Equipo y buenas prácticas
Qué es el doble factor de autenticación, qué tipos hay y cómo activarlo en Google, Microsoft 365 y WhatsApp. Explicado sin tecnicismos para pymes.
Lunes por la mañana. Al móvil de Marta, de administración, le llega una notificación: “¿Estás intentando iniciar sesión desde Rumanía?”. Ella está en la oficina de Zaragoza, con su café. Pulsa “No” y sigue con lo suyo.
Lo que no sabe es que alguien tenía su contraseña. La usaba también en una tienda online que sufrió una filtración hace dos años, y desde entonces circulaba por internet. El atacante tenía la llave correcta y aun así se quedó en la puerta.
Eso es el doble factor de autenticación. Y si tu empresa todavía no lo usa, es probablemente la mejora de seguridad más barata y rápida que puedes hacer este mes.
En este artículo
El doble factor de autenticación (también lo verás como 2FA, MFA o verificación en dos pasos) consiste en pedir dos pruebas distintas para entrar en una cuenta, en lugar de una sola.
Ya lo usas sin darte cuenta. Cuando sacas dinero del cajero necesitas dos cosas: la tarjeta, que es algo que tienes, y el PIN, que es algo que sabes. Si alguien te roba la tarjeta, sin el PIN no puede hacer nada. Y si alguien ve tu PIN por encima del hombro, sin la tarjeta tampoco.
En tus cuentas digitales funciona igual:
El doble factor combina dos de estas tres. Y con eso, robar la contraseña deja de ser suficiente.
No es que tu equipo use malas contraseñas. Es que hoy una contraseña se puede escapar de muchas formas que no dependen de ti:
Filtraciones de otras webs. Si alguien usa la misma contraseña en el correo del trabajo y en una tienda online, y esa tienda sufre una brecha, la contraseña acaba en listas que los atacantes prueban de forma automática.
Engaños. Un correo de phishing bien hecho o una llamada convincente consigue que alguien escriba su contraseña donde no debe. Lo contamos en ingeniería social: qué es y cómo engañan a tu pyme.
Pruebas a lo bruto. Programas que prueban miles de combinaciones hasta acertar con las contraseñas más previsibles.
Según Microsoft, activar el doble factor bloquea más del 99 % de los ataques automatizados contra cuentas. No hay muchas medidas de seguridad que den tanto por tan poco.
No todos los segundos factores son iguales. Cualquiera es mucho mejor que nada, pero conviene saber qué estás eligiendo.
| Tipo | Cómo funciona | Seguridad | Comodidad | Cuándo usarlo |
|---|---|---|---|---|
| SMS | Te llega un código por mensaje | Básica | Alta | Solo si la cuenta no ofrece otra opción |
| App de códigos | Una app (Google Authenticator, Microsoft Authenticator…) genera un código nuevo cada 30 segundos | Buena | Alta | La opción por defecto para casi todo |
| Notificación en el móvil | Te llega un aviso y pulsas “Aprobar” | Buena, si se usa bien | Muy alta | Cuentas de Microsoft 365 o Google |
| Llave física o llave de acceso (passkey) | Una llave USB o el propio móvil confirman que eres tú, sin códigos | Muy alta | Alta, una vez configurada | Cuentas críticas: administración, banca, dominio |
¿Por qué el SMS es el más flojo? Porque existe un truco llamado duplicado de SIM: el estafador se hace pasar por ti ante la operadora, consigue una SIM nueva con tu número y empieza a recibir tus códigos. No es lo más habitual, pero pasa. Si puedes elegir, elige una app.
No hace falta activarlo todo el mismo día. Ve por orden de importancia:
El doble factor protege la entrada a tu correo. Para que, además, nadie pueda enviar correos haciéndose pasar por el dominio de tu empresa, el complemento son tres ajustes: te los explicamos en DMARC, DKIM y SPF: protege tu email de la suplantación.
¿No sabes qué cuentas de tu empresa tienen el doble factor activado?
Lo revisamos contigo en el diagnóstico gratuito: correo, banca, dominio y herramientas en la nube. Sales con una lista clara de lo que falta, por orden de importancia.
Los menús cambian de nombre de vez en cuando, pero la ruta suele ser muy parecida a esta.
Si administras Google Workspace, desde la Consola de administración puedes obligar a todo el equipo a activarla, con un plazo para que cada persona la configure.
Si eres quien administra Microsoft 365 en tu empresa, revisa que estén activados los valores predeterminados de seguridad en el centro de administración de Microsoft Entra. Eso obliga a todo el equipo a usar el doble factor sin tener que configurarlo persona a persona.
Así, aunque alguien consiga el código de registro de tu número, no podrá activar tu WhatsApp en otro móvil sin ese PIN.
Cuando activas el doble factor, casi todos los servicios te dan unos códigos de recuperación. Son como la llave de repuesto que le dejas a tu vecina: si pierdes el móvil, son lo único que te deja volver a entrar. Imprímelos o guárdalos en el gestor de contraseñas, pero no en el mismo móvil.
Hay ataques que consisten en mandarte avisos de “¿Eres tú?” una y otra vez, a cualquier hora, hasta que alguien pulsa “Aprobar” por cansancio o por error. Se llama fatiga de MFA.
La regla es sencilla: si no estás intentando entrar tú, nunca apruebes. Y si te llegan avisos que no esperabas, significa que alguien tiene tu contraseña. Cámbiala ese mismo día.
El código del doble factor no se le da a nadie. Ni al banco, ni a Microsoft, ni a tu informático. Si alguien te lo pide por teléfono, es un engaño. Siempre.
Los atacantes no van siempre a por la persona que manda. A menudo entran por la cuenta de alguien de administración o de un becario, y desde ahí escalan. El doble factor tiene que estar en todas las cuentas de la empresa, no solo en algunas.
Pasa más de lo que parece, y no es un drama si lo tienes previsto.
| Situación | Qué hacer |
|---|---|
| Ha perdido el móvil, pero tiene los códigos de recuperación | Entra con un código, quita el móvil antiguo y añade el nuevo |
| Ha perdido el móvil y no tiene códigos | Quien administra Microsoft 365 o Google Workspace puede restablecer su segundo factor |
| Cree que le han robado el móvil | Cambia la contraseña del correo desde otro dispositivo y cierra todas las sesiones abiertas |
| Cambia de móvil (sin pérdida) | Antes de borrar el antiguo, pasa la app de códigos al nuevo. Muchas apps tienen opción de exportar |
El doble factor de autenticación es como poner un segundo cerrojo en la puerta: no hace falta ser experto para usarlo y cierra el paso a la mayoría de los intentos de entrar en tus cuentas.
Empieza por el correo y el banco, usa una app en lugar del SMS siempre que puedas, guarda los códigos de recuperación y no apruebes nunca un aviso que no hayas pedido tú.
Una contraseña se puede robar. Tu móvil en tu bolsillo, bastante menos.
Si no sabes qué cuentas de tu empresa tienen el doble factor activado y cuáles no, el diagnóstico inicial gratuito de CALMA lo revisa por ti, junto con el correo y los accesos. Son 20 minutos, sin compromiso y sin tecnicismos.
Es una forma de entrar en tus cuentas pidiendo dos pruebas distintas en lugar de una: tu contraseña y algo que solo tienes tú, como un código en el móvil o una llave física. Así, aunque alguien robe tu contraseña, no puede entrar sin ese segundo paso.
En el día a día, sí: los dos nombres se usan para lo mismo. Siendo muy estrictos, el doble factor exige que las dos pruebas sean de tipos distintos (algo que sabes y algo que tienes), pero para proteger tu empresa lo importante es activarlo, se llame como se llame.
Es mucho mejor que no tener nada, pero es la opción más débil. Existe el fraude del duplicado de SIM, en el que alguien consigue una tarjeta con tu número y recibe tus códigos. Si el servicio lo permite, usa una app de códigos o una llave de acceso.
Puedes volver a entrar con los códigos de recuperación que te dio el servicio al activarlo. Si no los tienes y es una cuenta de empresa, quien administra Microsoft 365 o Google Workspace puede restablecer tu segundo factor. Por eso conviene guardar esos códigos fuera del móvil.
Para la mayoría de pymes basta con Microsoft Authenticator o Google Authenticator, que son gratuitas. Lo ideal es que todo el equipo use la misma, así es más fácil ayudarse. Algunos gestores de contraseñas también generan estos códigos, lo que simplifica mucho el día a día.
Sí. En Microsoft 365 puedes activar los valores predeterminados de seguridad desde Microsoft Entra, y en Google Workspace puedes exigir la verificación en dos pasos desde la Consola de administración. Conviene avisar antes al equipo y dar unos días para que cada persona lo configure.
Es una forma de entrar sin contraseña: tu móvil o tu ordenador confirman que eres tú con la huella, la cara o el PIN del dispositivo. Es más segura que los códigos porque no se puede robar con un correo falso, y cada vez más servicios la ofrecen.
Sí, ese es justo su objetivo: con la contraseña sola no basta para entrar. Pero si sospechas que tu contraseña ha circulado, o recibes avisos de inicio de sesión que no has pedido, cámbiala igualmente. El doble factor es un cerrojo extra, no una excusa para dejar la puerta abierta.
¿Quieres saber cómo está tu empresa?
Empieza con un diagnóstico inicial gratuito. Te lo presentamos en 20 minutos, con un plan claro. Sin compromiso y sin tecnicismos.
