Qué es la autenticación de dos factores (2FA) y cómo activarla en tu banca móvil

Una contraseña es un secreto que puede copiarse sin que te enteres. Se filtra en una base de datos ajena, se adivina porque la reutilizaste, o te la sacan en una llamada. El segundo factor existe para que ese secreto, por sí solo, no alcance: aunque alguien tenga tu contraseña, le sigue faltando algo que no puede copiar a distancia.

Los tres factores

Toda autenticación se apoya en una o más de estas tres categorías, y la gracia está en combinar categorías distintas:

• Algo que sabes: contraseña, NIP, respuesta secreta.
• Algo que tienes: tu teléfono, un token físico, una llave de seguridad.
• Algo que eres: huella, rostro.

Dos contraseñas seguidas no son dos factores: las dos se roban igual. Contraseña más código generado en tu teléfono sí lo son, porque un atacante remoto puede tener la primera pero no el aparato.

Los tipos de segundo factor, del más débil al más fuerte

1. Código por SMS

Es el más común y el más frágil. Un atacante no necesita tu teléfono físico: le basta con convencer a tu operadora de que reactive tu número en otro chip. Eso se llama SIM swapping y, cuando funciona, los códigos empiezan a llegarle a él. Además es el único factor que puede pedirse por voz —«dígame el código que le acaba de llegar»— porque el usuario ya está acostumbrado a leerlo.

Aun así, SMS activado es enormemente mejor que nada. Si es lo único que ofrece tu banco, actívalo.

2. Código por correo electrónico

Ligeramente distinto, no mucho mejor: la seguridad de tu cuenta pasa a depender de la seguridad de tu correo. Si el correo no tiene su propio segundo factor, no estás sumando una barrera, la estás moviendo de lugar.

3. App autenticadora (TOTP)

Aplicaciones que generan un código de seis dígitos que cambia cada 30 segundos. El código se calcula en tu dispositivo a partir de una semilla que se guardó al activarlo: no viaja por la red, así que no hay mensaje que interceptar ni operadora que engañar. Es el mejor equilibrio entre seguridad y facilidad, y funciona sin señal.

4. Token del banco o aprobación dentro de la app

El token físico y la aprobación por notificación dentro de la app oficial atan la operación a un dispositivo concreto. Los mejores muestran qué estás aprobando —monto y destino— en lugar de un genérico «¿autorizas el acceso?». Lee siempre esa pantalla: es tu último punto de control.

5. Llave de seguridad y passkeys

Una llave física o una passkey guardada en tu dispositivo resuelve algo que ningún código resuelve: verifica también al sitio. La llave solo responde al dominio legítimo con el que se registró, así que una página clonada no obtiene nada. Es el único factor que resiste de raíz al phishing, y por eso vale la pena en tu correo principal aunque tu banco todavía no lo ofrezca.

6. Biometría

Huella y rostro son, en la práctica, la llave para desbloquear el secreto que ya vive en tu teléfono. Son cómodos y sólidos mientras el dispositivo esté sano; no son un factor independiente si el teléfono está comprometido.

Cómo activarlo en tu banca móvil

Los nombres cambian entre instituciones, pero la ruta es casi siempre la misma:

1. Abre la app oficial de tu banco —descargada desde la tienda de aplicaciones, nunca desde un enlace que te enviaron.
2. Entra a Configuración, Perfil o Seguridad.
3. Busca verificación en dos pasos, autenticación de dos factores, token digital o doble factor.
4. Elige el método más fuerte que te ofrezcan: token en la app o autenticadora antes que SMS.
5. Guarda los códigos de respaldo si te los dan. Imprímelos o escríbelos y déjalos en un lugar físico seguro; no en una nota del mismo teléfono.
6. Repite el proceso en tu correo electrónico. Es la cuenta que permite restablecer todas las demás y suele ser la más descuidada.

Si tu banco no ofrece más que SMS, hay una medida que sí depende de ti: pide a tu operadora telefónica que agregue un NIP o una contraseña para cualquier cambio de chip. Eso encarece mucho el SIM swapping.

Cuatro errores que anulan el segundo factor

• Dictar el código. Ningún proceso legítimo requiere que lo compartas con una persona. Si alguien te lo pide, la llamada es falsa —está desarrollado en esta guía.
• Aprobar notificaciones por inercia. Si te llueven solicitudes de aprobación que tú no iniciaste, alguien ya tiene tu contraseña y está esperando a que aceptes por cansancio. No apruebes: cambia la contraseña.
• Dejar el correo sin 2FA. Es la puerta trasera de todo lo demás.
• Perder los códigos de respaldo. El segundo factor también puede dejarte fuera a ti; los respaldos son lo que evita un trámite presencial.

En resumen

• Activa el 2FA en el banco y, sobre todo, en tu correo.
• Prefiere app autenticadora, token o llave física antes que SMS; SMS antes que nada.
• Protege tu línea telefónica con un NIP ante la operadora.
• Un código de un solo uso jamás se comparte con una persona.

Para ver cómo intentan sacarte ese código en la práctica, sigue con la anatomía de una llamada de suplantación bancaria.