Una contraseña filtrada en un sitio ajeno, reutilizada en el correo de la empresa y listo: el atacante entra sin tocar ningún sistema de la red. La autenticación de dos pasos cierra esa puerta aunque la clave esté comprometida, porque exige un segundo factor que el atacante no tiene. El reto en empresa no es técnico, es de adopción: si el proceso molesta, el personal busca cómo saltárselo.
Esta guía cubre los métodos disponibles, cómo habilitarla en el correo corporativo y las aplicaciones, y los dos casos que siempre aparecen: personal sin celular y recuperación de cuentas perdidas.
Qué es la autenticación de dos pasos
El segundo factor exige algo que el usuario sabe (código o PIN), tiene (teléfono, token, llave física) o es (huella, rostro). Una contraseña sola es lo primero; con el segundo factor, la clave robada ya no alcanza para entrar. La diferencia con un segundo código permanentemente impreso es que el factor debe cambiar o caducar.
La combinación más usada en empresa es contraseña más código de una aplicación de autenticadores: la clave se guarda en la contraseña maestra y el código caduca en segundos. Es la base del modelo Zero Trust, donde cada acceso se verifica sin confiar en la red, como se explica en qué es Zero Trust.
Métodos disponibles y nivel de seguridad
De mayor a menor resistencia:
- Llave física FIDO2: no dependen del teléfono ni de la contraseña; máxima resistencia al phishing. Ideales para administradores y finanzas
- Aplicación de autenticadores: códigos temporales que funcionan sin señal; buen equilibrio para la mayoría del personal
- Token con pantalla: útil en puestos fijos sin celular personal
- SMS: aceptable solo como último recurso, porque el robo de la tarjeta SIM (SIM swapping) lo deja sin efecto
El código por correo electrónico como segundo factor es la opción más débil: si el atacante ya tiene el correo, tiene también el "segundo" factor.
Cómo habilitarla en correo y aplicaciones
En Microsoft 365 y Google Workspace la configuración se hace desde el panel de administración y se aplica por política: obligatoria para administradores y áreas críticas, recomendada para el resto. El despliegue por etapas evita el caos: primero directivos, TI y finanzas; después las áreas con acceso a sistemas; al final, toda la empresa.
Antes de exigirla conviene verificar las aplicaciones que usan la contraseña del correo (facturación, CRM, escáneres multifuncionales, sistemas antiguos): muchas no soportan segundo factor y necesitan cuentas de aplicación con permisos acotados. Ese inventario previo evita que la política corte accesos legítimos el primer día.
Personal sin celular y casos especiales
Hay personal que no usa celular por política o por decisión propia. Las alternativas reales son el token con pantalla, la llave física o códigos impresos de un solo uso con control de entrega. Lo que no funciona es desactivar el segundo factor "solo para ese caso": esa excepción se convierte en la vía del ataque y desvirtúa toda la política.
Los proveedores externos, becarios y cuentas compartidas de recepción son el otro caso: cada usuario debe tener su propia identidad, aunque sea de solo lectura. Compartir una cuenta con doble factor es compartir también el segundo factor, y el registro de quién accedió se pierde.
Recuperación de cuentas sin perder control
El procedimiento de recuperación es la parte que más se descuida y la que decide si el MFA protege de verdad. Si cualquier persona puede llamar a soporte y pedir desactivar el segundo factor, el control se reduce a una llamada. La recuperación debe verificar identidad con un segundo responsable o con un método registrado al alta.
Conviene entregar códigos de recuperación al dar de alta la cuenta y guardarlos fuera del correo, y documentar el procedimiento: quién autoriza, qué evidencia pide y cuánto tarda. Esa fricción mínima es el precio de no convertir el soporte en la puerta trasera. El control de quién accede a qué se complementa con control de acceso empresarial y con la prevención de correos de phishing.
La autenticación de dos pasos deja de ser opcional cuando la contraseña ya no es secreto. Con llave o aplicación para lo crítico, despliegue por etapas y un procedimiento de recuperación verificado, el segundo factor protege de verdad y no frena al usuario.
