La contraseña de la administrativa era buena: larga, con símbolos y sin relación con su vida. Aun así, una mañana alguien entró en su correo y estuvo tres días leyendo la facturación de la empresa. No hizo falta romper nada: ella la había escrito en una página que imitaba a la del banco. El doble factor de autenticación es la medida que convierte esa contraseña robada en un papel inútil.
Qué es el doble factor de autenticación
El doble factor de autenticación —también llamado 2FA, o MFA cuando son más de dos— consiste en pedir dos pruebas distintas de que eres quien dices ser antes de dejarte entrar.
Esas pruebas salen de tres familias: algo que sabes (la contraseña), algo que tienes (el móvil, una llave física) y algo que eres (la huella, la cara). La condición es que sean de familias diferentes: dos contraseñas seguidas no son doble factor.
El razonamiento es sencillo. Robar una contraseña es fácil y se hace a distancia, a miles de personas a la vez. Robar además el móvil que tiene esa persona en el bolsillo, en Madrid, esa misma tarde, ya no escala. El segundo factor no hace imposible el ataque: lo hace caro.
Qué método de doble factor elegir y dónde activarlo
Los tipos que existen, de peor a mejor
No todos protegen igual, y esto rara vez se cuenta.
- SMS. Un código por mensaje. Es el más cómodo y el más débil: existe el fraude de duplicado de tarjeta SIM, con el que el atacante recibe tus mensajes. Mejor que nada, peor que todo lo demás.
- Aplicación de códigos. Microsoft Authenticator, Google Authenticator y similares generan un código que cambia cada treinta segundos, sin depender de la red móvil. Es el equilibrio razonable para la mayoría de empresas.
- Notificación push con número. Llega un aviso al móvil y hay que teclear el número que muestra la pantalla del ordenador. Evita el peor problema de las notificaciones simples, que es aceptar por inercia.
- Llave física. Un dispositivo USB o NFC que hay que tocar. Es el único método que resiste bien las páginas falsas, porque comprueba la dirección web antes de responder.
- Biometría del dispositivo. Huella o cara para desbloquear el acceso desde un equipo ya registrado. Cómodo y sólido cuando acompaña a un dispositivo de confianza.
Dónde activarlo primero en una empresa
Ponerlo en todo el mismo día genera rechazo. Hay un orden que da casi toda la protección con poca fricción.
- El correo corporativo. Es la primera pieza siempre: quien controla el correo recupera contraseñas de todo lo demás.
- Las cuentas de administración. Los accesos que gestionan usuarios, servidores o el panel de la nube. Aquí no debería haber excepciones.
- La banca electrónica y el acceso de la gestoría. Donde está el dinero y donde están las nóminas.
- Los accesos remotos. VPN o escritorio remoto: la puerta de entrada desde fuera de la oficina.
- Las herramientas de negocio. El CRM, el ERP y el almacenamiento en la nube, por ese orden.
El fraude del jefe —ese correo que parece del gerente pidiendo una transferencia urgente— se apoya casi siempre en una cuenta de correo tomada. Con doble factor, esa toma de control se complica muchísimo. Los mecanismos de ese engaño están explicados en nuestro artículo sobre el phishing.
Cómo implantarlo sin resistencia
Las objeciones de siempre y qué contestar
Cuando se propone esto en una reunión, salen tres frases. Merecen respuesta seria, porque tienen algo de razón.
«Nos va a ralentizar a todos.» En la práctica, no: el segundo factor solo se pide al entrar desde un dispositivo nuevo o cada cierto tiempo, no en cada correo. Un equipo marcado como de confianza puede pasar semanas sin volver a pedirlo.
«¿Y si alguien pierde el móvil?» Por eso se registran dos métodos por persona desde el principio y se deja un procedimiento escrito de recuperación. Sin eso, el primer móvil perdido bloquea a alguien un día entero y la medida se desactiva por presión.
«Somos pequeños, a nosotros no nos atacan.» Los ataques por credenciales robadas no eligen víctima: se lanzan contra listas enormes de correos filtrados. Ser pequeño no te esconde, solo hace que tengas menos defensas cuando llegan.
La contraseña robada es la vía de entrada más habitual y la más barata para el atacante. Es también la única que se cierra por completo con una medida que no cuesta dinero: activar el segundo factor.
Esa credencial robada no es el final del ataque, sino un eslabón intermedio: conviene entender las fases de un ataque dirigido para cortarlo antes.
¿Tienes claro qué cuentas de tu empresa siguen entrando solo con contraseña? Lo revisamos contigo y lo dejamos activado sin parar a nadie.
Cómo desplegarlo sin que se te rebele la plantilla
La parte técnica es la fácil. Lo que decide si esto sale bien es cómo se introduce.
- Explicarlo antes con un caso. Contar qué pasó en una empresa parecida convence más que cualquier circular sobre políticas de seguridad.
- Empezar por la dirección. Si el gerente es el primero que lo tiene, deja de ser una molestia impuesta a los demás.
- Dos métodos por persona. Aplicación de códigos y un teléfono alternativo, registrados el mismo día del alta.
- Marcar los equipos de confianza. Reduce las veces que se pide el código y quita casi toda la fricción diaria.
- Dejar el procedimiento escrito. Qué hacer cuando alguien pierde el móvil, quién autoriza el restablecimiento y cómo se verifica que quien llama es quien dice ser.
Ese último punto es el que se olvida y el que abre un agujero nuevo: si cualquiera puede llamar al soporte y pedir que le quiten el doble factor, no hay doble factor. La gestión de quién puede pedir qué está desarrollada en nuestra guía de administración de accesos.
¿Cuesta dinero implantarlo?
La función está incluida en Microsoft 365, en Google Workspace y en la mayoría de servicios profesionales, así que no supone licencias nuevas. El coste está en las horas de configurar las políticas, registrar a las personas y dejar escrito el procedimiento de recuperación.
¿Qué pasa si un empleado pierde el móvil?
Si tiene registrado un segundo método, entra con él y se registra el móvil nuevo. Si no lo tiene, el administrador debe restablecerle el acceso siguiendo un procedimiento que verifique su identidad. Por eso conviene registrar dos métodos desde el primer día.
Cómo funciona y hacia dónde va
Cómo funciona por dentro, en dos minutos
Entender el mecanismo ayuda a elegir bien, y no requiere ser técnico.
Cuando registras una cuenta en una aplicación de códigos, el servicio y tu móvil se ponen de acuerdo en un secreto compartido: eso es lo que hay detrás del código QR que escaneas. A partir de ahí, ambos generan el mismo número cada treinta segundos combinando ese secreto con la hora.
Por eso el código funciona sin cobertura y sin datos: no viaja por ninguna parte, se calcula en el móvil. Y por eso, si la hora del teléfono se desajusta mucho, los códigos dejan de valer.
La llave física va un paso más allá. En vez de un número que puedes teclear en cualquier sitio —incluida una página falsa—, responde a un desafío criptográfico que solo es válido para la dirección web correcta. Si la página es una imitación, la llave sencillamente no responde. Ese es el motivo por el que es el único método que aguanta bien el phishing más elaborado.
El paso siguiente: entrar sin contraseña
Cada vez más servicios permiten prescindir de la contraseña. Se llaman claves de acceso —passkeys— y funcionan con el desbloqueo del propio dispositivo: huella o cara.
La idea es que la contraseña, que es el eslabón que se roba, deje de existir. En su lugar hay una clave que vive en el móvil o en el ordenador y que nunca se envía a nadie. No hay nada que teclear en una página falsa ni nada que apuntar en un papel.
Para una empresa, la transición razonable es esta: primero activar el doble factor en todo lo importante, que es lo urgente; después, a medida que los servicios lo soporten, ir pasando a claves de acceso en los equipos corporativos. Saltarse el primer paso a la espera del segundo es dejar la puerta abierta mientras se estudia la cerradura definitiva.
Lo que suele fallar
Lo que también conviene proteger
La empresa suele empezar por sus sistemas y olvidar dos frentes que acaban tocándole igual.
Las cuentas personales de quien tiene poder de firma. El correo particular del gerente es una vía habitual para recuperar contraseñas de servicios de la empresa. Si esa cuenta cae, el resto se tambalea.
Los accesos de terceros. La gestoría que entra en las nóminas, la agencia que administra la web, el proveedor que da soporte al ERP. Sus credenciales abren tus puertas, y su seguridad no la controlas: la exiges por contrato y la compruebas.
Ese segundo punto es hoy uno de los caminos más usados para entrar en una empresa mediana: no atacan a la empresa, atacan a quien tiene la llave. Merece revisarse con la misma seriedad que los accesos propios.
Errores que estropean una buena medida
Dejar cuentas fuera «temporalmente». Casi siempre son las de dirección o las de un servicio antiguo, y casi siempre siguen fuera dos años después. Son las que más valor tienen para quien ataca.
Registrar un solo método. A la primera pérdida de móvil, alguien se queda sin trabajar media jornada y la medida empieza a tener enemigos.
Usar un teléfono compartido. El móvil de la oficina como segundo factor de cinco personas anula el sentido de la medida: ya no identifica a nadie.
No tener procedimiento de recuperación. Si el soporte quita el segundo factor a quien llama sin verificar quién es, se ha construido una puerta trasera con forma de llamada telefónica.
Confundirlo con el resto de la seguridad. El doble factor protege el acceso, no los datos: sigue haciendo falta copias verificadas, equipos actualizados y gente formada. Es una capa, y muy buena, pero una capa.
Un plan de treinta días
Para que esto no se quede en buena intención, sirve ponerle calendario. Un mes es tiempo de sobra en una empresa de veinte o treinta personas.
Semana 1: inventario y decisión. Listar qué servicios usa la empresa y cuáles admiten segundo factor. Elegir el método principal —normalmente una aplicación de códigos— y el de respaldo. Escribir el procedimiento de recuperación: quién autoriza un restablecimiento y cómo se verifica la identidad de quien lo pide.
Semana 2: dirección y administradores. Activarlo primero en las cuentas con más poder: gerencia, administración y los accesos que gestionan sistemas. Son las que más valen para un atacante y las que dan ejemplo al resto.
Semana 3: el resto de la plantilla, por departamentos. Con una sesión breve de diez minutos por grupo, ayudando a registrar los dos métodos en el momento. Registrar a la gente mientras se le explica evita el noventa por ciento de las incidencias posteriores.
Semana 4: repasar los rincones. Banca electrónica, accesos de la gestoría, panel del proveedor de la web, VPN, herramientas contratadas por un solo departamento. Y marcar los equipos habituales como de confianza para que el código deje de pedirse a diario.
Al final del mes conviene dejar dos cosas por escrito: qué cuentas quedaron cubiertas y cuáles no, con el motivo. Esa lista de excepciones es la que hay que revisar cada trimestre, porque las excepciones temporales tienden a durar años.
99 %
de nuestros clientes tienen activo el doble factor de autenticación.
Fuente: departamento técnico de Sale Systems, octubre de 2026.
De todas las medidas de seguridad que puede tomar una empresa, esta es la que mejor relación tiene entre lo que cuesta y lo que evita. No hay licencias nuevas, no hay hardware que comprar y el trabajo se mide en horas, no en meses.
Lo que sí exige es decidirlo y acompañarlo: elegir método, registrar dos por persona, dejar escrito qué hacer cuando alguien pierde el móvil y revisar cada trimestre las excepciones. Hecho así, la contraseña robada de la que hablábamos al principio deja de ser una noche en vela y pasa a ser un aviso de acceso bloqueado que alguien lee por la mañana.
Preguntas frecuentes sobre el doble factor de autenticación
Desde las opciones de seguridad de cada servicio: en Microsoft 365 o Google Workspace se activa para toda la organización desde el panel de administración. Lo recomendable es registrar una aplicación de códigos como método principal y un segundo método de respaldo antes de exigirlo.
Es el método más débil de todos, porque existe el fraude de duplicado de tarjeta SIM: el atacante consigue una copia de la línea y recibe tus mensajes. Protege más que no tener nada, pero siempre que se pueda conviene usar una aplicación de códigos o una llave física.
Reduce muchísimo su efecto: aunque la persona entregue la contraseña en una página falsa, el atacante no puede entrar sin el segundo factor. Los ataques más elaborados intentan capturar también el código en tiempo real, y contra eso el método que mejor protege es la llave física.
¿Cuántas cuentas de tu empresa entran hoy solo con una contraseña?
Revisamos qué accesos están expuestos, activamos el segundo factor donde hace falta y dejamos por escrito qué hacer cuando alguien pierde el móvil.
Hablemos de tus accesos Sin compromiso · Respuesta en menos de 24 h
