Autenticación de dos factores: por qué toda cuenta la necesita

Una contraseña por sí sola es un punto único de fallo. Si alguien la adivina, si la reutilizaste en un sitio que luego sufre una filtración o si la escribiste en una página de inicio de sesión falsa pero convincente, cualquiera que la tenga puede entrar como si fuera tú. La autenticación de dos factores, conocida como 2FA, añade una segunda comprobación que no depende de lo que sabes: algo que tienes, como tu teléfono o una llave física, o algo que eres, como tu huella digital.

El resultado es que una contraseña robada deja de ser suficiente. Un atacante que la tenga seguirá necesitando el código de tu app de autenticación, el toque en tu llave de seguridad o la aprobación en tu dispositivo de confianza. La mayoría de los ataques contra cuentas comunes son automatizados y oportunistas, así que este paso extra te saca del grupo de blancos fáciles y hace mucho menos probable que alguien se quede con tu cuenta.

La 2FA no sustituye a una buena contraseña. Funciona mejor sobre una contraseña larga y única guardada en un gestor de contraseñas. Juntas se cubren las espaldas: la contraseña única limita el daño de las filtraciones en otros sitios, y el segundo factor te protege cuando la contraseña se filtra de todos modos.

Las apps de autenticación generan un código corto nuevo, normalmente de seis dígitos y casi siempre cada 30 segundos, a partir de un secreto que el servicio comparte con la app cuando escaneas un código QR. Funcionan sin conexión, suelen ser gratuitas y la mayoría de las grandes plataformas las admiten, por lo que son una buena opción por defecto para la mayoría de las personas.

Las llaves de seguridad físicas son pequeños dispositivos USB, NFC o Bluetooth que tocas o conectas al iniciar sesión. Las llaves de acceso, también llamadas passkeys, siguen un principio parecido, pero se guardan en tu teléfono o tu computadora y se desbloquean con tu huella, tu rostro o el PIN del dispositivo. Ambas están vinculadas a la dirección real del sitio web, así que no responden ante una página de phishing que lo imite. Eso las convierte en las opciones más sólidas al alcance de cualquier usuario.

Las notificaciones push te piden aprobar un inicio de sesión en un dispositivo que ya tiene la sesión abierta. Los códigos por SMS o por llamada envían un código de un solo uso a tu número de teléfono. Los códigos de respaldo son una lista de códigos de un solo uso pensados para emergencias, cuando tu método habitual no está disponible. La mayoría de los servicios permiten activar más de un método, y conviene hacerlo: un método principal y al menos uno de reserva.

Los códigos por mensaje de texto son muchísimo mejores que no tener segundo factor, pero dependen de tu número de teléfono, y tu número no está del todo bajo tu control. En un duplicado fraudulento de SIM, conocido en inglés como SIM swapping, un delincuente convence o soborna a alguien de tu compañía telefónica para que traslade tu número a una tarjeta SIM que él controla. A partir de ese momento, todos los códigos destinados a ti llegan a su teléfono.

Los códigos por SMS también pueden robarse con phishing, igual que las contraseñas: una página de inicio de sesión falsa te pide el código y el atacante lo reenvía al sitio real en cuestión de segundos. También puedes perder el acceso por motivos más cotidianos, por ejemplo al viajar sin roaming, al cambiar de compañía o al dejar que venza una línea prepago que después se asigna a otra persona.

Si un servicio ofrece una app de autenticación, una llave de seguridad o una llave de acceso, cámbiate a una de ellas y deja el SMS solo como respaldo, o elimínalo por completo si el servicio lo permite. Cuando el SMS es la única opción, protege el número en sí: muchas compañías telefónicas permiten configurar un PIN de cuenta o un bloqueo de portabilidad que dificulta los traspasos no autorizados.

Empieza por las cuentas que dan acceso a todo lo demás. Tu correo principal va primero, porque recibe los enlaces para restablecer contraseñas; después vienen tu cuenta de Apple, Google o Microsoft, tu gestor de contraseñas y cualquier cuenta que guarde dinero o datos valiosos. Cuando estén protegidas, sigue con las redes sociales, las apps de mensajería como Telegram y Discord, y el resto.

La opción suele estar en la configuración de seguridad de la cuenta, con un nombre como verificación en dos pasos, autenticación de dos factores o verificación de inicio de sesión. Elige la opción de app de autenticación o de llave de seguridad, escanea el código QR con tu app y escribe el código que aparece para confirmar que todo funciona. Si el servicio admite llaves de acceso, crear una en tu teléfono y otra en tu computadora te da un método de inicio de sesión cómodo y resistente al phishing.

Antes de cerrar la página de configuración, guarda los códigos de respaldo, añade un segundo método si es posible y comprueba que el correo y el teléfono de recuperación estén actualizados y sean tuyos. Luego cierra la sesión y vuelve a entrar una vez, para saber cómo es la solicitud antes de depender de ella de verdad.

Los códigos de respaldo son tu forma de volver a entrar cuando pierdes el teléfono, se rompe o lo restableces. Cada código sirve una sola vez, y en muchos servicios generar una lista nueva anula la anterior. Trátalos como la llave de repuesto de tu casa: imprescindible cuando la necesitas, inútil si no la encuentras y peligrosa si la tiene un desconocido.

Buenos lugares para guardarlos son una copia impresa junto a tus documentos importantes o una nota cifrada en un gestor de contraseñas que puedas abrir sin el teléfono donde está tu app de autenticación. Malos lugares son tu bandeja de entrada, una app de notas sin bloqueo, una captura de pantalla en tu galería o un archivo en el mismo dispositivo que genera tus códigos, porque perder ese único aparato te dejaría completamente fuera.

Tacha cada código a medida que lo uses y genera una lista nueva cuando te queden pocos. Si sospechas que alguien vio tus códigos, vuelve a generarlos de inmediato para que la lista anterior deje de funcionar.

Si obtuviste una cuenta de otra persona, ya sea un colega que te pasa la cuenta de un proyecto o una compra en un marketplace de bienes digitales, da por hecho que el titular anterior todavía podría tener acceso. El objetivo es que tú seas la única persona capaz de iniciar sesión. Usa siempre la cuenta de acuerdo con las condiciones de uso de la marca.

Sigue este orden: cambia la contraseña por una nueva y única, sustituye el correo y el teléfono de recuperación por otros que controles, elimina cualquier app de autenticación, llave de seguridad o dispositivo de confianza que no hayas añadido tú, y después activa la 2FA con tu propia app y genera códigos de respaldo nuevos. Por último, revisa las sesiones activas y cierra la sesión en todos los dispositivos salvo los tuyos.

En rStock, el contenido entregado aparece en la página de tu pedido como un registro de entrega vinculado al pedido, así que puedes copiar los datos desde ahí directamente a tu gestor de contraseñas. Tu dinero queda retenido en lugar de liberarse a la tienda de inmediato, y si la cuenta entregada no funciona como se describe, puedes abrir una disputa dentro de un plazo limitado después de la entrega. La tienda responde primero, y si no llegan a un acuerdo se puede llamar a un moderador. Proteger y revisar la cuenta cuanto antes te ayuda a detectar cualquier problema mientras ese plazo sigue abierto.

Aprobar una notificación push que no iniciaste es una de las formas más habituales en que falla la 2FA. Si aparece una solicitud cuando no estás iniciando sesión, recházala y cambia tu contraseña, porque alguien ya la tiene. Lo mismo vale para quien te llame o te escriba pidiéndote que le dictes un código: los servicios legítimos nunca necesitan que compartas un código de un solo uso con nadie.

Otro error es proteger una cuenta con 2FA pero dejar abierta una vía de recuperación antigua y débil, como un correo abandonado o un número de teléfono que ya no usas. Los atacantes rodean la puerta más sólida si hay otra más débil sin cerrar, así que revisa tus opciones de recuperación cada vez que cambies de teléfono o de proveedor de correo.

Por último, no esperes a que llegue el teléfono nuevo para planear la migración. Antes de sustituir o restablecer un dispositivo, traslada tus códigos de autenticación, confirma que funcionan en el nuevo y solo entonces borra el antiguo. Unos minutos de preparación pueden ahorrarte horas de recuperación de cuentas.