La autenticación en dos pasos es la primera barrera concreta que ofrece Instagram para evitar que un tercero se haga con una cuenta. Funciona como una cerradura con doble traba: aunque alguien consiga la contraseña, necesita además un código extra que se genera en el momento. Para activarla hay que entrar en Configuración, luego en Cuenta de Meta y finalmente en el apartado Inicio de sesión y seguridad.

Tres maneras de obtener ese código adicional

• Aplicación autenticadora (Duo Mobile o Google Authenticator): genera códigos temporales que se renuevan cada pocos segundos. Es la opción más recomendada y permite asociar varios dispositivos a una misma cuenta. Solo funciona en las versiones móviles de Instagram, las que corren en Android y en iPhone.
• Mensaje de texto o WhatsApp al número de teléfono registrado: la plataforma envía un código numérico al celular del titular.
• Códigos de respaldo generados previamente: son una lista de números que el usuario guarda por si pierde el teléfono o el acceso a su correo. Sirven como llave de emergencia.

Instagram exige activar al menos uno de los dos primeros métodos para habilitar la verificación en dos pasos. Pensado como analogía cotidiana, es como una caja fuerte: la contraseña es la combinación, y el segundo factor es la llave física que solo el dueño tiene en el bolsillo.

Cómo funciona la verificación en dos pasos

Una vez encendido, cada vez que alguien intenta ingresar desde un dispositivo no reconocido el sistema envía un pedido de código. Si el código no se ingresa correctamente, el acceso queda bloqueado, por más que la contraseña sea correcta. Esa lógica explica por qué una contraseña filtrada no alcanza para entrar a una cuenta con el segundo factor activo.

Dispositivos de confianza y revisión de sesiones

Después de configurar el segundo factor, Instagram permite marcar ciertos equipos como dispositivos de confianza. En ellos, la plataforma deja de pedir el código en los ingresos posteriores. La recomendación de la propia red social es no usar esa etiqueta en computadoras públicas, de coworkings o de oficinas compartidas, porque vuelve inservible la capa extra de protección.

Además, cada intento de inicio de sesión desde un equipo o navegador desconocido dispara una alerta con el tipo de dispositivo y la ubicación aproximada. Desde cualquier sesión abierta se puede aprobar o rechazar el acceso. Y en Configuración, dentro de Actividad de inicio de sesión, queda disponible un historial reciente: si aparece un ingreso que el titular no reconoce, puede cerrar esa sesión puntual y reportarla.

Qué falta para que llegue a todos

La plataforma dispone de una comprobación rápida de seguridad, que recorre los pasos básicos: revisar actividad reciente, confirmar datos del perfil, chequear qué cuentas comparten contraseñas y actualizar teléfono y correo de recuperación. Queda en manos del usuario activar estas herramientas y, sobre todo, no relajarse después: cambiar la contraseña de manera periódica y retirar la etiqueta de confianza a equipos viejos son gestos sencillos que cierran las puertas que el phishing y el robo de credenciales suelen dejar abiertas.