Verificación en dos pasos en cristiano: qué protege de verdad
El 16 de agosto el bróker israelí de criptomonedas Bits of Gold informó de que un intruso había llegado a sus registros de clientes a través del sistema de un proveedor: nombres, números de identificación, direcciones de correo, teléfonos, direcciones IP y datos bancarios de unas 200.000 personas. Las contraseñas y los escaneos de documentos no se vieron afectados, lo que suena tranquilizador hasta que se mira la composición del botín. Un teléfono, un número de identificación y una dirección real son justo el juego necesario para convencer a un operador de pasar su línea a una nueva tarjeta SIM. Y el número de teléfono sigue siendo, para la mayoría, el segundo factor.
Tres niveles, y muy separados entre sí
Todo lo que se vende como autenticación de dos factores cae en tres grupos, y la distancia entre ellos es mucho mayor de lo que sugiere la interfaz.
Código por SMS
- Va unido a su número, no a usted.
- Cae con el cambio de SIM: el número se muda y los códigos detrás.
- Aun así es mejor que nada y mejor que no tener segundo factor.
Aplicación de códigos
- Seis dígitos calculados en el propio dispositivo, sin red.
- Un número robado no le da nada al atacante.
- Pero el código se puede entregar en una web falsa: lo teclea usted.
Llave o passkey
- Comprueba la dirección real del sitio antes de responder.
- En un dominio imitado simplemente calla, y el fraude termina ahí.
- Nada que teclear y nada que dictar por teléfono.
Por qué el SMS cae primero
El cambio de SIM no es un hackeo en sentido técnico. Alguien contacta con su operador, da su nombre, su número de documento y suficientes detalles para sonar creíble, comunica la pérdida del teléfono y pide la línea en una tarjeta nueva. Minutos después su teléfono se queda sin cobertura y los códigos llegan a otro sitio. Cada filtración como la descrita abarata esa conversación, y por eso las noticias de filtraciones y los secuestros de cuentas llegan la misma semana.
Hay un segundo problema, más silencioso. Un código que usted teclea es un código que le pueden sonsacar. Una copia convincente de la página de acceso pide la contraseña, luego el código, y pasa ambos al sitio real en segundos. Por eso importa el tercer nivel: la llave y la passkey comprueban el dominio por sí mismas y callan ante la imitación, por muy convencido que esté usted.
Qué hacer esta noche
- Empiece por el correo, no por el banco. Quien controla su buzón restablece casi todo lo demás, así que merece la protección más fuerte que esté dispuesto a configurar.
- Pase todas las cuentas que pueda del SMS a una aplicación de códigos. En los ajustes de seguridad suele ser una pantalla con un código QR, un minuto por cuenta.
- Guarde los códigos de respaldo fuera de línea. Imprímalos o cópielos y déjelos donde guarda sus documentos. Tenerlos solo dentro del mismo gestor donde está la contraseña significa perder ambos con un dispositivo.
- Registre un segundo factor de reserva: una llave física barata o una passkey en otro dispositivo. Donde se admite una se admiten dos, y la reserva es la que salva cuando el teléfono desaparece.
- Revise los datos de recuperación. Un número antiguo o un buzón secundario muerto es una entrada que sobrevive a todo lo demás.
- Donde le ofrezcan "iniciar sesión con passkey", acéptelo. Es la misma protección que una llave física, guardada en el teléfono o en el gestor, y quita la contraseña del proceso en vez de añadir un paso.
- Cierre las sesiones que no reconozca, en esa misma pantalla. El segundo factor no ayuda contra una sesión abierta hace un año.
Antes de cambiar de teléfono. Los códigos de la aplicación viven en el dispositivo, no en la nube por sí solos, así que un teléfono borrado se los lleva. El orden es este: traslade o exporte los datos de la aplicación al teléfono nuevo mientras el viejo aún funciona, compruebe que dos o tres cuentas abren de verdad, y solo entonces borre el antiguo. Si se saltó ese paso, los códigos de respaldo son el camino de vuelta, y justo por eso deben existir en papel.
Qué instalar en concreto
Los nombres importan menos que tres propiedades: los códigos se pueden mudar a un teléfono nuevo, el código del programa lo ha mirado alguien además del autor, y la aplicación funciona en todos sus dispositivos. Encajan aplicaciones libres y gratuitas: Ente Auth funciona en teléfono y ordenador con sincronización cifrada de extremo a extremo, Aegis es la elección habitual en Android con copia local cifrada, 2FAS guarda la copia en su propio iCloud o Drive. Las opciones integradas de Apple y Google son cómodas y bastante seguras, con una salvedad: sus códigos pasan a vivir dentro de un ecosistema y salen de él con dificultad.
Un aviso sobre un nombre conocido. Authy cerró su aplicación de escritorio y sigue sin permitir exportar los códigos, así que las cuentas añadidas allí quedan atadas de hecho. Si lo usa, no cunda el pánico, pero cree las cuentas nuevas en otro sitio y migre las viejas cuando tenga una tarde.
Gestores como Bitwarden, 1Password y Proton Pass también guardan códigos y passkeys, y resulta muy cómodo. Tenga clara la contrapartida: contraseña y segundo factor en la misma caja significa que una sola contraseña maestra protege ambos. Para las cuentas que más le importan, manténgalos separados.
En llaves físicas el mercado es pequeño y aburrido, lo cual es bueno. YubiKey 5 con NFC y USB-C es la opción por defecto y sirve con teléfono y ordenador; Google Titan es la alternativa directa; Token2 y Nitrokey cuestan bastante menos. Compre dos de una vez, registre ambas y guarde la de repuesto donde guarda sus documentos. Cómprelas al fabricante o a un vendedor autorizado, no como lote de un mercado en línea: una llave es justo lo que no debería pasar por manos desconocidas.
Qué es realmente una passkey
Una passkey es un par de llaves: una queda en su dispositivo, la otra en el servicio. Entrar significa que el teléfono o el ordenador demuestra que tiene su mitad, desbloqueada con huella o cara. No se teclea nada, así que no hay nada que dictar por teléfono ni que escribir en una copia del sitio, y no queda un secreto compartido en una base de datos a la espera de filtrarse. El detalle práctico es la portabilidad: las passkeys se sincronizan dentro de un ecosistema o de un gestor de contraseñas, así que antes de depender de una compruebe que llega a ella desde un segundo dispositivo.
Si aun así se queda fuera
La recuperación es la parte que todos saltan y que todos acaban necesitando. Averigüe de antemano adónde le manda cada servicio: códigos de respaldo, una segunda llave registrada, un buzón de recuperación o un formulario de soporte con revisión de documentos. Para sus dos o tres cuentas más importantes, anote la respuesta. Son diez minutos ahora en lugar de una tarde pésima después, y conviene hacerlo mientras tiene acceso, no mientras demuestra a una cola de soporte que usted es usted.
Nada de esto vuelve inexpugnable una cuenta, ni pretende hacerlo. Le saca del grupo al que basta un teléfono filtrado para desvalijar y, tras un verano de filtraciones como la que dejó al aire 24.000 millones de contraseñas, ahí es donde va el tráfico.
