2FA: Qué es, cómo funciona y por qué deberías activarlo hoy

Hoy en día, ya no basta con proteger las cuentas con una contraseña segura: es conveniente -de hecho, necesario- utilizar una autenticación fuerte, también conocida como autenticación de dos factores (2FA).

Cuáles son los puntos débiles de las contraseñas “sencillas“

Las contraseñas débiles representan uno de los principales puntos de entrada para los ciberdelincuentes. Si usás combinaciones simples como “123456”, “password”, tu nombre o fecha de nacimiento, estás facilitando el trabajo de los hackers, que emplean técnicas como el ataque de fuerza bruta (probar millones de combinaciones en segundos) y el credential stuffing (usar datos filtrados en la web para acceder a otras cuentas).

Otro punto débil es la reutilización de contraseñas en múltiples cuentas. Si un solo servicio sufre una filtración, todas tus cuentas con la misma clave quedan expuestas. Además, sin un segundo factor de autenticación (2FA), un atacante solo necesita esa clave para acceder a tu correo, redes sociales o incluso tus cuentas bancarias.

Los principales puntos débiles de una contraseña sencilla

🔹 Fácil de adivinar: Los atacantes pueden probar las combinaciones más comunes o usar datos personales extraídos de redes sociales.

🔹 Filtraciones masivas: Si una plataforma donde tenías cuenta es hackeada y usás la misma clave en otro servicio, todas tus cuentas quedan en riesgo.

🔹 No resisten ataques automatizados: Los hackers usan software que prueba miles de combinaciones en minutos. Cuanto más corta y predecible sea la clave, más rápido será vulnerada.

🔹 Sin autenticación adicional: Si solo usás una contraseña sin verificación en dos pasos (2FA), un atacante que la descubra tendrá acceso total a tu cuenta sin barreras extra.

¿Cómo mejorar la seguridad de tus contraseñas?

✔️ Usá contraseñas largas y únicas: Más de 12 caracteres con una combinación de letras, números y símbolos.

✔️ No reutilices claves: Si un sitio es hackeado, no querrás que todas tus cuentas queden expuestas.

✔️ Activá la autenticación en dos pasos: Un código extra desde tu celular o una app como Google Authenticator puede bloquear el acceso a intrusos.

✔️ Usá un gestor de contraseñas: Te ayuda a generar y almacenar claves seguras sin necesidad de recordarlas todas.

Qué es la autenticación de dos factores (2FA)

La autenticación de dos factores, también conocida como MFA (Multi-Factor Authentication), es una capa adicional de seguridad que protege tus cuentas frente a hackeos y accesos no autorizados. En la actualidad, es la mejor herramienta disponible para reforzar la seguridad de tu información personal y corporativa.

¿Por qué la autenticación de dos factores (2FA) es esencial?

Hasta hace unos años, la verificación en dos pasos se asociaba casi exclusivamente con cuentas bancarias. Sin embargo, hoy es imprescindible aplicarlo en todas las cuentas digitales que contengan información importante.

Las cuentas que más protección necesitan incluyen:

• Correo electrónico: Si un hacker accede a tu mail, puede resetear contraseñas de otras cuentas y obtener datos sensibles.
• Servicios en la nube: Google Drive, Dropbox y OneDrive almacenan documentos, fotos y archivos personales.
• Cuentas corporativas: Protegen información confidencial de empresas y empleados.

Cada vez más plataformas ofrecen la verificación en dos pasos como opción de seguridad, pero en muchos casos debés activarlo manualmente en la configuración de tu cuenta.

¿Cómo funciona la autenticación en sistemas digitales?

Para acceder a cualquier servicio digital (redes sociales, home banking, cajeros automáticos, plataformas de trabajo, etc.), debés pasar por dos pasos:

1. Identificación: Ingresás tu nombre de usuario o correo electrónico.
2. Autenticación: Demostrás que realmente sos vos.

Existen tres formas de autenticación digital:

1. Autenticación por conocimiento (“algo que sabés”)

Consiste en ingresar información secreta que solo vos conocés, como:

• Contraseñas.
• PIN numéricos.
• Respuestas a preguntas de seguridad.

2. Autenticación por posesión (“algo que tenés”)

Este método requiere un objeto físico que solo vos poseés, por ejemplo:

• Un smartphone con una app de autenticación como Google Authenticator o Authy.
• Un token de seguridad (las pequeñas llaves digitales que antes daban los bancos).
• Un código enviado por SMS o correo electrónico (aunque menos seguro que otras opciones).

3. Autenticación por inherencia (“algo que sos”)

Se basa en características biométricas únicas, como:

• Huella dactilar.
• Reconocimiento facial (Face ID, por ejemplo).
• Escaneo del iris o la retina.
• Reconocimiento de voz.

Cómo funciona la autenticaicón de dos factores

El sistema de verificación en dos pasos añade una capa extra de seguridad más allá de la clásica contraseña. Funciona así:

1. Primer factor: ingresás tu contraseña habitual.
2. Segundo factor: se te pedirá un refuerzo de seguridad que puede ser un código único generado en un mensaje de texto o a través de una app de autenticación como Google Authenticator o Authy). Hay varias maneras de autenticación para el segundo factor.

¿Cuál es la diferencia entre autenticación de un solo factor, 2FA y 3FA?

Hablamos de 2FA cuando se usan al menos dos de los tres factores mencionados antes (Autenticación por conocimiento, poseción o inherencia). Pero no cualquier combinación sirve: para que sea realmente autenticación de dos factores, los dos elementos deben pertenecer a categorías distintas. Por ejemplo, “algo que sabés” + “algo que tenés”.

Si se usan dos contraseñas distintas, no se puede considerar 2FA en el sentido estricto, porque ambos factores pertenecen a la misma categoría.

También existe la autenticación de tres factores (3FA), que se da cuando se requieren los tres elementos. Su uso es menos común, aunque hay casos concretos.

• Autenticación de un solo factor (1FA): Solo usa un método, generalmente una contraseña.
• Autenticación de dos factores (2FA): Usa dos de los tres métodos mencionados, pero deben ser de categorías distintas. Ejemplo:
  • Contraseña (algo que sabés) + Código SMS (algo que tenés) → Sí es 2FA.
  • Contraseña (algo que sabés) + Segunda contraseña (algo que sabés) → No es 2FA.
  • Autenticación de tres factores (3FA): Usa los tres métodos combinados, aunque es poco común.

Cómo obtener la verificación en dos pasos de forma numérica

El segundo factor de autenticación en formato numérico —una contraseña de un solo uso (OTP)— es la solución más utilizada en 2FA. Ahora bien, hay distintas maneras de obtenerlo, y no todas son igual de seguras.

OTP por SMS: una opción popular, pero peligrosa

Una de las formas más comunes es a través de un SMS enviado a tu smartphone. Sin embargo, es también la menos segura. Esto se debe a la vulnerabilidad bien documentada del protocolo de señalización SS7, que expone las redes móviles a ataques de interceptación.

Además, este método requiere que tengas el celular conectado a la red en todo momento. Pero lo más preocupante no es eso, sino el riesgo de sufrir un fraude de intercambio de SIM. En la práctica, un atacante puede lograr transferir tu número de teléfono a otra tarjeta SIM sin que te des cuenta.

Si esto ocurre, el ciberdelincuente obtiene acceso total a tu línea y, lo que es peor, recibe los SMS con los códigos de autenticación de dos factores. Con esta información, puede ejecutar transacciones bancarias fraudulentas a tu nombre.

Cuando finalmente notes que tu teléfono está sin señal y que tu SIM dejó de funcionar, puede que ya sea demasiado tarde: el dinero en tu cuenta podría haber desaparecido.

Por estas razones, los expertos en ciberseguridad recomiendan evitar el uso de SMS para el segundo factor de autenticación y optar por alternativas más seguras, como aplicaciones de autenticación o llaves físicas.

Cómo proteger tus cuentas sin SMS: la mejor opción para autenticación en dos pasos (2FA)

Como mencionamos, los SMS fueron durante mucho tiempo una opción común para la autenticación en dos pasos (2FA), pero tienen varias desventajas:

• Son vulnerables a ataques de SIM swapping.
• Dependen de la cobertura móvil.
• No siempre están disponibles en todas las plataformas.

Por eso, evitamos esta opción y, en su lugar, recomendamos el uso de aplicaciones específicas.

La mejor alternativa: aplicaciones de autenticación (Soft Tokens)

Cuando un sitio permite usar una app de autenticación en vez de SMS (podés comprobarlo en la configuración de 2FA), siempre es mejor elegir esta opción. Es más segura, práctica y funciona sin necesidad de señal telefónica.

Estas aplicaciones, llamadas “Soft Tokens”, funcionan igual que los tokens físicos que antes daban los bancos. Generan un código OTP (One-Time Password) de 6 dígitos, vinculado a una cuenta específica.

Las mejores apps de doble autenticación (2FA) gratuitas

Si querés mejorar la seguridad de tus cuentas, podés usar alguna de estas aplicaciones gratuitas y confiables:
✅ Authy – Compatible con múltiples dispositivos y permite respaldo en la nube.
✅ Google Authenticator – Simple y efectiva, aunque sin sincronización en la nube.
✅ Microsoft Authenticator – Ideal para usuarios de Microsoft y fácil de configurar.

Además, muchos gestores de contraseñas también incluyen esta funcionalidad, lo que hace aún más cómodo el acceso seguro a tus cuentas.

De los tokens de hardware a los tokens de software

¿Por qué ya no se usan los tokens de los bancos?

Si usaste home banking hace unos años, seguro te acordás de esos pequeños dispositivos que generaban códigos para autorizar transferencias o pagos. Eran los famosos tokens de hardware, una tecnología que en su momento mejoró la seguridad de las operaciones online, pero que hoy prácticamente desapareció en Argentina. ¿Por qué? Porque quedaron obsoletos y fueron reemplazados por tokens de software, que hoy funcionan directamente en las apps bancarias de tu celular.

¿Qué eran los tokens de hardware?

Los bancos los entregaban como un llavero o una mini calculadora que generaba claves temporales cada ciertos segundos. Su función era simple: cuando hacías una operación sensible en el home banking, te pedían ingresar un código que el token generaba en ese momento. Al ser un dispositivo independiente de la computadora o el celular, agregaba una capa extra de seguridad frente a los ciberdelincuentes.

Sin embargo, con el avance de la tecnología, estos dispositivos empezaron a quedar atrás. El problema no era solo la comodidad, sino también la seguridad. A medida que los ataques digitales se volvieron más sofisticados, los tokens de hardware quedaron vulnerables a phishing, clonación y ataques de intermediario (MITM). Además, si perdías el dispositivo, recuperarlo implicaba un trámite engorroso con el banco.

El paso a los tokens de software

Ante estas limitaciones, los bancos argentinos –y del mundo– fueron migrando hacia tokens de software, que funcionan directamente en sus aplicaciones móviles. Estos nuevos tokens cumplen la misma función que los físicos, pero con varias ventajas:

✅ Son más seguros: permiten autenticación biométrica (huella o rostro), lo que evita que alguien use tu cuenta aunque tenga acceso a tu celular.
✅ No dependen de un dispositivo externo: siempre están en tu teléfono, por lo que no los podés olvidar o perder.
✅ Permiten validaciones en tiempo real: algunos bancos ya usan notificaciones push en lugar de códigos numéricos, lo que hace más difícil que un ciberdelincuente intercepte la clave.
✅ Son más baratos para los bancos: fabricar y distribuir tokens físicos tenía un costo alto; en cambio, el software no genera ese gasto.

¿Sigue habiendo tokens de hardware en Argentina?

La mayoría dejó de entregarlos hace tiempo. Hoy, cuando abrís una cuenta bancaria, lo más probable es que la activación del token sea 100% digital y a través de la app.

FIDO U2F: el futuro de la autenticación segura

Todo indica que este sistema será el nuevo estándar de seguridad en internet. No solo es más seguro, sino que ya cumple con los requisitos más exigentes, como:

• FIPS 140-2: Certificación que garantiza altos niveles de seguridad y conformidad criptográfica.
• AAL3 (Authentication Assurance Level 3): El más alto nivel de autenticación según las normas del NIST (SP800-63B).
• Regulación europea PSD2: Cumple con la Autenticación Fuerte de Clientes (SCA), requerida para operaciones bancarias online en la Unión Europea.

Cómo activar la autenticación de dos factores (2FA)

Paso 1: Accedé a los ajustes de seguridad

El procedimiento para activar la autenticación de dos factores es, en líneas generales, el mismo en casi todos los sitios. Primero, tenés que ingresar a la sección de “Ajustes de seguridad” (el nombre puede variar, pero suele ser el mismo lugar donde se cambia la contraseña).

Dentro de esta sección, buscá la opción para activar la autenticación de dos factores (2FA).

Paso 2: Elegí el método de autenticación

Una vez activada la opción, el sitio te preguntará cómo querés recibir el código de verificación. Las opciones más comunes son:

• Por SMS: La web te pedirá registrar un número de teléfono de confianza donde recibirás el código. Es recomendable registrar al menos dos números para mayor seguridad.
• Con una app de autenticación: Algunas plataformas permiten usar Google Authenticator, Authy o Microsoft Authenticator, que generan códigos temporales (OTP). Este método es más seguro que el SMS, ya que los ciberdelincuentes pueden interceptar los mensajes de texto.

Si elegís la opción de la app, el sitio te mostrará un código QR en la pantalla. Solo tenés que escanearlo con la app en tu celular para completar el emparejamiento.

Paso 3: Guardá la clave de recuperación

Durante la activación, muchas plataformas te darán una clave de recuperación. Este código es fundamental, ya que te permitirá recuperar el acceso si olvidás la contraseña o perdés tu dispositivo. Guardalo en un lugar seguro, lejos de tu teléfono o PC.

Por lo general, la combinación de contraseña y código OTP se utiliza para la autenticación de dos factores (2FA). La clave de recuperación, en cambio, es una “solución de emergencia” que solo debe usarse en caso de olvido de la contraseña, pérdida o robo del dispositivo.

En casi todos los sitios existe una opción conveniente que evita tener que ingresar el código OTP en cada inicio de sesión. Esta función suele llamarse “considerar este dispositivo de confianza” (o un nombre similar) y solo necesita activarse una vez.

En la práctica, dado que la autenticación de dos factores está diseñada para evitar accesos desde dispositivos no autorizados, esta opción permite que el sitio reconozca que estamos ingresando desde nuestro dispositivo habitual, eliminando la necesidad de ingresar el segundo factor de autenticación en futuros accesos.

Servicios que ofrecen autenticación de dos factores (2FA)

Si bien es opcional, la recomiendo encarecidamente, al menos para servicios clave como Amazon, Apple ID (iCloud), Dropbox, Evernote, Facebook, Google, LinkedIn, Microsoft, PayPal, Twitter, Yahoo!, WordPress, entre otros.

Prácticamente todas las plataformas importantes la ofrecen e incluso, en muchos casos, la sugieren.

En el sitio Two Factor Auth se puede consultar la lista completa de los cientos de servicios donde es posible activarla, organizada por categorías. Además, se detallan las opciones disponibles para cada caso (SMS, hard token, soft token, etc.).

Otro beneficio de usar 2FA: si lo activamos, nos evitamos las obsoletas preguntas de seguridad.

Autenticación de dos factores (2FA): guía del NIST

También podemos encontrar orientaciones útiles sobre el uso de la autenticación de dos factores en las directrices publicadas por el NIST.

Vale recordar que el NIST (Instituto Nacional de Normas y Tecnología) es una agencia del gobierno de Estados Unidos encargada de la gestión tecnológica. Depende del Departamento de Comercio (DoC).

Fundado en 1901, el NIST tiene como misión institucional desarrollar estándares tecnológicos. Entre sus publicaciones destacan las Normas Federales de Procesamiento de la Información (FIPS), que establecen los estándares obligatorios para el gobierno estadounidense.

Si bien las normas del NIST no son de aplicación obligatoria en Europa, su prestigio las convierte en un referente no solo en EE.UU., sino en todo el mundo.

Niveles de aseguramiento en la autenticación multifactor (2FA)

El organismo aborda el uso de contraseñas y la autenticación de dos factores en el SP 800-63 y, en particular, en el SP 800-63-3, titulado Directrices sobre identidad digital, disponible en este enlace. También es relevante el SP 800-63B, Directrices sobre identidad digital – Autenticación y gestión del ciclo de vida.

En el SP 800-63-3, la tabla 5.2 define los tres niveles AAL (Authenticator Assurance Level). A su vez, la sección 6.2, Selección de AAL, explica cómo elegir el nivel de autenticación más adecuado para cada servicio digital.

Los niveles AAL 2 y AAL 3 requieren el uso de autenticación multifactor robusta.

Por su parte, el SP 800-63B analiza los distintos métodos de autenticación de dos factores. El nivel AAL 2 se detalla en el capítulo 4.2, mientras que el AAL 3 se desarrolla en el capítulo 4.3.

Recomendaciones clave sobre autenticación segura

Según estas directrices, cuando se combinan dos factores de autenticación, uno de ellos debe ser un secreto almacenado, como una contraseña (capítulo 5.1.1). El segundo autenticador, en tanto, debe estar basado en la posesión, es decir, “algo que se tiene”.

De este modo, el usuario que inicia sesión debe demostrar la posesión y control de ambos factores de autenticación, los cuales deben ser resistentes a la suplantación, evitando así que puedan ser utilizados por otra persona.

En el capítulo 5.1.3, Dispositivos fuera de banda, se desaconseja el uso de la línea telefónica para recibir el segundo factor OTP, debido al riesgo de intercambio de SIM, un problema del que ya hablamos anteriormente.

En su lugar, se recomienda utilizar un dispositivo OTP multifactor, como se explica en el capítulo 5.1.5. Este dispositivo puede ser un smartphone (algo que usted tiene), que genera un código OTP “basado en el tiempo” a través de una aplicación especial, tal como se explicó antes.

Acá se destaca un aspecto clave: para garantizar mayor seguridad, el teléfono debe activarse primero mediante algo que sabe (una contraseña de desbloqueo) o algo que es (huella dactilar, reconocimiento facial, etc.).

¿Qué bancos en la Argentina ofrecen la autenticación dos factores (2FA)?

En Argentina, varios bancos ofrecen autenticación de dos factores (2FA) para reforzar la seguridad en sus canales digitales. A continuación, se detallan algunos de ellos:​

Banco Nación:

Implementa el “Segundo Factor de Autenticación (SFA)” a través de una aplicación llamada “Soft Token”. Esta herramienta genera claves dinámicas únicas para validar transacciones en su plataforma “Nación Empresa 24”.

BBVA Argentina:

Ofrece un segundo factor de autenticación mediante claves SMS y una “Clave TOKEN”. La clave TOKEN es un código de seguridad que cambia cada 30 segundos y se utiliza para validar operaciones como transferencias y altas de nuevos destinatarios.

Banco Ciudad:

Cuenta con el “Token Empresas” como segundo factor de autenticación para su Banca Electrónica de Empresas (BEE). Esta aplicación móvil genera claves dinámicas para validar transacciones financieras en canales electrónicos. ​bancociudad.com.ar

Banco Provincia:

Dispone del “Token de Seguridad”, un código de seis dígitos que cambia aleatoriamente y se utiliza para validar operaciones en Banca Internet Provincia (BIP) y en la aplicación BIP Móvil

Banco Santander Argentina:

• Token de Seguridad: Este método actúa como un segundo factor de autenticación para validar la identidad del usuario al realizar operaciones en línea. ​
• Certificado Digital: Otra capa de seguridad que funciona como doble factor de autenticación, especialmente útil para validar la identidad en operaciones sensibles. ​

Banco Galicia:

• Token Galicia: Una herramienta que genera códigos de seguridad aleatorios a través de la App Galicia. Este token reemplaza a la tradicional tarjeta de coordenadas y se utiliza para validar la identidad del usuario en operaciones realizadas en Online Banking.

Los desafíos en materia seguridad y autenticación dos factores (2FA) de cara al 2025

En 2024, los intentos de ciberataques sin éxito aumentaron un 52% en comparación con el año anterior, de acuerdo con el informe del Centro de Operaciones de Seguridad (SOC) de Appgate. La compañía registró más de 100.000 amenazas neutralizadas, lo que refleja un incremento tanto en la frecuencia como en la complejidad de estos incidentes.

Mike López, vicepresidente senior de soluciones contra fraude de la empresa, advirtió que en 2025 los riesgos podrían intensificarse y afectar, especialmente, a sectores como telecomunicaciones, finanzas, manufactura y entidades gubernamentales.

El crecimiento acelerado de los ciberataques resalta la importancia de implementar estrategias empresariales de ciberseguridad que permitan prevenir incidentes antes de que ocurran.

Según el ejecutivo, entre las amenazas más relevantes, los ataques de phishing evolucionaron gracias al uso de inteligencia artificial, lo que hizo imprescindible la autenticación de dos factores como una medida clave para reforzar la seguridad de los accesos.

En una misma línea, un informe reciente de BioCatch, compañía de inteligencia biométrica conductual sustentada en ciencia cognitiva avanzada y machine learning, los ataques de malware contra cuentas bancarias experimentaron un alza del 113% en el último año (2024), generando millonarias pérdidas para los clientes. Según los especialistas del estudio, “la falta de protección adicional, como la autenticación de dos factores y la configuración de seguridad, facilitan este tipo de ataques”.

El informe Predicciones 2025, elaborado por la consultora internacional BTR Consulting, señaló que los ataques de ransomware experimentaron un crecimiento del 81% entre 2023 y 2024. Una tendencia preocupante

De acuerdo al informe, entre los principales riesgos detectados, los keyloggers y el software espía se destacaron al representar la mitad de los ataques dirigidos contra pequeñas y medianas empresas. Al mismo tiempo, el vishing –estafas telefónicas mediante mensajes de voz– y las campañas de phishing en redes sociales estuvieron detrás del 34% y 36% de los casos, respectivamente.

De cara a 2025, sostiene que el ransomware continuará siendo una de las amenazas más críticas para compañías y organizaciones, con tácticas cada vez más sofisticadas. A su vez, el uso de deepfakes y el hacktivismo van en aumento, lo que plantea nuevos desafíos en el terreno digital. Estas técnicas no solo son utilizadas por grupos sociales, sino también por actores respaldados por Estados, con el objetivo de manipular y desinformar a sus víctimas.

Teniendo en cuenta esto, al igual que los otros expertos detrás de los informes, desde BTR Consulting también consideran clave “la implementación de firewalls y medidas de seguridad informática, junto con el uso de autenticación de dos factores“.

FAQs sobre autenticación multifactor (2FA)

¿Cómo puede la autenticación sin contraseña (passwordless authentication) mejorar la seguridad en empresas del sector TIC?

La autenticación sin contraseña elimina los riesgos asociados a contraseñas débiles y reutilizadas, utilizando biometría o tokens físicos. Esto reduce la superficie de ataque y mejora la experiencia del usuario al simplificar los accesos.

¿Cuáles son las mejores prácticas para implementar autenticación multifactor (MFA) en entornos corporativos complejos?

Se recomienda combinar autenticación biométrica con tokens físicos FIDO2 y aplicaciones TOTP, garantizando compatibilidad con SSO (Single Sign-On) y protocolos como OAuth 2.0 y SAML. La segmentación de accesos según perfiles de riesgo es clave para minimizar vulnerabilidades.

¿Qué impacto tiene la autenticación basada en riesgos (RBA) en la ciberseguridad empresarial?

La RBA adapta los factores de autenticación según el comportamiento y contexto del usuario, bloqueando accesos sospechosos en tiempo real. Esto mejora la precisión en la detección de amenazas sin comprometer la experiencia del usuario.

¿Cómo pueden las empresas del sector TIC cumplir con los estándares NIST SP 800-63B en autenticación de usuarios?

Implementar MFA que combine factores basados en conocimiento y posesión, junto con cifrado de extremo a extremo y validaciones conforme al nivel AAL2 y AAL3. Auditorías regulares y monitoreo continuo aseguran el cumplimiento normativo.