¿Qué es la autenticación de dos factores (2FA)?

Por qué una contraseña ya no es suficiente

Las contraseñas se filtran en masa — de sitios que usaste hace años, en violaciones de las que nunca te enteras — y la gente las reutiliza. Para una cuenta de correo eso es molesto; para un exchange de cripto es todo el saldo. El 2FA cierra ese agujero: iniciar sesión requiere la contraseña y un código de tiempo limitado de algo físicamente tuyo. Un atacante con tu contraseña pero no tu teléfono simplemente no puede completar el inicio de sesión.

La matemática detrás de la app autenticadora estándar es simple y probada en batalla: tu teléfono y el exchange comparten un secreto en la configuración, y cada uno genera el mismo código nuevo de 6 dígitos cada 30 segundos de él. Un código robado o vislumbrado hoy no vale nada mañana — normalmente inútil en medio minuto — y un millón de códigos posibles por ventana significa que la intercepción por sí sola no mete a un atacante.

¿Qué tipo deberías usar?

En orden descendente de fortaleza:

1. Llave de seguridad de hardware (YubiKey y similares). Resistente al phishing — la llave verifica criptográficamente el sitio real y simplemente no responderá a un dominio imitador. El estándar de oro si guardas fondos serios en un exchange.
2. App autenticadora. Un código rotativo de 30 segundos generado en tu teléfono. El predeterminado práctico: gran ganancia de seguridad, pequeño costo de conveniencia. Actívala durante el registro de cuenta — toma dos minutos.
3. Códigos SMS. Mejor que nada, pero los códigos cabalgan en la red telefónica y los números de teléfono se roban mediante intercambios de SIM — donde un atacante convence a tu operador de activar tu número en su SIM. Varias pérdidas de cripto de alto perfil empezaron exactamente así.

La brecha entre el nivel 1 y el nivel 3 es la brecha entre “atacar el cripto” y “atacar tu compañía telefónica” — y los atacantes eligen el objetivo más fácil cada vez.

¿En qué se equivoca la gente con el 2FA?

Dos errores en direcciones opuestas. Primero, saltárselo porque “tengo una contraseña fuerte” — mira arriba; la contraseña ya puede estar en la lista de alguien, y nunca lo sabrías. Segundo, activarlo y luego perder el segundo factor: teléfono perdido, sin códigos de respaldo guardados, cuenta inaccesible por semanas. Cuando configuras el 2FA el servicio muestra códigos de respaldo de un solo uso — guárdalos sin conexión, con tanto cuidado como una frase semilla, porque son exactamente tan poderosos.

Y una regla conductual para terminar: trata cualquier página de inicio de sesión que pida tu contraseña y tu código 2FA actual en el mismo momento sospechoso como un intento de phishing. Las sesiones reales piden el código para verificarte a ti; los estafadores lo piden para verificarse a sí mismos — y el ataque de retransmisión que corren en una página falsa quema tu código contra el sitio real en segundos.

Una lista de configuración de 2FA para una cuenta de exchange nueva

Cinco minutos en el registro que se pagan solos para siempre después:

1. Elige la app autenticadora, no SMS, cuando aparezca la opción.
2. Escanea el código QR con la app — o escribe la clave de configuración manualmente si vas a cambiar de teléfono pronto.
3. Escribe los códigos de respaldo en papel, con la misma disciplina de ubicación física que una frase semilla. Estas son las llaves de repuesto de la cuenta.
4. Envíate un inicio de sesión de prueba: cierra sesión, vuelve a entrar con contraseña + código, confirma que el flujo funciona antes de depositar nada.
5. Anota dónde vive el secreto. Si tu app autenticadora se sincroniza con una cuenta (Authy, respaldo de cuenta de Google), la contraseña de esa cuenta ahora es parte de tu seguridad de exchange — protégela en consecuencia, y sabe cómo restaurar en un teléfono nuevo.

Un límite que vale la pena conocer: el 2FA protege cuentas, no billeteras. Una billetera de autocustodia no tiene inicio de sesión que proteger — su seguridad es la frase semilla y el dispositivo. Por eso los exchanges pueden restaurar tu acceso y la autocustodia no, y por qué los dos modelos necesitan disciplinas distintas.