Una contraseña es una sola prueba: algo que sabe. El problema es que cualquier cosa que sepa también puede llegar a saberla otra persona — adivinada, filtrada en una brecha de datos no relacionada, o entregada mediante un correo de phishing convincente. La autenticación de dos factores (2FA) no intenta hacer esa única prueba imposible de romper. En vez de eso, insiste en una segunda prueba, completamente diferente — y es esa combinación la que realmente impide la mayoría de los robos de cuenta.
Núcleo GCSE
Las tres categorías oficiales de prueba
Los sistemas de seguridad clasifican la prueba de autenticación en tres factores: algo que <strong>sabe</strong> (una contraseña, un PIN), algo que <strong>tiene</strong> (un teléfono que puede recibir un código, una llave de seguridad física), y algo que <strong>es</strong> (una huella dactilar o escaneo facial). La autenticación multifactor real combina prueba de al menos dos categorías <em>diferentes</em> — por eso exactamente una contraseña más una pregunta de seguridad no es 2FA real: ambas siguen siendo cosas que sabe, y ambas pueden robarse o adivinarse de la misma manera.
Una contraseña sola es un factor — algo que sabe, y las cosas que se saben pueden filtrarse. La 2FA añade una segunda prueba diferente, y exige ambas juntas.
Por qué combinar dos factores es mucho más fuerte
Un atacante que ha robado una base de datos de contraseñas filtradas ahora tiene millones de «cosas que sabe» válidas — pero casi ninguna de las correspondientes «cosas que tiene». Saltarse la 2FA significa comprometer dos sistemas completamente diferentes a la vez: su contraseña, y por separado, su teléfono físico o llave de seguridad. Este segundo requisito no necesita ser imposible de romper por sí mismo — solo necesita ser una barrera realmente distinta, para que una sola filtración o una sola conjetura no pueda superar ambas a la vez.
Pregunta tipo examen
Un sitio web exige que los usuarios introduzcan una contraseña y luego respondan a una pregunta de seguridad (por ejemplo, «¿Cuál es el apellido de soltera de tu madre?»). Explica por qué esto no es una auténtica autenticación de dos factores. [3 puntos]
Mostrar respuesta modelo y desglose de puntos
- La 2FA genuina requiere prueba de dos categorías diferentes: algo que sabes, algo que tienes y algo que eres (1 punto)
- Tanto una contraseña como la respuesta a una pregunta de seguridad son cosas que el usuario sabe (1 punto)
- Como ambos factores provienen de la misma categoría, un atacante que obtenga uno (por ejemplo, mediante investigación o una filtración de datos) a menudo puede obtener el otro de la misma manera, por lo que no hay una segunda barrera genuinamente independiente (1 punto)
Lo que valora el examinador: nombra las tres categorías de factores e identifica que ambos ejemplos caen en la misma — ese es exactamente el razonamiento que se evalúa aquí.
Error frecuente: suponer que cualquier segunda información cuenta automáticamente como «dos factores» — el requisito son dos tipos diferentes de prueba, no solo dos datos.
Dónde la 2FA aún puede vencerse — y por qué no es razón para saltársela
La 2FA no es inmune a todo ataque — el fraude de intercambio de SIM puede, en casos raros, redirigir códigos SMS, y páginas de phishing sofisticadas pueden retransmitir ambos factores a un atacante en tiempo real. Pero estos ataques requieren mucho más esfuerzo y son mucho más raros que los ataques masivos de filtración de contraseñas contra los que las contraseñas solas son indefensas. La 2FA no promete seguridad perfecta; promete que los ataques baratos y automatizados que funcionan contra las contraseñas solas dejan de funcionar. Si la autenticación, la ciberseguridad u otros temas de informática necesitan explicarse con el mecanismo real en vez de solo un consejo a seguir, eso es exactamente para lo que sirve nuestra clase particular de informática GCSE — vea el camino de aprendizaje completo aquí.
Preguntas frecuentes
¿Cuáles son los tres factores oficiales en autenticación?
Algo que sabe (una contraseña o PIN), algo que tiene (un teléfono, una llave de seguridad física, una tarjeta bancaria), y algo que es (una huella dactilar, un escaneo facial, u otro dato biométrico). La autenticación multifactor real combina al menos dos de estas tres categorías — dos contraseñas no constituyen 2FA, ya que ambas son el mismo factor.
¿Es un código por SMS tan seguro como una app de autenticación?
No del todo — los códigos SMS pueden, en casos raros pero reales, interceptarse mediante un ataque de «intercambio de SIM», donde alguien engaña a un operador telefónico para transferir su número a su propia tarjeta SIM. Las apps de autenticación generan códigos localmente en su dispositivo sin depender de la red telefónica, lo que cierra esa vía de ataque específica, aunque ambas son mucho más seguras que una contraseña sola.
¿Por qué algunos servicios ahora insisten tanto en la 2FA, cuando antes no lo hacían?
Porque las filtraciones masivas de contraseñas de brechas no relacionadas son ahora comunes, y mucha gente reutiliza contraseñas en varios sitios — lo que significa que una contraseña filtrada puede comprometer varias cuentas. La 2FA se volvió una prioridad una vez que los servicios reconocieron que una contraseña filtrada ya no es un evento raro sino algo que eventualmente le pasará a la mayoría de las cuentas.
Valoraciones y reseñas de lectores
Valore este artículo en varios aspectos — su opinión ayuda a otros lectores, y nos ayuda a mejorar.
¿Le ha resultado útil este artículo?
Cuéntenos qué le parece — una corrección, una pregunta sin responder, o un tema que le gustaría ver tratado a continuación.
¿Prefiere hablarlo? Reserve una videollamada gratuita cuando le convenga: 15 minutos para una pregunta rápida, 30 para todo lo demás. Los horarios aparecen en su zona horaria.
Sobre el autor
Sudershan Soni
Fundador y tutor principal en Mostak Services — tutor de matemáticas, ciencias, informática y STEM titulado con máster, con más de 20 años de experiencia profesional, enseñando a alumnos desde el 11+ y el GCSE hasta el A-Level y más allá, en línea en todo el mundo.
Leer el perfil completo