Poco más de la mitad de las organizaciones de la región usa un segundo factor. Por dónde empezar, qué método elegir y cómo se hace el alta sin que la gente se rebele.

El doble factor es la medida que más incidentes evita en relación con lo que cuesta. Y sin embargo, según el informe de seguridad de ESET para Latinoamérica de 2026, sólo el 57 % de las organizaciones lo usa. Casi la mitad sigue confiando en que una contraseña alcanza.

Qué es

Además de la contraseña, entrar exige algo que la persona tiene: un código que aparece en el celular, una aprobación en una aplicación o una llave física. Si alguien consigue la contraseña, sin el segundo factor no entra.

Dónde primero

No hace falta activarlo en todo el mismo día. Este es el orden que seguimos:

1. Correo. Es la puerta a todo lo demás: con el correo se recuperan las contraseñas del resto.
2. Acceso remoto y VPN. Cualquier cosa a la que se llegue desde afuera de la oficina.
3. Cuentas de administrador. Las del técnico, las del sistema de gestión, las del firewall.
4. Banca y plataformas de pago. Suelen tenerlo disponible y no activado.
5. El resto de las aplicaciones en la nube, en orden de importancia.

Qué método elegir

• Aplicación en el celular (Microsoft Authenticator, Google Authenticator o similar): la opción recomendada. Gratis, funciona sin señal y no depende del número de teléfono.
• Código por SMS: mejor que nada, pero el número se puede clonar. Lo dejamos sólo cuando no hay otra opción.
• Llave física: para las dos o tres cuentas más críticas de la empresa, como los administradores.

Cómo se hace el alta sin que la gente se rebele

La resistencia viene de dos lugares: no entender para qué sirve y que el alta salga mal. Las dos se resuelven con método.

• Diez minutos por persona, presencial o por videollamada. Instalamos la aplicación, cargamos la cuenta, probamos que entra. No se manda un instructivo por correo y "que se arreglen".
• Explicar el porqué en una frase: "si a alguien le roban tu contraseña, con esto no entra".
• Códigos de recuperación guardados por sistemas, para el día que la persona cambie de celular.
• Empezar por dirección y administración. Cuando los jefes lo usan, el resto lo acepta.

En números

Una empresa de treinta personas queda con doble factor en correo y VPN en dos días de trabajo. A partir de ahí, la mayoría de las contraseñas filtradas dejan de ser un problema.