--- id: CP-559 slug: doble-autenticacion-correo-personal lang: es title: Proteger su correo personal con la doble autenticación description: "Activar la doble autenticación en el correo personal: métodos, códigos de respaldo, reenvíos que comprobar y trampas que conviene conocer." canonical_url: https://startbrain.io/cyberpedia/es/articles/doble-autenticacion-correo-personal/ markdown_url: https://startbrain.io/cyberpedia/es/articles/doble-autenticacion-correo-personal.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Proteger su correo personal con la doble autenticación», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/doble-autenticacion-correo-personal/ (CC BY 4.0) wing: 5 theme: outsmart_social_engineering reflex: cr-064 schema: G5 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/doble-autenticacion-correo-personal/ fr: https://startbrain.io/cyberpedia/fr/articles/double-authentification-boite-mail-personnelle/ en: https://startbrain.io/cyberpedia/en/articles/two-factor-authentication-personal-email/ de: https://startbrain.io/cyberpedia/de/articles/doppelte-authentifizierung-privates-e-mail-postfach/ it: https://startbrain.io/cyberpedia/it/articles/autenticazione-a-due-fattori-posta-personale/ sources: - "n": 1 title: More than a Password | CISA publisher: CISA url: https://www.cisa.gov/MFA accessed: "2026-11-03" - "n": 2 title: Multifactor Authentication - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html accessed: "2026-11-03" - "n": 3 title: Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1621/ accessed: "2026-11-03" - "n": 4 title: Require Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-strong-passwords accessed: "2026-11-03" - "n": 5 title: "Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1114/003/ accessed: "2026-11-03" - "n": 6 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 7 title: Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1111/ accessed: "2026-11-03" - "n": 8 title: "Modify Authentication Process: Multi-Factor Authentication, Sub-technique T1556.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1556/006/ accessed: "2026-11-03" --- # Proteger su correo personal con la doble autenticación Una contraseña sola protege mal un buzón de correo. La CISA, la agencia estadounidense de ciberseguridad, recuerda que una contraseña puede reutilizarse, adivinarse o robarse con más facilidad, y que los actores maliciosos saben eludirla [1]. La doble autenticación (también llamada MFA, 2FA o verificación en dos pasos) añade una segunda prueba de identidad en el momento de iniciar sesión [1]. La CISA sitúa el correo electrónico a la cabeza de las cuentas en las que conviene implantar la doble autenticación [1]. Los servicios suelen enviar un código o un enlace a la dirección de la cuenta para verificar a su titular [2]. Esta ficha explica los métodos, los pasos que hay que dar y las trampas. ## En 30 segundos - Dónde ocurre: al iniciar sesión en un correo personal, y cuando un mensaje falso, un falso asesor o una avalancha de notificaciones le empujan a dar un código o a aprobar una solicitud. - Lo que quiere el atacante: entrar en el buzón con una contraseña robada y luego eludir el segundo paso obteniendo de la víctima un código o una aprobación [3]. - El reflejo: activar la doble autenticación en el correo, preferir una aplicación o una llave de seguridad al SMS, y no aprobar ni comunicar nunca un código que no haya provocado usted mismo. - Si ya está hecho: revisar las opciones de recuperación, los métodos registrados y las reglas de reenvío del buzón. ## Preguntas directas ### ¿Qué es la doble autenticación? Es un método que combina al menos dos pruebas de tres familias: algo que se sabe (contraseña, PIN), algo que se posee (aplicación de autenticación, SMS de confirmación) y algo que se es (huella, rostro) [1]. Si la contraseña se roba, el atacante se topa con la segunda exigencia [1]. ### ¿Dónde hay que activarla? La CISA cita primero las cuentas de correo, y después los servicios financieros, las redes sociales, las tiendas en línea y los servicios de juegos y de streaming [1]. Las opciones están en los ajustes de seguridad de la cuenta, con nombres variables: «Two Factor Authentication», «Multifactor Authentication» o «Two Step Factor Authentication» [1]. Si el servicio no la ofrece, la CISA aconseja pedírsela [1]. ### ¿Todos los métodos valen lo mismo? No. La CISA escribe que «any MFA is better than no MFA», pero que unos métodos protegen mejor que otros [1]. Presenta FIDO/WebAuthn como la única autenticación resistente al phishing ampliamente disponible: si el usuario es engañado por un sitio falso, el protocolo bloquea el intento [1]. Las llaves de seguridad de tipo U2F, como la YubiKey, resisten al phishing porque la clave privada nunca sale del dispositivo [2]. ### ¿Hay que evitar el SMS? Es mejor que nada [1], pero tiene debilidades conocidas. OWASP lo clasifica entre los autenticadores restringidos, por la interceptación SS7, el intercambio de tarjeta SIM y la portabilidad del número [2]. Para quien solo dispone del SMS, OWASP aconseja prever una migración a una aplicación de códigos temporales (TOTP), a las notificaciones push o a WebAuthn/FIDO2 [2]. ## Cómo funciona Una aplicación de autenticación genera un código numérico de corta duración. El usuario la instala en su teléfono, escanea un código QR que le da el servicio, el cual aporta la semilla inicial, y después introduce los códigos que se muestran [2]. La RFC 6238 recomienda por defecto un intervalo de 30 segundos [2]. El punto débil es el teléfono: si el aparato se pierde, se roba o se queda sin batería, iniciar sesión resulta imposible, y las copias de seguridad de la semilla pueden guardarse mal [2]. Una llave de hardware U2F funciona de otro modo. No hay nada que copiar: el usuario pulsa un botón o acerca la llave a un lector NFC [2]. ## Lo que usted hace - Active hoy mismo la doble autenticación en el correo [1]. - Elija una aplicación de autenticación o una llave de seguridad en lugar del SMS [2]. Si solo se ofrece el SMS, úselo antes que nada [1]. - Guarde los códigos de respaldo. OWASP cita entre los métodos de recuperación habituales los códigos de un solo uso entregados al registrarse [2]. - Proteja la contraseña. La CISA pide contraseñas largas (al menos 16 caracteres), aleatorias y únicas, guardadas en un gestor de contraseñas [4]. - Controle las opciones de recuperación: número de teléfono, dirección de respaldo, dispositivos registrados. OWASP señala que cambiar un factor de autenticación es una operación que los atacantes aprovechan para tomar una cuenta, y que el servicio debe avisar al usuario por otro canal en cada cambio [2]. Un aviso de este tipo que usted no ha provocado es una señal de alerta. - Busque reenvíos. Un atacante puede crear una regla que transfiera los mensajes a otra dirección, y esa regla le mantiene el acceso a los correos incluso después de que los administradores restablezcan las credenciales [5]. En el correo, abra los ajustes de reglas y reenvíos y elimine todo lo que usted no haya creado. ## Las trampas ### Las notificaciones en ráfaga Un atacante que conoce la contraseña puede provocar el inicio de sesión una y otra vez e inundar a la víctima de notificaciones, SMS y llamadas, con la esperanza de que acabe aceptando por cansancio: es la «MFA fatigue» [3]. MITRE cita grupos que han empleado este método, entre ellos LAPSUS$ y Scattered Spider [3]. La regla: apruebe solo los inicios de sesión que acaba de lanzar. A falta de una MFA resistente al phishing, la CISA invita a considerar la coincidencia de números para frenar estos ataques [1]. ### El código pedido por un falso asesor Un mensaje de phishing puede pedir que se llame a un número, donde el interlocutor dirige a la víctima a una dirección maliciosa o le hace instalar una herramienta de acceso remoto [6]. Un código recibido por SMS o por correo no se comunica a nadie: sirve para demostrar que usted es el titular de la cuenta. MITRE recuerda que los códigos enviados por SMS o por correo pueden ser interceptados si el dispositivo o el servicio no están asegurados [7]. ### Los falsos mensajes de seguridad El phishing es ingeniería social transmitida por vía electrónica: el atacante se hace pasar por una fuente de confianza [6]. Un falso mensaje de alerta puede remitir a una copia del sitio de inicio de sesión. Herramientas como evilginx2 interceptan entonces los tokens de autenticación y eluden las formas de autenticación que no resisten al phishing [7]. Una llave FIDO bloquea este escenario [1]. En caso de duda, no haga clic: abra el servicio escribiendo usted mismo su dirección. ### El número de teléfono desviado En el intercambio de tarjeta SIM, el atacante convence al operador de que transfiera el número de la víctima, lo que le permite recibir los códigos por SMS o por llamada [2]. OWASP recomienda vigilar los cambios de número o las sustituciones de tarjeta SIM imprevistos [2]. ### El segundo paso desactivado Tras entrar en una cuenta, un atacante puede desactivar la doble autenticación o registrar su propio método [8]. Revise de vez en cuando la lista de métodos y de dispositivos registrados en el correo. ## Fuentes 1. CISA, «More than a Password | CISA». https://www.cisa.gov/MFA (consultado el 3 de noviembre de 2026) 2. OWASP, «Multifactor Authentication - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Multifactor_Authentication_Cheat_Sheet.html (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1621/ (consultado el 3 de noviembre de 2026) 4. CISA, «Require Strong Passwords | CISA». https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-strong-passwords (consultado el 3 de noviembre de 2026) 5. MITRE ATT&CK, «Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1114/003/ (consultado el 3 de noviembre de 2026) 6. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado el 3 de noviembre de 2026) 7. MITRE ATT&CK, «Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1111/ (consultado el 3 de noviembre de 2026) 8. MITRE ATT&CK, «Modify Authentication Process: Multi-Factor Authentication, Sub-technique T1556.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1556/006/ (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/doble-autenticacion-correo-personal/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.