Revisado: 25 de octubre de 2026. Hemos mirado: NIST SP 800-63B-4 (julio de 2025), páginas de agencias de ciberseguridad, consumo y policía de EE. UU. y del Reino Unido, la ayuda de la cuenta de Google (verificación en dos pasos) y las páginas de ayuda de Apple y Google sobre las notificaciones en la pantalla bloqueada. Las pantallas cambian. Si la tuya se ve distinta, busca la página de ayuda de la empresa.
En pocas palabras: un código por mensaje de texto es mucho mejor que una contraseña sola. Otros segundos pasos son más fuertes. Cuando puedas, pasa a una llave de acceso (passkey) o a una app de autenticación.
Primero: no lo estás haciendo mal
Si usas códigos por mensaje de texto, no hay motivo para preocuparse. Ya estás más seguro que quien solo tiene una contraseña. Un código por SMS es mejor que no tener segundo paso.
Esta guía te ayuda a ir de bien a mejor. Nada de lo que sigue significa «apágalo ya». No quites un código por mensaje de texto hasta que otro método mejor funcione.
Cómo funciona un código por mensaje de texto
Una web o una app envía un número corto a tu número de teléfono. Es un SMS, es decir, un mensaje de texto. Tú escribes el número en la web. Así la web sabe que tienes el teléfono. Esto es la verificación en dos pasos (2FA): una segunda comprobación después de tu contraseña.
Por qué es la opción común más débil
CISA (la agencia de ciberseguridad de EE. UU.) pone los códigos por texto y por voz en último lugar en su lista de segundos pasos. NIST (la agencia de estándares de EE. UU.) llama a este método «restringido» (restricted) y lo describe como un enfoque menos seguro. Estas son las razones principales. Cada una es una sola idea.
1. Alguien puede quedarse con tu número de teléfono. Esto se llama duplicado fraudulento de SIM (en inglés, SIM swapping). Un delincuente engaña a tu compañía telefónica para que mueva tu número a una tarjeta SIM que tiene el delincuente. Una tarjeta SIM es el pequeño chip que une un teléfono con tu número. Entonces tus llamadas y mensajes van al delincuente. El FBI dice que así los delincuentes pueden recibir tus códigos por texto y restablecer tus contraseñas. Para saber más, lee duplicado fraudulento de SIM.
2. Una web falsa puede pedirte el código. Phishing es un mensaje o una web falsa que copia a una real. Una web falsa puede pedir tu contraseña y después tu código por texto. El delincuente escribe las dos cosas en la web real enseguida. CISA avisa de esto. Los códigos de una app también pueden caer en este engaño. Una llave de acceso está diseñada para resistirlo.
3. Un código puede verse en la pantalla bloqueada. Según tus ajustes, el teléfono puede mostrar el principio de un mensaje en la pantalla bloqueada. Alguien que tenga tu teléfono podría ver el código. Puedes cambiarlo en los ajustes de notificaciones de tu teléfono, por ejemplo ocultando la vista previa de los mensajes. Mira la página de ayuda de tu teléfono. NIST dice que un servicio no debería mostrar un código en un dispositivo bloqueado.
4. Sin cobertura puede no haber código. Un mensaje de texto necesita cobertura. NIST señala que quien está en un lugar con poca cobertura puede no recibir estos códigos. Una app de autenticación funciona sin cobertura, como también indica Google.
Estos puntos describen el método, no a ti.
Qué usar en su lugar, en este orden
- Una llave de acceso (passkey) o una llave de seguridad. Una llave de acceso te deja iniciar sesión con tu huella, tu cara o el bloqueo de pantalla del teléfono. Una llave de seguridad es un pequeño dispositivo que conectas o acercas. Las dos te protegen de las webs falsas. Lee llaves de acceso.
- Una app de autenticación. Es una app del teléfono. Muestra un código corto nuevo cada cierto tiempo. No usa la red del teléfono, así que también funciona sin cobertura. Lee apps de autenticación.
No todos los servicios ofrecen estas opciones. Usa la mejor que tenga el servicio.
Cómo cambiar con seguridad
Sigue estos pasos en este orden.
- Añade primero el método nuevo. Por ahora, deja el código por mensaje de texto.
- Pruébalo. Cierra sesión y vuelve a iniciarla con el método nuevo.
- Guarda tus códigos de recuperación en un lugar seguro. Son códigos de un solo uso para cuando pierdas el teléfono.
- Quita los mensajes de texto solo si el servicio te deja. Algunos no.
Nunca quites tu único método. Si lo haces, podrías perder el acceso a tu cuenta.
Si un servicio solo ofrece mensajes de texto
Algunos servicios solo ofrecen códigos por texto. Sigue usándolos. Es mejor que nada. Después protege tu número de teléfono:
- Pregunta a tu compañía telefónica si puedes añadir un PIN o una contraseña a tu cuenta. Un PIN es un número que solo tú conoces. Los pasos están en duplicado fraudulento de SIM.
- No compartas un código con nadie.
- Usa una contraseña fuerte y única para esa cuenta.
Cómo puede ser un mensaje de estafa
Los estafadores pueden enviarte un código que no pediste. Pueden llamarte y decir que son de tu banco. Después te piden que les leas el código.
No lo hagas. Cualquiera que se ponga en contacto contigo y te pida tu código de verificación es un estafador. Google dice que no te llamará para verificar un código. Una empresa real no te pedirá que le leas un código a alguien que te llamó o te escribió. Nunca le leas un código a alguien que se puso en contacto contigo primero.
Si te pasa, cuelga y deja de responder. Llama a la empresa a un número de su web oficial, de tu extracto (o estado de cuenta) o de su app.
En España puedes reenviar el mensaje o una captura al formulario de reporte de fraude de INCIBE (incibe.es/ciudadania/ayuda/reporte-de-fraude). En otros países, avisa a tu banco y a tu compañía telefónica. No toques el enlace del mensaje.
Tu cuenta de correo es la puerta principal a tus otras cuentas, así que protégela primero. Lee protege tu correo. Para aprender lo básico de la 2FA, lee verificación en dos pasos.
En tu país
Si una cuenta está en manos de un estafador, si le diste un código a alguien o si perdiste dinero, esto es lo que podemos decirte hoy:
- España: la Línea de Ayuda en Ciberseguridad de INCIBE, 017, te orienta pero no recibe denuncias. Es gratuita y confidencial y atiende todos los días de 8:00 a 23:00. Si enviaste dinero, llama primero a tu banco y después denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado (Policía Nacional o Guardia Civil).
- Argentina: denuncia en la comisaría o en la oficina receptora de denuncias que corresponda a tu domicilio. Lo indica el Centro Nacional de Ciberseguridad en argentina.gob.ar.
- México: avisa a tu banco enseguida y presenta una denuncia ante el Ministerio Público de tu estado. En la Ciudad de México también existe la Policía Cibernética de la SSC.
- Colombia: puedes denunciar en línea con la Policía Nacional, en su página de ciberseguridad (policia.gov.co/ciberseguridad), o en el sistema ¡ADenunciar! (opción «Delitos informáticos»). Avisa también a tu banco.
- Estados Unidos y Reino Unido (si nos lees desde allí): reportfraud.ftc.gov en EE. UU. y reportfraud.police.uk (Report Fraud) en Inglaterra, Gales e Irlanda del Norte.
Haz esto hoy (unos 8 minutos)
- Abre los ajustes de seguridad de tu cuenta de correo principal.
- Añade una llave de acceso o una app de autenticación como segundo paso.
- Pruébalo. Cierra sesión y vuelve a iniciarla con el método nuevo.
- Guarda tus códigos de recuperación en un lugar seguro.
- Si el servicio lo permite, quita los códigos por mensaje de texto.
No escribas nunca un código ni una contraseña en esta web, y nunca le leas un código a alguien que se ponga en contacto contigo.
