Cómo el phishing roba tus códigos 2FA — y cómo detenerlo

Por qué los códigos 2FA son ahora un objetivo

Durante años, el consejo de seguridad se redujo a una línea: usa una contraseña fuerte y única. Ese consejo sigue siendo importante, pero dejó de ser suficiente. A medida que la autenticación de dos factores se extendió por las cuentas bancarias, de correo electrónico y de redes sociales, los atacantes chocaron contra un muro: una contraseña robada por sí sola ya no abría la puerta.

Así que cambiaron de táctica. En lugar de atacar la contraseña, ahora van tras el segundo factor mismo: el código de un solo uso que llega por mensaje de texto, aplicación de autenticación o notificación push.

El código es el nuevo premio

Estos códigos parecen desechables — seis dígitos, válidos durante segundos. Pero durante esos pocos segundos, un código es tan poderoso como tu contraseña. Los atacantes rara vez "hackean" el código. Te engañan para que se lo entregues, usando una página de inicio de sesión falsa, una llamada telefónica convincente o un mensaje urgente que te pide "verificar" un número que acabas de recibir.

Por qué sigue funcionando

El phishing tiene éxito no por quebrar la tecnología, sino por explotar los hábitos humanos: la confianza en marcas conocidas, el miedo a problemas con la cuenta y la presión de actuar rápidamente. No hace falta que exista ningún fallo técnico para que esto funcione — y es exactamente por eso que sigue funcionando. Entender ese cambio es el primer paso para detenerlo.

Páginas de inicio de sesión falsas: el clásico truco

El truco más antiguo sigue siendo el más común: un sitio web que se parece exactamente al que usted confía. Los atacantes copian la pantalla de inicio de sesión real — mismo logo, mismos colores, mismos campos — y la alojan en un dominio casi idéntico. Estas direcciones se basan en detalles fáciles de pasar por alto de un vistazo: una letra cambiada, una palabra extra como "secure" o "login", o una terminación inusual donde usted esperaría ".com".

La página se comporta como la auténtica, y ese es precisamente el problema. Usted escribe su usuario y contraseña. El sitio falso pide entonces el segundo paso, igual que haría el sitio genuino, y usted introduce el código de su aplicación de autenticación o SMS.

En ese momento, el atacante lo tiene todo. En cuanto sus datos llegan a su servidor, abren el sitio web real e inician sesión con su contraseña y su código recién generado. Esto suele ocurrir en segundos, mucho antes de que un código de 30 segundos expire. Para el sitio real, parece un inicio de sesión perfectamente normal.

La página falsa muestra entonces un error, un mensaje de "sesión expirada", o simplemente lo redirige — cualquier cosa que le impida preguntarse por qué el inicio de sesión falló silenciosamente.

Phishing en tiempo real: el Adversary-in-the-Middle

Las páginas de inicio de sesión falsas son cada vez más inteligentes. La versión más peligrosa no solo recopila tu contraseña: la usa de inmediato.

Cómo funciona el relé

Un ataque de adversary-in-the-middle (AiTM) utiliza un sitio proxy que se sitúa entre tú y el sitio web real. Haces clic en un enlace, llegas a una copia casi perfecta de la página de inicio de sesión y escribes tus credenciales. El proxy las reenvía al sitio genuino y te devuelve todo: así la página se comporta exactamente como la real.

Luego ingresas tu código 2FA. El proxy lo transmite en tiempo real, el sitio real lo acepta y el inicio de sesión se completa, pero del lado del atacante.

Por qué la caducidad rápida del código no te salva

Una ventana de 30 segundos para el código supone que el atacante ve primero tu contraseña y después tu código. AiTM elimina ese intervalo: el código se usa en el momento en que lo escribes, mientras sigue siendo válido. El tiempo de caducidad deja de importar.

El verdadero premio: tu sesión

Después del inicio de sesión, el sitio genuino entrega una cookie de sesión al navegador del atacante, no al tuyo. El atacante ahora tiene una sesión autenticada y puede leer tu correo electrónico, restablecer otras contraseñas o permanecer conectado en silencio. Tu contraseña y tu código nunca fueron robados; fueron tomados prestados, en vivo, y eso es peor.

Ingeniería social más allá del formulario de inicio de sesión

No todos los ataques implican un sitio web falso. Algunos ladrones omiten la tecnología por completo y apuntan a la persona que sostiene el teléfono.

Vishing: la llamada que pide tu código

El "vishing" es phishing por teléfono. La persona que llama dice ser de tu banco, empleador o un equipo de soporte, crea urgencia —transacción sospechosa, cuenta bloqueada— y luego te pide leer en voz alta el código de verificación "para confirmar tu identidad". Ningún servicio legítimo necesitará jamás que pronuncies tu código en voz alta. La persona que llama está iniciando sesión en este mismo momento, y tu código es la última pieza que le falta.

Fatiga de notificaciones push

Si tu aplicación envía solicitudes de aprobación, los atacantes que ya conocen tu contraseña pueden bombardearte con solicitudes "¿Aprobar inicio de sesión?" a las 2 a. m., esperando que toques Aceptar para que se detengan. Un toque cansado entrega tu cuenta. Algunas aplicaciones añaden la coincidencia de números —debes escribir el número que aparece en pantalla— precisamente porque las aprobaciones accidentales son comunes.

SIM swap e interceptación de SMS

Los códigos enviados por mensaje de texto viven en tu número de teléfono, y los números de teléfono pueden ser robados. En un SIM swap, un estafador convence a tu operador para transferir tu número a su tarjeta SIM y luego recibe tus códigos directamente. SMS es el canal de 2FA más débil; trátalo como un respaldo, no como un fundamento.

Defensas que realmente detienen el robo de códigos

Passkeys y llaves de seguridad: inmunes al phishing por diseño

Las passkeys y las llaves de hardware FIDO2 están vinculadas criptográficamente al sitio web exacto que las registró — una propiedad llamada origin binding. Antes de firmar algo, tu dispositivo verifica que se comunica con el dominio genuino. En una página de inicio de sesión falsa, incluso una que ejecute un proxy en tiempo real, la llave simplemente se niega. No hay nada que robar ni nada que reproducir; el inicio de sesión falla por sí solo. Esta es la única defensa aquí que detiene el phishing automáticamente, sin que tengas que darte cuenta de nada.

Prefiere las apps a los SMS

Los códigos de las apps de autenticación superan a los códigos SMS, que pueden ser interceptados mediante SIM swaps o desviados a un relé del atacante antes de llegar a ti. Los códigos de las apps permanecen en tu dispositivo — aunque un phisher paciente aún puede convencerte de leerlos en voz alta, así que trata cada solicitud de código con sospecha. Para las cuentas de correo electrónico, banca y gestor de contraseñas, añade una llave de hardware FIDO2 como la opción más fuerte.

Deja que tu gestor de contraseñas sea el canario

Los gestores de contraseñas autocompletan las credenciales solo en el dominio exacto donde fueron guardadas. En un sitio que imita al original, no se autocompleta nada. Trata un autocompletado vacío como una señal de alerta: revisa la barra de direcciones antes de escribir algo manualmente.

Hábitos diarios que mantienen los códigos seguros

Las defensas fuertes fracasan cuando la rutina diaria se descuida. Unos pocos hábitos cierran la mayoría de las brechas restantes.

Nunca compartas un código. Ningún servicio legítimo, banco ni agente de soporte te pedirá jamás tu código 2FA, una contraseña o un «número de verificación» por teléfono, correo electrónico o chat. Quien lo pida es un atacante. Un código es una llave, no una contraseña que confirmar.

Comprueba dónde escribes. Antes de introducir credenciales, mira la dirección completa en la barra del navegador — no solo el logotipo de la página. Mejor aún, sáltate la inspección por completo: usa marcadores para los sitios importantes o escribe la dirección tú mismo. Los enlaces en correos y mensajes son la forma en que las páginas falsas consiguen sus visitas.

Si escribiste un código en una página sospechosa:

1. Cambia la contraseña de esa cuenta de inmediato.
2. Cierra todas las demás sesiones en la configuración de seguridad de la cuenta.
3. Contacta al proveedor a través de sus canales oficiales de soporte y repórtalo.
4. Si reutilizas esa contraseña en otro lugar, cámbiala allí también.

La velocidad importa — un código robado suele usarse en cuestión de minutos.

El patrón en las seis secciones es simple: los atacantes persiguen códigos porque los códigos desbloquean cuentas. Guarda los códigos para ti, verifica dónde los introduces y prefiere passkeys o llaves de hardware cuando un servicio las ofrezca. Hazlo, y el phishing tendrá muy poco que robar.

Errores frecuentes que siguen dejando la puerta abierta

Conocer los ataques no basta si los propios hábitos los facilitan. Estos son los errores más comunes — y cómo corregirlos.

Guardar códigos de respaldo donde los atacantes buscan primero. Muchos servicios entregan códigos de recuperación al activar el 2FA, y mucha gente los guarda en notas del teléfono, el borrador del correo o un documento llamado "contraseñas". Si un atacante accede a tu correo, esos códigos le dan la llave de emergencia que tú nunca usaste. Guárdalos en el gestor de contraseñas o impresos en papel, en un lugar físico seguro.

Configurar 2FA y olvidar el método de recuperación. Si pierdes el teléfono con tu única app de autenticación y no registraste un segundo método, puedes quedar tú mismo bloqueado — o tentado a usar SMS "temporalmente" y dejarlo así para siempre. Registra al menos dos métodos: una app o llave como principal, y códigos de respaldo como plan B.

Confiar ciegamente en la notificación push. El error clásico es aprobar sin mirar. Si tu aplicación muestra número de coincidencia, úsalo siempre; si muestra la ubicación o la aplicación que solicita acceso, léela antes de tocar nada. Una solicitud a medianoche que no iniciaste tú es una señal, no una molestia.

Tratar el 2FA como invulnerable. Ningún método basado en códigos compartibles detiene a alguien que te convence de entregar el código. La actitud correcta no es "tengo 2FA, estoy a salvo", sino "el 2FA es una capa; la sospecha es la otra". Revisa la configuración de seguridad de tus cuentas clave una o dos veces al año: sesiones activas, métodos de inicio de sesión y alertas de actividad inusual. Cinco minutos ahí valen más que cualquier consejo genérico.