Cómo proteger tus cuentas con verificación en dos pasos (2FA)

La verificación en dos pasos (2FA) es el candado más efectivo y más barato que existe: además de tu contraseña, pide un código temporal que cambia cada pocos segundos. Aunque alguien robe tu clave, sin ese código no entra.

App autenticadora > SMS

Si puedes elegir, usa una app autenticadora (como Google Authenticator o similar) en vez de recibir códigos por SMS. El motivo es el duplicado de SIM: si alguien logra que tu operadora le entregue una copia de tu línea, recibe todos tus códigos. La app, en cambio, vive en tu teléfono y no depende de la línea.

Por dónde empezar (en este orden)

1. Tu correo electrónico: es la llave maestra, porque desde ahí se recuperan todas las demás cuentas
2. Tus billeteras y apps de dinero
3. Tus cuentas de juegos, sobre todo las que tienen compras
4. Tus redes sociales

Guarda los códigos de respaldo

Al activar el 2FA, cada servicio te muestra unos códigos de respaldo. Guárdalos en un lugar seguro (escritos, o en un gestor de contraseñas). Son tu única salida si pierdes el teléfono — y casi todo el mundo los ignora hasta que los necesita.

Errores comunes

• Activar 2FA y no guardar los códigos de respaldo.
• Usar el mismo correo y la misma contraseña en todos lados.
• Compartir un código de verificación con alguien que "te está ayudando": ningún soporte real te lo pide.

Llaves de acceso (passkeys): el paso siguiente al 2FA

En 2026 casi todas las grandes plataformas ofrecen llaves de acceso: entras con la huella, la cara o el PIN del teléfono, sin escribir contraseña ni código. Según Google, resisten el phishing porque no se pueden copiar, escribir ni entregar por error: la llave vive en tu dispositivo (Llavero de iCloud en iPhone, gestor de Google en Android) y solo responde al sitio real. Para crear la de tu cuenta de Google entra a la página de opciones de inicio de sesión de tu cuenta y elige "Crear llave de acceso". Hazlo solo en dispositivos tuyos: quien desbloquee ese teléfono podría entrar.

Cómo migrar tu autenticador sin quedarte fuera

1. Abre Google Authenticator y confirma que arriba aparece tu cuenta de Google con la nube marcada: eso significa que los códigos están sincronizados y aparecerán en el teléfono nuevo al iniciar sesión (ayuda oficial de Google).
2. Si prefieres no sincronizar, antes de cambiar de teléfono ve a Menú > Transferir cuentas > Exportar cuentas y escanea el QR desde el nuevo.
3. Si perdiste el teléfono sin haber hecho ninguna de las dos, tendrás que entrar a cada servicio con los códigos de respaldo y volver a configurar el 2FA. Por eso los códigos de respaldo no son opcionales.

Hay más detalle en cómo pasar tus datos a un celular nuevo.

Protección avanzada de Android 16

Android 16 trae un interruptor único en Ajustes > Seguridad y privacidad > Protección avanzada que activa a la vez varias defensas: bloqueo de apps de fuentes desconocidas, filtro de sitios peligrosos, detección de llamadas de estafa y protección contra ataques por USB. Si tu teléfono es el que usas para banca, billeteras y juegos con compras, vale la pena activarlo; el costo es que instalar apps fuera de Google Play deja de ser posible mientras esté encendido.

Dónde activarlo en las cuentas que más importan para un jugador

• Google y Apple: base de todo; Apple exige 2FA en las cuentas nuevas y Google permite llave de acceso.
• Steam: la app móvil de Steam funciona como autenticador y además es requisito para operar en el mercado sin retenciones.
• Riot, Epic, Supercell ID, Roblox, Discord: todas admiten app autenticadora. Epic y Riot piden el 2FA para funciones sociales y regalos.
• Binance: autenticador más un "código antiphishing" que aparece en sus correos reales; si un correo no lo trae, es falso.
• Zinli, Wally y Kontigo: código por correo o SMS en cada inicio de sesión nuevo; no se puede desactivar y no debería.
• Si ya te pasó lo peor, sigue qué hacer si te roban la cuenta de juego.

Lo que cambió en las estafas: ahora piden el código 2FA

• El phishing actual copia la página real y te pide el código del autenticador en tiempo real mientras el atacante lo usa del otro lado. La única defensa es no escribir códigos en enlaces que llegaron por mensaje, y las llaves de acceso, que no funcionan en la página falsa.
• Nadie de soporte de tu banco, de tu billetera ni del juego te pedirá un código por chat. En Krosty solo te pediremos el código de acceso de tu juego cuando tú hayas pedido una recarga por cuenta y el operador esté entrando en ese momento, por WhatsApp o Telegram; nunca códigos de respaldo ni códigos de tu banco o tus billeteras.
• Un SMS "de tu operadora" pidiendo confirmar tu línea suele ser el inicio de un duplicado de SIM: llama tú a la operadora, no respondas.