SMS vs. apps de autenticación y passkeys: qué método elegir

La verificación en dos pasos añade una capa extra de seguridad a tus cuentas, pero no todos los métodos ofrecen el mismo nivel de protección. El código por SMS, el más extendido, tiene debilidades conocidas que los ciberdelincuentes aprovechan activamente. Conocer las alternativas —aplicaciones autenticadoras y passkeys— te ayuda a decidir dónde vale la pena invertir un poco más de esfuerzo para estar más protegido.

Cómo funciona la verificación por SMS

Cuando activas la autenticación en dos pasos por SMS, el servicio te envía un código numérico a tu teléfono cada vez que inicias sesión desde un dispositivo nuevo. Es cómodo porque no requiere instalar nada adicional y casi todo el mundo tiene un número de móvil. Por eso sigue siendo la opción por defecto en muchos bancos, redes sociales y tiendas online.

Los riesgos del código por SMS

El problema no está en el código en sí, sino en el canal por el que viaja. Los mensajes de texto no van cifrados de extremo a extremo y dependen de la red del operador móvil, lo que abre varias puertas a los atacantes:

• Intercambio de SIM (SIM swapping): un delincuente convence a tu operador, con datos personales robados, de transferir tu número a una tarjeta SIM que él controla. A partir de ahí recibe tus códigos y puede tomar el control de tus cuentas.
• Interceptación de mensajes: existen técnicas que permiten desviar o leer SMS sin que el usuario lo note, especialmente si el teléfono está infectado con software malicioso.
• Phishing en tiempo real: páginas falsas piden tu contraseña y, segundos después, el código que acabas de recibir, reenviándolo de inmediato al servicio real antes de que caduque.
• Dependencia de la cobertura: si viajas, cambias de país o te quedas sin señal, puede que no recibas el código a tiempo.

Qué es el intercambio de SIM y por qué preocupa tanto

El SIM swapping es especialmente peligroso porque no requiere acceso físico a tu teléfono: basta con engañar al operador o a un empleado desprevenido. Una vez que el atacante controla tu número, puede restablecer contraseñas y recibir todos los códigos de verificación destinados a ti, incluso los de tu banco. Las señales de alerta incluyen perder cobertura de repente, no poder llamar ni enviar mensajes, o recibir avisos de tu operador sobre cambios que no solicitaste.

Apps de autenticación: una alternativa más segura

Las aplicaciones autenticadoras generan códigos temporales directamente en tu dispositivo, sin pasar por la red del operador. El código se crea con un algoritmo compartido entre la app y el servicio, y cambia cada pocos segundos. Al no depender del número de teléfono, quedan protegidas frente al intercambio de SIM y a la interceptación de mensajes. Suelen funcionar incluso sin conexión a internet, lo que las hace útiles al viajar. Algunas también permiten hacer una copia de seguridad cifrada para no perder el acceso si cambias de móvil, aunque conviene revisar bien esa opción antes de activarla.

Passkeys: el paso siguiente

Las passkeys son una tecnología más reciente que busca eliminar la necesidad de contraseñas y códigos por separado. Se basan en un par de claves criptográficas: una queda guardada de forma segura en tu dispositivo (protegida por tu huella, tu rostro o tu PIN) y la otra en el servidor del servicio. Al iniciar sesión, tu dispositivo demuestra que tiene la clave privada sin enviarla nunca por internet, así que no hay un código que interceptar ni una contraseña que robar mediante phishing. Cada vez más bancos, correos electrónicos y plataformas están habilitando esta opción, y suele configurarse en los ajustes de seguridad de la cuenta.

Cómo elegir el método adecuado

No siempre puedes decidir libremente: algunos servicios solo ofrecen SMS. Cuando tengas opción, prioriza este orden:

• Passkeys, si el servicio las ofrece: son las más resistentes al phishing y no dependen de tu número de teléfono.
• Aplicaciones autenticadoras, como segunda opción sólida y ampliamente compatible.
• SMS, únicamente cuando no exista otra alternativa, y siempre como respaldo, no como método principal.

Checklist de protección

• Activa la verificación en dos pasos en el correo electrónico, banca online y redes sociales, priorizando app o passkey sobre SMS.
• Añade un PIN o contraseña específica en tu cuenta con el operador móvil para dificultar el intercambio de SIM.
• Nunca compartas un código de verificación por teléfono, aunque quien lo pida diga ser de tu banco o de soporte técnico.
• Guarda los códigos de recuperación de tus apps autenticadoras en un lugar seguro y offline.
• Si pierdes cobertura móvil sin explicación, contacta de inmediato a tu operador desde otro teléfono o medio.
• Revisa periódicamente los dispositivos y sesiones activas en tus cuentas más importantes.

Qué hacer si sospechas un ataque

Si notas que tu número deja de funcionar de forma inesperada, o recibes alertas de inicio de sesión que no reconoces, contacta de inmediato a tu operador móvil para verificar si hubo un cambio de SIM no autorizado, y avisa a tu banco usando el número que figura en tu tarjeta o en su sitio oficial. Cambia las contraseñas de tus cuentas más sensibles desde un dispositivo seguro y, si es posible, migra la verificación en dos pasos de esas cuentas a una app autenticadora o a passkeys lo antes posible. Actuar con rapidez reduce mucho el daño potencial.