La verificación en dos pasos, también llamada doble factor, pide algo más que la contraseña para entrar en una cuenta o autorizar una operación. Ese segundo elemento puede ser algo que usted tiene, como el móvil que recibe un código por SMS o una notificación, o algo que usted es, como su huella. En banca, la normativa europea de servicios de pago exige esta autenticación reforzada en muchas operaciones desde septiembre de 2019. El código SMS es el sistema más extendido, pero también el más frágil, porque basta con que otra persona lo lea o lo reciba en su lugar para que la protección desaparezca.
Los delincuentes que operan en España no intentan romper este sistema, sino conseguir que usted les entregue el código. El falso empleado del banco le pide que le lea el número que acaba de llegar para anular un cargo. En WhatsApp, un contacto cuya cuenta ya ha sido robada le escribe que le ha enviado un código por error y le pide que se lo reenvíe. INCIBE ha descrito además robos de cuentas a través del buzón de voz que conserva el PIN de fábrica, ya que WhatsApp puede enviar el código mediante una llamada, y en 2026 ha alertado de enlaces falsos que vinculan la cuenta a otro dispositivo.
La regla es sencilla. Un código de verificación no se comparte con nadie, tampoco con quien diga ser del banco, del operador o del soporte de WhatsApp. Lea siempre el SMS completo, porque suele indicar qué operación autoriza y por qué importe. Active la verificación en dos pasos de WhatsApp, que añade un PIN de seis dígitos, cambie el PIN del buzón de voz y, donde sea posible, use la aplicación del banco o una aplicación de autenticación en lugar del SMS. Si ya entregó un código, llame enseguida a su banco al número que figura en su tarjeta y consulte al 017 de INCIBE.