Autenticación de dos factores: cómo salva tus cuentas

Al ladrón que robó tu contraseña, la autenticación de dos factores le deja un final amargo: la contraseña robada encaja, pero la entrada sigue cerrada, porque el servicio pide confirmación desde un dispositivo que el ladrón no tiene ni tendrá. Esta idea simple cierra el escenario de hackeo más extendido: el acceso automático con un par de usuario y contraseña filtrado de otro servicio. Queda elegir el segundo factor adecuado para tus tareas, activarlo sin errores y no perderlo con el teléfono. Vamos por orden.

Qué es un factor

Los factores son pruebas independientes de que tú eres tú: lo que sabes, normalmente una contraseña; lo que tienes, un teléfono o una llave; lo que eres, biometría. Los dos factores empiezan cuando se comprueban dos tipos distintos. Contraseña más pregunta secreta sigue siendo un solo tipo, dos conocimientos, y una filtración cubre ambos. Contraseña más código del teléfono ya son dos tipos honestos: conocimiento y posesión, y el atacante necesita conseguir ambos a la vez.

Comparación de segundos factores

Una app generadora es ese TOTP: códigos de un solo uso que viven medio minuto y se crean en el dispositivo sin conexión alguna. El SMS es más vulnerable: pueden sacarte el código con engaños y llevarse el número reemitiendo la SIM, por eso la protección del banco y el correo debe vivir en un generador o una llave. Los push son cómodos pero engendraron su propio ataque: bombardean a la víctima con peticiones hasta que pulsa confirmar por cansancio; lo cura la comparación de números, donde introduces en el push un número de la pantalla de acceso.

Un punto débil común a todos los códigos: el phishing en tiempo real puede sacártelos, porque la página falsa reenvía el código al sitio real en segundos. Solo las llaves físicas y las passkeys cierran del todo esta vía: la llave responde a la petición de un dominio concreto y a un sitio falso no tiene nada que responderle. Vimos cómo funcionan las passkeys en el artículo sobre contraseñas.

Por qué «no tengo nada que robar» no funciona

Se desactiva el segundo factor con el argumento de «mi cuenta no le interesa a nadie». Sí interesa, solo que no como parece: el correo de una persona corriente es la llave de recuperación de su banco y sus tiendas, una red social guarda la confianza de amigos para pedir dinero y una cuenta de juego es inventario comprado durante años. Los ladrones trabajan en cadena sobre millones de contraseñas filtradas, sin puntería, y todos acaban en esa cadena. El precio de protegerse es ridículo: cinco segundos más al entrar desde un dispositivo nuevo, porque los servicios recuerdan los dispositivos de confianza y no vuelven a pedir código.

Con las cuentas de trabajo vale el doble: el acceso de un empleado es una puerta a la empresa, y los servicios corporativos cada vez más exigen el segundo factor sin preguntar. Aquí un hábito de casa ahorra nervios en el trabajo.

Activar sin perder el acceso

1. Empieza por el correo: recupera todas las demás cuentas y su protección importa más que la del banco.
2. En los ajustes de seguridad elige una app generadora: cualquiera madura, incluso la integrada en un gestor de contraseñas. Deja el SMS como método de reserva si el servicio lo permite.
3. Guarda enseguida los códigos de respaldo: impresos en casa o anotados en un gestor de contraseñas. Es tu entrada si pierdes el teléfono.
4. Repite en el banco, las principales redes sociales y los servicios de trabajo. En los importantes, activa la passkey si existe.
5. Dedica un minuto a revisar: en los mismos ajustes se ve qué dispositivos y métodos de acceso están vinculados. Elimina los que sobren.

Un pequeño detalle que ahorra tiempo: al pasar un código desde una app, muchos servicios muestran el QR del secreto una sola vez. Si le haces una foto «de recuerdo», guárdala en un lugar cifrado y lejos de la galería con sincronización en la nube: ese QR equivale al propio factor.

Perdí el teléfono: qué sigue

El escenario normal, si te preparaste: instalas un generador en el teléfono nuevo, entras con los códigos de respaldo y vuelves a vincular el factor. Muchos generadores hacen copias cifradas, y entonces los códigos se mudan solos. Si no te preparaste, queda la recuperación por soporte con verificación de identidad: el proceso es largo a propósito, porque también lo usan los secuestradores de cuentas. De ahí la regla principal de todo el artículo: los códigos de respaldo se guardan al activar la protección, nunca «luego».

Hacia dónde va esto

El sector va quitando tanto la contraseña como el segundo paso aparte: la passkey combina ambos factores en una acción, con la biometría confirmando la posesión del dispositivo. Mientras dura la transición, un conjunto sensato es este: un gestor de contraseñas, un generador para todo lo importante, passkeys donde las ofrezcan y códigos de respaldo en un lugar seguro. Y si una cuenta ya se comporta raro, no esperes: el plan paso a paso está en el artículo sobre cuentas hackeadas, y cuanto antes actives el segundo factor, más corto será ese plan.