Teléfono perdido, cuenta bloqueada: guía empresarial para recuperar la 2FA de forma segura

Cuando un empleado pierde el teléfono que guarda su autenticación de dos factores (2FA), o simplemente compra uno nuevo, debería volver a trabajar en menos de una hora, y un atacante que se haga pasar por ese empleado no debería llegar a ninguna parte. Se logran ambas cosas preparándose con anticipación: cada usuario registra al menos dos métodos de inicio de sesión, los códigos de respaldo se guardan de forma segura, la mesa de ayuda sigue una verificación de identidad por escrito antes de cualquier restablecimiento, los administradores de Microsoft 365 usan un Temporary Access Pass (pase de acceso temporal) de corta duración para volver a inscribir al usuario, los administradores de Google Workspace emiten un solo código de verificación de respaldo, y la empresa mantiene cuentas de acceso de emergencia para que el bloqueo de un administrador nunca se convierta en el bloqueo de toda la empresa.

Esta guía supone que la MFA ya está activada. Si no lo está, comience con nuestra guía de MFA para empresas.

Por qué la recuperación es un problema de seguridad, no solo un ticket de soporte

La llamada de "perdí mi teléfono, por favor restablezcan mi MFA" es justamente lo que imitan los atacantes. El aviso de CISA sobre el grupo Scattered Spider (publicado en noviembre de 2023 y actualizado en julio de 2025) describe a actores que se hicieron pasar por empleados para convencer al personal de TI o de la mesa de ayuda de entregar información, y que hicieron llamadas para convencerlos de "restablecer contraseñas y/o transferir tokens de MFA". El mismo aviso menciona el SIM swapping, en el que los delincuentes convencen a un operador móvil de pasar el número de teléfono de la víctima a una tarjeta SIM bajo su control.

Por eso, un buen proceso de recuperación tiene dos metas que tiran en direcciones opuestas: rápido para el empleado real y lento para todos los demás. La forma de conciliarlas es hacer la parte lenta (la configuración y las reglas de verificación) con anticipación.

Antes de que algo se pierda: prepárese para recuperar fácilmente

Registre más de un método

Un solo teléfono es un único punto de falla. Pida a cada usuario que registre al menos dos métodos, por ejemplo:

• Microsoft Authenticator o las solicitudes de Google en su teléfono de trabajo, más
• Una llave de seguridad física o una passkey, o una aplicación generadora de códigos en un segundo dispositivo.

En Microsoft 365, los usuarios administran sus métodos en la página Security info (mysignins.microsoft.com/security-info). En Google Workspace, los administran en la sección de verificación en dos pasos de su Cuenta de Google. Los mensajes de texto a un número de teléfono pueden quedar como último recurso, pero por el riesgo de SIM swapping no deberían ser el único respaldo de nadie.

Guarde bien los códigos de respaldo

Google permite que cada usuario genere un juego de 10 códigos de respaldo. Cada código funciona una sola vez, y al generar un juego nuevo el anterior queda inactivo. Buenas opciones para guardarlos:

• En el administrador de contraseñas de la empresa, en la bóveda privada del usuario (vea nuestra guía para implementar un administrador de contraseñas).
• Impresos y guardados en un cajón con llave o una caja fuerte, nunca pegados al monitor ni guardados como foto en el mismo teléfono.

Microsoft Entra ID no usa códigos de respaldo imprimibles de la misma manera, por lo que un segundo método registrado es todavía más importante para los usuarios de Microsoft 365.

Mantenga los teléfonos administrados

Un teléfono perdido también es un dispositivo perdido con el correo de la empresa. Si los teléfonos están inscritos en Microsoft Intune, puede eliminar los datos de la empresa de un teléfono perdido o reemplazado sin tocar las fotos personales. Nuestra guía de BYOD con Intune explica cómo.

La verificación de identidad de la mesa de ayuda

Ponga por escrito cómo su mesa de ayuda (interna o externa) confirma quién llama antes de restablecer cualquier método de MFA. Un estándar práctico para una pequeña empresa:

1. Devuelva la llamada a un número que ya tiene. Use el número que figura en sus registros de recursos humanos o nómina, nunca el que le da la persona que llama.
2. Obtenga una segunda confirmación. Pida al supervisor de la persona que lo confirme por otro canal, como un mensaje de Teams o una llamada.
3. Véala. Para el personal remoto, una videollamada en vivo con la cámara encendida, comparando a la persona con la identificación con foto que tiene en archivo. Para el personal presencial, acérquese o pídale que venga a la oficina.
4. Nunca restablezca solo con base en un correo electrónico, sobre todo si viene de una dirección personal.
5. Vaya más despacio con administradores y finanzas. Los restablecimientos para administradores o personas que aprueban pagos necesitan la aprobación de dos personas de su lado.
6. Registre cada restablecimiento: quién lo pidió, cómo se verificó y quién lo aprobó.

Si quien llama insiste, dice que es urgente o menciona al dueño de la empresa, esa es una razón para ir más despacio, no más rápido.

Microsoft 365: restablecer con un Temporary Access Pass

El Temporary Access Pass (TAP) de Microsoft es un código de acceso con tiempo limitado que un administrador crea para un usuario. Microsoft lo describe como una forma de registrar métodos nuevos y dice que "facilita la recuperación cuando un usuario pierde u olvida un método de autenticación fuerte".

Configure la política de TAP una vez

En el centro de administración de Microsoft Entra, en Entra ID > Authentication methods > Policies > Temporary Access Pass, un Administrador de directivas de autenticación puede habilitar TAP para usuarios o grupos seleccionados. Los valores predeterminados de Microsoft son:

Ajuste	Predeterminado	Nuestra sugerencia
Duración predeterminada	1 hora	Manténgala corta
Duración máxima	8 horas	Redúzcala si su equipo se reinscribe rápido
Un solo uso	No (False)	Considere Sí (True) para recuperaciones
Longitud	8 caracteres	El valor predeterminado está bien

Tenga en cuenta la advertencia de Microsoft: con un TAP de un solo uso, el usuario debe terminar de registrar un método sin contraseña nuevo en un plazo de 10 minutos. Además, TAP no funciona con la extensión NPS ni con el adaptador de AD FS.

Cuando se pierde un teléfono

1. Verifique la identidad con el proceso escrito descrito arriba.
2. Revoque las sesiones del usuario y, si el teléfono puede estar en manos de otra persona, restablezca la contraseña.
3. Elimine el método antiguo vinculado al teléfono perdido de los métodos de autenticación del usuario.
4. Como Administrador de autenticación (o Administrador de autenticación con privilegios, para cuentas de administrador), agregue un Temporary Access Pass en los Authentication methods del usuario. Copie el código; Microsoft lo muestra una sola vez.
5. Entregue el código al usuario por el canal verificado (en persona o en la llamada verificada), no por correo electrónico.
6. El usuario inicia sesión en Security info con el TAP y registra Authenticator en el teléfono nuevo, además de un segundo método.
7. Elimine el TAP si todavía es válido y borre los datos de la empresa del teléfono perdido desde Intune.

Google Workspace: códigos de respaldo emitidos por el administrador

Si un usuario no tiene códigos de respaldo, un administrador con el privilegio de administración de usuarios puede generar uno: en la consola de administración vaya a Directory > Users, seleccione al usuario y luego Security > 2-step verification > Get backup verification codes. La página de ayuda de Google sugiere enviar el código por mensajería instantánea o texto; nosotros recomendamos entregarlo solo por el canal que usó para verificar a la persona. El usuario inicia sesión con su contraseña y ese código, inscribe el teléfono nuevo y genera un juego nuevo de códigos de respaldo.

Una limitación: si la verificación en dos pasos se exige en modo Only security key (solo llave de seguridad), los usuarios no pueden generar sus propios códigos de respaldo, y los códigos generados por el administrador solo se aceptan durante el período de gracia de inscripción. Tenga una llave de seguridad de repuesto para esos usuarios.

No se quede afuera: cuentas de acceso de emergencia

La peor versión de este problema es que el único administrador pierda su teléfono. Microsoft recomienda dos o más cuentas de acceso de emergencia ("break-glass"):

• Cuentas solo en la nube en el dominio .onmicrosoft.com, no sincronizadas desde servidores locales.
• Inicio de sesión resistente al phishing, preferiblemente passkeys FIDO2 (llaves de seguridad), con un método distinto al de sus cuentas de administrador de uso diario.
• No vinculadas al teléfono de ninguna persona.
• Excluidas de las políticas de Acceso Condicional que bloquean o restringen el inicio de sesión.
• Credenciales guardadas en cajas fuertes seguras e ignífugas, en ubicaciones separadas.
• Alertas en cada inicio de sesión, y una prueba al menos cada 90 días.

Para Google Workspace, Google recomienda configurar un superadministrador adicional, que los administradores inscriban más de una llave de seguridad y que los superadministradores generen e impriman con anticipación códigos de respaldo para los demás administradores.

Para las empresas del sur de Florida, piense también en la temporada de huracanes: si las llaves están en una sola caja fuerte de la oficina, asegúrese de que una segunda copia esté en un lugar que no quede cerrado por la misma tormenta (vea nuestra lista de TI para la temporada de huracanes).

Lista de 2FA para la incorporación y la salida de empleados

Incorporación

• Emita un TAP de un solo uso o un código temporal, entregado en persona o en una llamada verificada.
• Registre dos métodos desde el primer día; para los administradores, uno debe ser una llave de seguridad o una passkey.
• Genere y guarde los códigos de respaldo (Google Workspace).
• Inscriba el teléfono de trabajo en Intune.

Cambio de dispositivo

• Registre el teléfono nuevo antes de borrar el antiguo, cuando sea posible.
• Después, elimine el método del teléfono antiguo.

Salida

• Desactive la cuenta, revoque las sesiones y elimine todos los métodos de MFA.
• Recoja las llaves de seguridad y los teléfonos de la empresa.
• Si la persona tenía acceso a las credenciales de emergencia, cambie las combinaciones de las cajas fuertes y renueve esas credenciales.

Nuestra lista de TI para la incorporación y salida de empleados cubre el resto del ciclo de vida de las cuentas.

Si quiere que redactemos su procedimiento de restablecimiento, configuremos el Temporary Access Pass y las cuentas de emergencia, o atendamos estas solicitudes como su mesa de ayuda, nuestro equipo de soporte de TI administrado atiende a empresas de Miami-Dade y todo el sur de Florida, en inglés y en español. Solicite una evaluación de TI gratuita para comenzar.

Fuentes

• Configure a Temporary Access Pass in Microsoft Entra ID (Microsoft Learn)
• Manage emergency access admin accounts (Microsoft Learn)
• Recover an account protected by 2-Step Verification (Ayuda de Google Workspace)
• Iniciar sesión con códigos de respaldo (Ayuda de la Cuenta de Google)
• Scattered Spider, aviso AA23-320A (CISA, en inglés)