Doble factor: ¿quién recupera el acceso si pierdes el móvil?
El móvil deja de funcionar y la persona que lleva la administración no puede entrar en el correo ni en una aplicación de trabajo. La contraseña es correcta; falta el segundo paso. En este ejemplo hipotético, la pregunta que detiene la actividad es sencilla: ¿quién puede recuperar el acceso y cómo comprobará que la petición es legítima?
Al implantar el doble factor, acuerda también la recuperación. Una empresa necesita saber qué alternativa tiene cada cuenta, quién puede intervenir y cómo contactar con soporte cuando el propio correo está bloqueado.
Una cuenta protegida también necesita una salida prevista
La autenticación multifactor (MFA) añade comprobaciones al inicio de sesión. Si la única alternativa depende del mismo teléfono perdido, la empresa sigue teniendo un punto único de interrupción. Guardar las instrucciones dentro del buzón al que no puedes entrar tampoco resuelve el problema.
Conviene distinguir tres situaciones: cambiar un teléfono que todavía funciona, perder el único método disponible y sospechar que alguien ha accedido a la cuenta. Cada una exige una actuación distinta; el último caso debe tratarse como una incidencia de seguridad.
Prepara una ficha de recuperación por servicio
Empieza por las aplicaciones que pueden bloquear el trabajo: correo, CRM, gestión de pedidos y paneles administrativos. La ficha describe el procedimiento, sin contener contraseñas ni códigos de recuperación.
- Cuenta y actividad: qué usuario la utiliza y qué tarea se interrumpe.
- Alternativa autorizada: qué método sigue disponible sin el teléfono habitual.
- Responsable y sustituto: quién puede tramitar la recuperación y qué hacer si no está disponible.
- Verificación: cómo se comprobará la identidad antes de cambiar un método.
- Contacto externo al bloqueo: teléfono o canal de soporte accesible sin iniciar sesión en esa misma cuenta.
- Última prueba y cobertura: cuándo se comprobó y en qué horario se atiende.
Si también desconoces quién administra tus servicios digitales, revisa estas comprobaciones sobre el control del dominio empresarial. La ficha de recuperación y la titularidad del servicio resuelven problemas relacionados, pero diferentes.
Elige un respaldo que funcione en tu plataforma
Un método adicional no es una contraseña compartida
Comprueba qué alternativas admite cada aplicación y la política de tu empresa. Microsoft recomienda métodos resistentes al phishing, como las llaves de seguridad FIDO2; su documentación de autenticación explica las diferencias. Registrar una alternativa requiere verificar compatibilidad y custodiarla adecuadamente.
Cuando el servicio ofrece códigos de respaldo, trátalos como credenciales. En Google, cada código se usa una vez y generar un conjunto nuevo invalida el anterior. Consulta su guía oficial de códigos alternativos; no todos los servicios o tipos de cuenta funcionan igual.
La intervención administrativa debe estar prevista
En Microsoft Entra existen acciones diferenciadas para cambiar métodos, exigir un nuevo registro y revocar sesiones. Su guía de administración describe permisos y efectos. Restablecer una contraseña y recuperar el segundo factor no son operaciones intercambiables.
Otra opción de Entra es el Temporary Access Pass, un acceso de duración limitada que puede ayudar a registrar métodos nuevos. Depende de la política y del alcance habilitado; no debe darse por incluido en cualquier instalación.
Prueba el recorrido sin bloquear a toda la empresa
Acuerda una prueba con una cuenta de prueba o un usuario piloto, una ventana y un responsable. Comprueba que se puede iniciar sesión usando la alternativa aprobada sin recurrir al móvil habitual. No borres el único método ni cierres todas las sesiones administrativas para simular una avería.
El resultado útil es una evidencia breve: qué recorrido funcionó, qué autorización hizo falta y qué paso quedó pendiente. Si utilizas un código de un solo uso, registra que se consumió sin copiar su valor. Revisa el procedimiento al cambiar de dispositivo, proveedor o responsable.
Qué pedir al contratar soporte
Solicita que la propuesta identifique los servicios cubiertos, la comprobación de identidad, las personas autorizadas, el canal alternativo y los horarios. Distingue el tiempo de primera respuesta del tiempo de recuperación: este último puede depender del fabricante y de las evidencias disponibles.
Si ya hay una pérdida o un acceso sospechoso, utiliza el canal acordado y las instrucciones oficiales del servicio. No apruebes solicitudes inesperadas ni envíes códigos por correo o chat para demostrar tu identidad.
En Serboweb puedes plantear esta necesidad dentro de una revisión de soporte y mantenimiento. Cuéntanos qué aplicaciones utiliza tu equipo, cuántos usuarios dependen de ellas y cómo se gestiona hoy la recuperación. Con esa información podemos estudiar el alcance y preparar una propuesta; no incluyas credenciales ni códigos en el formulario.