En 2026, una contraseña por larga y enrevesada que sea ya no protege nada por sí sola, y cualquier plataforma de entretenimiento digital que siga tratando el doble factor de
autenticación como una casilla marcable de más le está pasando al usuario un riesgo que debería asumir ella. El argumento de esta columna es simple y algo incómodo: la segunda
capa de verificación no es un capricho de paranoicos, sino el suelo por debajo del cual ninguna cuenta con datos o pagos debería arrancar.

Basta con abrir los registros oficiales para que ese diagnóstico deje de ser una opinión. El Instituto Nacional de Ciberseguridad gestionó en España 122.223 incidentes durante 2025,
un 26% más que el año anterior y el registro más alto de su historia, con el phishing y el robo de credenciales encabezando el repunte. Buena parte de esa presión, como refleja el
último balance oficial, se concentra donde el usuario se cree a cubierto: el correo, las redes y las cuentas de ocio que abre sin pensar.

Ningún terreno queda tan a la intemperie como el del entretenimiento digital. Servicios de streaming, tiendas de videojuegos y ocio online amontonan perfiles con historial de pago,
documentos de verificación y saldos en monedero, un botín que se revende en horas.

Muchos nacieron pensados para que registrarse costara diez segundos, no para blindar la puerta, y la seguridad llegó después, casi a regañadientes.

El streaming y las tiendas digitales, un botín goloso

El streaming y las tiendas de videojuegos juegan en otra liga de exposición. Acumulan millones de cuentas con tarjetas guardadas y suscripciones activas, y durante años
priorizaron que darse de alta fuera instantáneo. El resultado es un mercado negro donde una cuenta de vídeo o una biblioteca con decenas de juegos se vende por unos pocos
euros. Muchos ofrecen ya la verificación en dos pasos, aunque casi siempre como opción escondida y nunca como paso obligado.

En un mundo online donde cada vez es más común incluir transacciones en línea para el desbloqueo de nuevas skins, o suscripciones a diferentes modelo de juego, el blindaje de
una cuenta de datos donde hay acceso a cuentas de banco o tarjetas de crédito se vuelve un imprescindible por encima de jugabilidad o facilidad de acceso.

El juego online; los más adelantados en blindar el acceso

Dentro de este mapa hay un sector que reaccionó pronto. El casino online se convirtió en uno de los entornos más exigentes al proteger la cuenta y los datos del jugador, porque
maneja identidad verificada y dinero desde el primer clic. Esa solidez se ha vuelto un criterio de peso para el usuario. Son algunos de los requerimientos que se exigen al comprobar las características expuestas en listados como mejores casinos online España, donde bloquear el acceso a una cuenta de juego pesa tanto como el tamaño del catálogo disponible de slots o ruletas.

Así el sector del juego online fue de los primeros rincones del ocio digital en asumir la verificación de identidad, el acceso reforzado como rutina y no como remiendo de última
hora.

La banca marcó un camino que otros ignoraron

La banca online demuestra que la seguridad estricta y el uso masivo no están reñidos. Aquí en España el usuario ya da por hecho que entrar en su cuenta implica un código en el móvil o una confirmación en la app, y nadie lo vive como un estorbo. La normativa europea de pagos empujó al sector a ese estándar hace años. Si quien maneja el dinero de todos pudo normalizar la doble comprobación, cuesta justificar que una plataforma de ocio la siga tratando como un adorno.

Qué aporta y qué no la segunda capa

El valor real del doble factor está en la asimetría que introduce y que, por una vez, juega del lado del usuario: sumar un segundo elemento, un código temporal, una llave física, una
huella, convierte una contraseña robada en información inservible. Las estimaciones más repetidas del sector sostienen que esa capa frena por encima del 99% de los intentos
automatizados de intrusión, un blindaje enorme para un coste que apenas supera el de una notificación push.

Hay además un detalle técnico que casi nadie mira: el eslabón que los atacantes revientan con más éxito ha dejado de ser una vulnerabilidad exótica para volverse algo más prosaico:
las credenciales legítimas robadas y recicladas de un sitio a otro. El uso de cuentas válidas se ha consolidado como la técnica más efectiva del año, por encima de cualquier malware,
según los análisis sobre el abuso de credenciales que circulan estos meses. Un delincuente que entra con tu usuario y tu contraseña reales no dispara ninguna alarma.

Durante años se ha cargado sobre el usuario la responsabilidad de no activar la verificación. Pero cuando la mayoría de la gente no la enciende, el fallo está en el diseño y no en la
voluntad. Una plataforma que entierra la opción en el quinto submenú y no la reclama en el registro está prefiriendo la fricción cero antes que la protección de quien le confía sus datos. Toca ahora la parte incómoda para quien venda el doble factor como bala de plata, porque esa segunda capa también tiene sus fisuras. El intercambio de SIM, el phishing en tiempo real que intercepta el código al vuelo o la fatiga de notificaciones que empuja a aprobar cualquier aviso son grietas reales. Los especialistas llevan tiempo documentando las
brechas del propio sistema, y ninguna se evapora por marcar una casilla.

El horizonte tampoco invita a la calma, y menos con los ataques asistidos por inteligencia artificial, que abaratan el phishing hasta hacerlo indistinguible de un mensaje legítimo,
mientras cada plataforma de ocio sin verificación reforzada añade otra puerta a un botín compartido. La cuenta de entretenimiento que hoy parece un juguete guarda la misma
tarjeta que la del banco. Quien siga tomándose esa puerta como un trámite menordescubrirá, ya tarde, quién llevaba rato esperando al otro lado.