Microsoft Authenticator pasará a Google One en Android: riesgos y decisiones para TI

Microsoft anunció que, desde enero de 2027, la copia de seguridad de Authenticator en Android dejará de habilitarse con una cuenta personal de Microsoft y pasará a activarse desde la copia de seguridad de Google One. Para un administrador de TI, la pregunta no es solo dónde quedan los datos: importa qué credenciales se recuperan, quién controla la cuenta de respaldo y cómo se restablece el acceso cuando se pierde el teléfono. Microsoft describe el cambio y el funcionamiento actual.

Estado de la información: 29 de septiembre de 2026. El cambio está anunciado para enero de 2027; las instrucciones actuales de Microsoft todavía indican seleccionar una cuenta personal de Microsoft en Android. La implementación y sus detalles pueden variar cuando llegue esa fecha.

Qué cambia y qué sigue funcionando hoy

En Android, el procedimiento documentado actualmente consiste en activar «Copia de seguridad en la nube» dentro de Authenticator y elegir una cuenta personal de Microsoft. La nota añadida por Microsoft indica que a partir de enero de 2027 ya no se usará esa cuenta personal para habilitar la copia: habrá que activar «Microsoft Authenticator» en la copia de seguridad de Google One. En iOS, la guía remite a iCloud. Microsoft también advierte que las copias no se restauran entre Android e iOS. Consulta la guía oficial de copia de seguridad.

La nota anuncia el cambio de mecanismo; no detalla en esa página el tratamiento de las copias anteriores, el calendario de migración por versión ni todas las condiciones de restauración futuras. Sería prematuro afirmar que los respaldos existentes se borrarán o que una cuenta de Google dará acceso directo a todas las cuentas guardadas.

¿Qué se recupera realmente?

La diferencia entre un código TOTP, una notificación de aprobación y una credencial sin contraseña evita muchas conclusiones erróneas. Según la guía de restauración de Microsoft:

Que se recupere un TOTP de un servicio externo no significa que se restablezca automáticamente una cuenta de Microsoft Entra o su registro de Authenticator. Tampoco equivale a restaurar una passkey vinculada al dispositivo. Para cuentas privilegiadas, prueba el flujo real antes de documentarlo como continuidad operativa.

Lo favorable: recuperación más integrada para Android

• Menos pasos para algunos usuarios: incorporar Authenticator al respaldo del dispositivo podría simplificar el cambio de teléfono si ya administran Google One. Es una expectativa razonable del diseño anunciado, no una prueba de cómo será la experiencia final.
• Continuidad de los TOTP: una copia recuperable reduce la posibilidad de perder los códigos de terceros cuando falla el dispositivo, siempre que el usuario conserve el acceso a su respaldo y complete el procedimiento correcto.
• Separación en cuentas corporativas: Microsoft indica que el nombre de la cuenta laboral se respalda, pero exige nuevo inicio de sesión. Esta limitación evita presentar la copia del móvil como una transferencia automática de la autenticación empresarial.

Lo desfavorable: dependencia y concentración del riesgo

• Otra cuenta crítica: si el respaldo depende de la cuenta de Google, perder acceso a ella puede complicar la recuperación. También se concentra en un proveedor más parte de la continuidad digital del usuario.
• Menos elección en el respaldo integrado: la guía anunciada no ofrece un destino alternativo configurable para esa función en Android. Eso no impide usar otros autenticadores o métodos de acceso donde el servicio y la política empresarial lo permitan; sí obliga a evaluar las capacidades de migración de cada alternativa.
• Control corporativo limitado: una cuenta Google personal en un móvil de empleado no debe convertirse por accidente en el único plan de recuperación de accesos empresariales. Define propiedad del dispositivo, métodos permitidos y soporte antes de depender de ella.
• Riesgo de recuperación conjunta: proteger la cuenta de respaldo, el teléfono y los métodos de recuperación es esencial. No atribuimos a Authenticator un esquema específico de cifrado de extremo a extremo para esta nueva integración: la nota de Microsoft no lo especifica.

¿Es comparable con la copia de WhatsApp en Android?

La analogía sirve para hablar de dependencia de plataforma, con límites. WhatsApp explica que su respaldo de chats en Android usa la cuenta de Google y queda vinculado a ella y al número de teléfono. Authenticator, en cambio, maneja distintos tipos de cuentas y solo restaura algunos datos; la cuenta corporativa exige una nueva autenticación. Un chat, un secreto TOTP y un método de Entra requieren análisis de impacto diferentes. Tampoco conviene trasladar a Authenticator las afirmaciones de cifrado o retención que WhatsApp publica para sus propias copias.

Qué debería hacer un administrador de TI antes de 2027

1. Inventaria el uso: identifica usuarios, móviles corporativos y personales, cuentas críticas y servicios de terceros cuyos TOTP residen en Authenticator. Prioriza administradores y accesos sin un segundo método.
2. Documenta el flujo actual y el anunciado: verifica en dispositivos de prueba cómo se hace la copia y cómo se recupera, sin borrar el teléfono original hasta confirmar el nuevo registro. Revisa la guía de Microsoft de nuevo cerca de enero de 2027.
3. Diseña recuperación independiente para Entra: registra métodos alternativos autorizados y prueba el Temporary Access Pass (TAP) cuando corresponda. Microsoft señala que facilita volver a registrar métodos tras perder uno; requiere habilitar la política y verificar la identidad del usuario antes de emitirlo.
4. Protege el acceso de emergencia: separa las cuentas de emergencia de los teléfonos y cuentas personales habituales. Microsoft recomienda redundancia y métodos resistentes al phishing para esas cuentas.
5. Decide la política de TOTP: evalúa si los códigos de aplicaciones de terceros están permitidos para Entra y qué autenticación exige cada rol. Microsoft documenta el control de tokens OATH de software de terceros; deshabilitarlo afecta a usuarios existentes y exige plan de migración.
6. Ensaya la salida: en un piloto, simula pérdida de móvil y de acceso a la cuenta de respaldo; registra responsables, tiempos, validación de identidad y retiro de métodos antiguos. No supongas que cambiar de app exportará automáticamente secretos o aprobaciones.

Veredicto para seguridad

Para TOTP de terceros, una copia que se puede recuperar aporta resiliencia. Para un equipo de TI, el cambio también aumenta la importancia operativa de la cuenta de Google en Android y reduce la elección del destino dentro del respaldo integrado anunciado. No lo calificaría como bueno o malo en todos los entornos: será aceptable si se protege esa cuenta y se prueba la recuperación; es una mala dependencia si reemplaza un procedimiento corporativo de restablecimiento de acceso.

Si administras Microsoft Entra, complementa esta revisión con nuestro análisis de las políticas de acceso condicional y las cuentas de emergencia.

La decisión práctica es separar dos planes: recuperación de códigos personales o de terceros y recuperación de identidad empresarial. Actualiza el primero cuando Microsoft publique los detalles de 2027; verifica hoy el segundo con Entra, TAP y métodos alternativos.

Fuentes consultadas

• Microsoft Support, «Realizar una copia de seguridad de las cuentas en Microsoft Authenticator», consulta: 29/09/2026. La página anuncia enero de 2027; no muestra fecha de actualización.
• Microsoft Support, «Restauración de las credenciales de la cuenta desde Microsoft Authenticator», consulta: 29/09/2026.
• Microsoft Learn, «Configure Temporary Access Pass...», actualización: 04/03/2026.
• Microsoft Learn, «Manage emergency access admin accounts», actualización: 05/06/2026.
• WhatsApp Help Center, «Información acerca de las copias de seguridad en la cuenta de Google», consulta: 29/09/2026.