora para pasar tu número a una tarjeta suya | Al SMS y la llamada |
¿Qué tipos de doble factor hay y cuál es más seguro?
CISA los ordena del más al menos seguro: primero las llaves de seguridad y los métodos FIDO, que resisten el phishing; después la aplicación con código o con una notificación que pide escribir un número; luego la notificación que solo pide aceptar; y al final el SMS o la llamada, como último recurso y temporal.
| Método | Resiste | No resiste | Qué dice CISA |
|---|---|---|---|
| Llave de seguridad o llave de acceso (FIDO) | Phishing, bombardeo de notificaciones, SS7 y duplicado de SIM | — | Es el estándar de referencia; empezar por los administradores |
| Aplicación con código o notificación con número | Bombardeo de notificaciones, SS7 y duplicado de SIM | Phishing | La mejor opción para pymes que aún no pueden usar llaves |
| Notificación que solo pide aceptar | SS7 y duplicado de SIM | Bombardeo de notificaciones y errores del usuario | Añadirle la coincidencia de número |
| SMS o llamada | — | Phishing, SS7 y duplicado de SIM | Último recurso, solo mientras se pasa a otro método |
Una llave de acceso (en inglés, passkey) es la misma tecnología FIDO guardada en el móvil o en el portátil en lugar de en un aparato aparte: CISA distingue las llaves físicas que se conectan por USB o NFC de las integradas en portátiles y móviles. Google dice en su ayuda para administradores que las llaves de acceso y las llaves de seguridad tienen el mismo nivel de protección contra el phishing (Google, «Implementa la verificación en 2 pasos»).
La razón de la diferencia está en el apartado 3.2.5 de la guía del NIST de 2025: un método en el que la persona teclea un código no resiste el phishing, porque una web falsa puede pasar ese código a la verdadera en el acto. Las llaves FIDO firman cada inicio de sesión ligado a la dirección de la web en la que están, así que lo que entreguen a una web falsa no sirve en la verdadera, por mucho que se parezcan.
¿Es seguro el doble factor por SMS?
Mejor que nada, pero es el método más débil. CISA lo deja como último recurso y temporal, porque el código puede robarse con un duplicado de la tarjeta SIM o por fallos de la red telefónica. NIST SP 800-63B-4 lo clasifica como autenticador restringido: quien lo admita debe ofrecer al menos otra alternativa.
En la guía del NIST de julio de 2025, enviar códigos por la red telefónica es el único autenticador restringido (apartados 3.1.3.3 y 3.2.9). Restringido no es prohibido: quien lo acepte tiene que valorar el riesgo, avisar a los usuarios y ofrecerles al menos un método que no lo sea. NIST añade que puede cambiar esa clasificación según evolucione la amenaza.
En Google Workspace se puede forzar «Cualquier método, excepto los códigos de verificación por mensaje de texto o llamada telefónica». Google advierte de que quien siga usando el SMS no podrá entrar en su cuenta, así que antes hay que pedir a cada persona que registre otro método y darle una fecha.
¿Qué es la fatiga de notificaciones y cómo se evita?
Es un ataque: quien ya tiene tu contraseña lanza avisos de inicio de sesión sin parar hasta que pulsas «Aceptar» por cansancio. Se corta con la coincidencia de número, que obliga a escribir en la aplicación el número de la pantalla, y con una regla: si no lo has pedido, no lo apruebes.
CISA lo llama «push bombing» o «push fatigue»: bombardear a la persona con notificaciones hasta que pulsa «Aceptar». Microsoft incluye la coincidencia de número en sus valores predeterminados de seguridad: al iniciar sesión, la pantalla muestra un número que hay que escribir en Microsoft Authenticator, y según Microsoft esa medida ayuda a evitar los ataques de fatiga.
¿Estabas entrando tú en ese momento?
- Sí
- Escribe el número que ves en la pantalla y sigue.
- No
- Pulsa «No» o «Denegar». Nunca «Aceptar».
¿Te han llegado varios avisos seguidos?
- Sí
- Alguien tiene tu contraseña: cámbiala desde un equipo de confianza.
- No
- Sigue al paso 3.
Avisa a quien lleva la seguridad de la empresa, con la hora de cada aviso.
Si además notas reglas de correo que no creaste o mensajes enviados que no reconoces, la cuenta puede estar tomada: el paso a paso está en te han robado la cuenta de correo.
¿Dónde se activa primero el doble factor en una empresa?
Donde más daño hace una cuenta robada: el correo, porque desde él se restablecen las contraseñas de casi todo; las cuentas de administrador; los accesos remotos, como la VPN o el escritorio remoto; la banca y los pagos; y los programas en la nube con datos de clientes. CISA e INCIBE empiezan por el correo.
| Cuenta | Por qué antes | Método |
|---|---|---|
| Administradores de Microsoft 365, Google Workspace y el dominio | Según CISA, quien roba un administrador puede llegar a cualquier sistema y dato | Llave de seguridad, con otra de repuesto |
| Correo de todo el equipo | Desde él se restablecen las contraseñas de otros servicios | Aplicación con número o llave |
| VPN y escritorio remoto | CISA cita los accesos remotos entre los objetivos habituales | Aplicación con número o llave |
| Banca y plataformas de pago | Mueven dinero | El que ofrezca el banco, mejor que el SMS si hay otro |
| Programas en la nube y almacenamiento de archivos | Guardan datos de clientes | El del correo, mejor con inicio de sesión único |
CISA pide doble factor para todos los usuarios y todos los servicios, incluidos el correo, el intercambio de archivos y el acceso a cuentas financieras, y añade que muchos programas lo admiten a través del inicio de sesión único de la empresa. INCIBE, en su guía para empresas, cita en primer lugar las cuentas de correo, junto a la banca en línea y los archivos en la nube. Si tu empresa tiene el escritorio remoto abierto a internet, lee antes por qué un escritorio remoto expuesto es un riesgo.
¿Cómo se activa el doble factor en Microsoft 365 y en Google Workspace?
En Microsoft 365, con los valores predeterminados de seguridad: Microsoft los activa al crear cuentas de empresa nuevas, y si la tuya es de octubre de 2019 o posterior puede que ya los tenga. En Google Workspace, permitiendo la verificación en dos pasos y forzándola por departamento, con una fecha y los métodos que admites.
| Qué mirar | Microsoft 365 | Google Workspace |
|---|---|---|
| Cómo se llama | Valores predeterminados de seguridad (Microsoft Entra ID) | Verificación en 2 pasos |
| De serie | Activados en las cuentas nuevas, con 24 horas de margen antes de aplicarse | Hay que permitirla y forzarla; Google la está haciendo obligatoria por fases para los administradores |
| Plazo para registrarse | Sin los 14 días de gracia desde el 29 de julio de 2024 | Para los nuevos, de 1 día a 6 meses; mientras, entran solo con contraseña |
| Métodos | Microsoft Authenticator con notificación y número, o códigos de otras aplicaciones | Cualquiera; cualquiera menos SMS o llamada; o solo llave de seguridad o de acceso |
| Administradores | Doble factor en cada inicio de sesión | Llave de seguridad recomendada, con una de repuesto |
| Por si falla todo | Dos cuentas de acceso de emergencia con rol de administrador global | Más de un superadministrador, cada uno de una persona distinta |
Administradores primero, con llave de seguridad y otra de repuesto.
Aviso al equipo: qué es, por qué, si es obligatorio, qué método y la fecha límite.
Registro de todos, con ayuda el primer día y seguimiento en los informes de la consola.
¿Queda alguien sin registrar en la fecha?
- Sí
- Habla con esa persona antes de forzarlo: sacarla de la regla no es la solución.
- No
- Activa la aplicación forzosa.
Revisa las excepciones: cuentas de servicio, impresoras o escáneres que envían correo y programas antiguos.
La configuración completa de cada uno está en seguridad en Microsoft 365 y seguridad en Google Workspace. Un detalle que conviene prever: al bloquear los protocolos antiguos, los aparatos que envían correo con ellos, como algunas impresoras multifunción, hay que configurarlos de otra forma; Microsoft lo explica junto a ese aviso.
¿Qué hacer si alguien pierde el móvil con el doble factor?
Tenerlo previsto antes: cada persona con un segundo método registrado o con códigos de respaldo guardados, y alguien con permiso de administración que verifique su identidad y le restablezca el acceso. Google permite al administrador generar códigos de respaldo para un usuario, y Microsoft recomienda dos cuentas de emergencia para no quedarse fuera.
Cuentas de administrador
- Llave de seguridad y una segunda de repuesto, guardada en otro sitio
- Cuenta para administrar, separada de la de uso diario
- Dos cuentas de emergencia en Microsoft 365, o dos superadministradores en Google Workspace
Excepciones
- Cuentas de servicio y de sincronización identificadas, sin otros usos
- Impresoras, escáneres y programas que envían correo, revisados
- Protocolos antiguos de correo bloqueados
Procedimiento escrito
- Qué hace quien pierde el móvil y a quién llama
- Cómo se comprueba que es esa persona: llamada al número de siempre o en persona
- Quién restablece el acceso y dónde se anota
Google recomienda además que cada administrador inscriba más de una llave de seguridad y guarde la segunda en un lugar seguro (Google, prácticas para cuentas de administrador). Si un cliente o una aseguradora te pregunta si tienes doble factor, la prueba es una captura de la consola, con fecha y el número de cuentas que lo tienen, guardada en tu dossier de evidencias.
Lo que esta guía no cubre
- La configuración paso a paso en cada programa: cambia con cada versión y está en la ayuda de su fabricante.
- El doble factor de la banca en línea, que decide cada banco.
- La firma y la identificación con certificado digital ante la Administración: está en la guía del certificado digital de la empresa.
Preguntas frecuentes
¿No es muy pesado tener que poner el código cada vez?
No se pide cada vez. Microsoft decide cuándo pedirlo según la ubicación, el dispositivo, el rol y la tarea. Google permite marcar un dispositivo como de confianza, aunque no lo recomienda salvo que la gente cambie de dispositivo a menudo.
¿Sirve recibir el código por correo electrónico?
Poco. CISA agrupa los códigos que llegan por SMS, por voz o por correo en el método más débil. Y si el código llega al mismo buzón que intentas proteger, quien entre en ese buzón tendrá también el segundo factor.
¿Qué es una llave de acceso o passkey?
Es la tecnología FIDO, la que CISA considera resistente al phishing, guardada en el móvil o en el portátil en lugar de en una llave física aparte. Google la admite igual que una llave de seguridad en su opción «Solo llave de seguridad».
¿Hay que poner doble factor a las cuentas de servicio?
Google no exige la verificación en dos pasos a las cuentas de servicio, pero sí a la cuenta de administrador a la que suplantan. Microsoft excluye las cuentas de sincronización y pide no usarlas para nada más. Identifícalas y que no tengan otro uso.
Fuentes
- CISA, «Implementing Phishing-Resistant MFA» (octubre de 2022), consultado el
- NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management (julio de 2025), apartados 3.1.3.3, 3.2.5 y 3.2.9, consultado el
- Microsoft Learn, «Valores predeterminados de seguridad en Microsoft Entra ID» (actualizada el 21-07-2025), consultado el
- INCIBE, «Asegura tus cuentas de usuario con la autenticación de doble factor» (10-09-2020), consultado el
- Ayuda de Google Workspace para administradores, «Implementa la verificación en 2 pasos», consultado el
- Ayuda de Google Workspace, «Prácticas recomendadas de seguridad para cuentas de administrador», consultado el
Registro de cambios
- : Publicación.
- : Los encabezados pasan a ser preguntas.
- : Reescrita entera: los métodos, ordenados con la guía de CISA; el SMS como autenticador restringido de NIST SP 800-63B-4; la cifra del 99,9 % con su alcance; la fatiga de notificaciones, y cómo se activa en Microsoft 365 y en Google Workspace.
