Cómo configurar autenticación de dos factores correctamente

La autenticación de dos factores, conocida por sus siglas como 2FA, es un mecanismo de seguridad que exige dos pruebas de identidad de tipos diferentes para poder iniciar sesión en una cuenta, en lugar de una sola. Cuando se usan más de dos factores se habla de autenticación multifactor. La idea se basa en combinar factores de categorías distintas, que tradicionalmente se agrupan en tres familias: algo que uno sabe, como una contraseña o un número secreto; algo que uno tiene, como el teléfono móvil, una aplicación de autenticación o una llave física de seguridad; y algo que uno es, como la huella dactilar o el reconocimiento facial. La autenticación de dos factores combina dos elementos de familias diferentes, típicamente la contraseña, que es algo que se sabe, más un segundo factor que es algo que se tiene, como un código generado en el teléfono. Es importante entender que pedir dos veces algo de la misma familia, como dos contraseñas, no constituye una verdadera autenticación de dos factores, ya que la fortaleza del método reside precisamente en combinar tipos distintos de prueba. El valor de este mecanismo es enorme y se explica por cómo actúan la mayoría de los ataques a cuentas, que casi siempre comienzan comprometiendo la contraseña, ya sea porque se filtró, se adivinó, se robó mediante engaño o se reutilizaba en varios sitios. Con solo la contraseña, un atacante que la consiga puede entrar; pero con la autenticación de dos factores activada, la contraseña deja de ser suficiente, porque falta el segundo factor, que se encuentra físicamente en poder del usuario legítimo, en su teléfono o en su llave. De este modo, la autenticación de dos factores neutraliza de un solo golpe muchas amenazas, como las filtraciones de datos, la reutilización de credenciales y buena parte de los intentos de robo por engaño, y por eso se considera una de las mejoras de seguridad más efectivas y con mejor relación entre el escaso esfuerzo que requiere activarla y la gran protección que aporta.

Existen tres métodos principales de segundo factor, y se ordenan de menos a más seguro, siendo la aplicación de códigos temporales la opción recomendada para la mayoría de la gente por su equilibrio entre seguridad y comodidad. El método menos seguro es el mensaje de texto o SMS, en el que el servicio envía un código de un solo uso al número de teléfono; aunque es mejor que no tener ningún segundo factor y resulta muy sencillo, presenta debilidades importantes, ya que el número de teléfono puede ser secuestrado mediante el fraude conocido como intercambio de la tarjeta SIM, en el que un atacante consigue que la compañía telefónica traspase el número a una tarjeta bajo su control, y además los mensajes pueden en ciertos casos interceptarse. El método intermedio y recomendado es la aplicación de códigos temporales, que consiste en instalar en el móvil una aplicación de autenticación que genera para cada cuenta un código de seis dígitos que cambia cada treinta segundos; este método es gratuito, funciona sin necesidad de cobertura ni conexión a internet, y no depende del número de teléfono, por lo que es inmune al secuestro de la tarjeta SIM, lo que lo convierte en una opción claramente superior al mensaje de texto y suficiente para la inmensa mayoría de las personas y las cuentas. El método más seguro es la llave de seguridad física o la llave de acceso, que es un dispositivo o mecanismo criptográfico que ofrece la máxima protección, destacando especialmente porque resiste los ataques de suplantación o phishing, ya que verifica que el sitio en el que se está iniciando sesión es el auténtico y no una imitación fraudulenta, algo que los otros métodos no garantizan. La recomendación práctica es evitar el mensaje de texto salvo que sea la única opción disponible, usar una aplicación de códigos temporales como elección general por defecto, y reservar la llave física o la llave de acceso para las cuentas de máximo valor o para quienes son objetivos especialmente probables de ataques, donde su resistencia al phishing y su seguridad superior justifican el coste y la ligera menor comodidad.

El mensaje de texto o SMS es el método menos seguro de autenticación de dos factores porque el segundo factor, en este caso un código enviado al número de teléfono, depende de la seguridad de ese número, que resulta vulnerable a varios tipos de ataque, siendo el más conocido el intercambio fraudulento de la tarjeta SIM. En este ataque, un delincuente reúne información sobre la víctima, a menudo obtenida de filtraciones o mediante ingeniería social, y luego se hace pasar por ella ante la compañía telefónica para conseguir que el número de teléfono se transfiera a una tarjeta SIM que el atacante controla, alegando por ejemplo la pérdida o el robo del teléfono; una vez logrado, todos los mensajes de texto dirigidos a ese número, incluidos los códigos de segundo factor, llegan al atacante, que puede así completar el inicio de sesión aunque no tenga el teléfono real de la víctima. Además del intercambio de SIM, los mensajes de texto pueden en determinadas circunstancias ser interceptados por debilidades en las redes de telefonía, y también pueden verse comprometidos si el teléfono muestra los códigos en la pantalla de bloqueo, donde alguien cercano podría leerlos. Todo esto hace que el SMS, aunque protege frente a muchos ataques comunes que solo dependen de robar la contraseña, tenga un punto débil específico en la dependencia del número de teléfono, que no está bajo el control exclusivo del usuario, sino que en última instancia lo gestiona la operadora y puede ser manipulado. Por el contrario, una aplicación de códigos temporales genera los códigos localmente en el dispositivo, sin depender del número ni de la red telefónica, por lo que no es vulnerable al intercambio de SIM ni a la interceptación de mensajes, y una llave física va todavía más allá al resistir incluso los ataques de suplantación de sitios. Por estas razones, aunque activar el segundo factor por SMS es mucho mejor que no tener ninguno y sigue siendo recomendable cuando es la única opción que ofrece un servicio, siempre que sea posible conviene preferir una aplicación de autenticación o una llave física, dejando el mensaje de texto como último recurso.

Los códigos de recuperación, también llamados códigos de respaldo, son una lista de claves de un solo uso que un servicio proporciona en el momento de activar la autenticación de dos factores, y cuya función es permitir el acceso a la cuenta cuando no se dispone del segundo factor habitual, actuando como un salvavidas imprescindible. Cuando se configura el segundo factor, por ejemplo mediante una aplicación de códigos temporales en el teléfono, se crea una dependencia de ese dispositivo o método para poder entrar; el problema es que los teléfonos se pierden, se rompen, se roban o se cambian, y si eso ocurre sin haber tomado precauciones, el propio mecanismo de seguridad que protege la cuenta impediría también al usuario legítimo acceder a ella, dejándolo bloqueado fuera de su propia cuenta, en ocasiones de forma permanente y muy difícil de revertir. Los códigos de recuperación resuelven exactamente esa situación: guardados de antemano, permiten iniciar sesión aunque se haya perdido el acceso al segundo factor, ya que cada uno funciona una vez y sirve para superar la verificación en su ausencia. Por eso guardarlos es un paso absolutamente crítico y, a la vez, el que más gente pasa por alto, provocando dramas evitables. La recomendación es guardar estos códigos en un lugar seguro que no sea el propio teléfono donde está la aplicación de autenticación, porque si se perdiera ese teléfono se perderían también los códigos; buenas opciones son imprimirlos y guardarlos en un lugar físico seguro, almacenarlos en un gestor de contraseñas de confianza, o guardarlos en una nota cifrada. Además, para las cuentas más críticas es aconsejable tener el segundo factor configurado en más de un dispositivo, de modo que la pérdida de uno no deje sin acceso. En definitiva, un segundo factor sin un plan de recuperación es una trampa que tarde o temprano puede saltar, y guardar los códigos de recuperación es lo que convierte la autenticación de dos factores en una protección segura y no en un riesgo de quedarse fuera para siempre.

Aunque lo ideal es activar la autenticación de dos factores en todas las cuentas que lo permitan, conviene priorizar y empezar por las cuentas más críticas, entre las cuales la más importante de todas es el correo electrónico principal. La razón por la que el correo principal es la prioridad número uno es que funciona como la llave maestra de la vida digital: la mayoría de los demás servicios permiten restablecer la contraseña enviando un enlace o un código a la dirección de correo asociada, de modo que quien controla el correo puede, en la práctica, tomar el control de casi todas las otras cuentas mediante el restablecimiento de contraseñas. Por eso, proteger el correo con segundo factor no solo asegura ese buzón, sino que blinda indirectamente todo lo demás. Tras el correo, las siguientes prioridades son las cuentas con impacto económico directo, como la banca en línea, las plataformas de pago y las billeteras, ya que un acceso no autorizado a ellas puede traducirse en pérdidas de dinero inmediatas. A continuación conviene proteger las redes sociales y las cuentas de mensajería, tanto por el valor personal y la privacidad que contienen como porque su suplantación puede usarse para engañar a contactos y amigos, propagando estafas. También son prioritarias las cuentas de trabajo y cualquier servicio que almacene información sensible, documentos importantes o datos de terceros. Después de cubrir estas cuentas de alto valor, se puede ir extendiendo el segundo factor al resto de servicios de forma progresiva, empezando por los que guarden datos personales o medios de pago. La estrategia sensata, por tanto, es no intentar hacerlo todo de golpe y en su lugar dedicar unos minutos a activar el segundo factor primero en el correo principal, luego en las cuentas financieras, después en las redes y la mensajería, y a partir de ahí en todo lo demás según su importancia, usando preferentemente una aplicación de autenticación y guardando siempre los códigos de recuperación. De este modo, con un esfuerzo escalonado y razonable, se protegen primero los objetivos más valiosos y se va reforzando el conjunto de la identidad digital.

La autenticación de dos factores mejora enormemente la seguridad de una cuenta y es una de las medidas más eficaces que existen, pero no la hace totalmente invulnerable, ya que ninguna medida de seguridad es perfecta y siguen existiendo formas, aunque más difíciles, de comprometer una cuenta protegida con segundo factor. Lo que el segundo factor consigue es neutralizar la gran mayoría de los ataques comunes, que se basan simplemente en obtener la contraseña mediante filtraciones, adivinación, reutilización o robo, porque en todos esos casos la contraseña por sí sola deja de ser suficiente para entrar. Sin embargo, existen técnicas más sofisticadas que pueden sortear ciertos tipos de segundo factor. Por ejemplo, los ataques de suplantación o phishing avanzados pueden engañar al usuario para que introduzca tanto su contraseña como su código temporal en una página falsa que los retransmite en tiempo real al sitio real, comprometiendo la sesión; frente a esto, los métodos basados en llaves físicas o llaves de acceso son resistentes porque verifican la autenticidad del sitio, mientras que los códigos temporales y sobre todo los mensajes de texto son más vulnerables. Asimismo, el segundo factor por mensaje de texto puede eludirse mediante el secuestro del número de teléfono, y en todos los casos el usuario puede ser manipulado mediante ingeniería social para que entregue voluntariamente su código, motivo por el cual nunca se debe compartir un código de segundo factor con nadie que lo solicite. También pueden existir riesgos si el propio dispositivo está infectado con software malicioso. Por todo ello, la actitud correcta es entender el segundo factor como una capa de protección fundamental y muy potente que hay que activar sin duda, pero combinándola con otras buenas prácticas: usar contraseñas únicas y robustas mediante un gestor, mantener los dispositivos limpios y actualizados, desconfiar de los intentos de engaño, no compartir jamás los códigos, y para las cuentas de máximo valor emplear los métodos más resistentes como las llaves físicas. En resumen, el segundo factor no vuelve una cuenta totalmente segura por sí solo, pero eleva de forma drástica el listón para los atacantes y, dentro de una estrategia de seguridad en capas, es una pieza imprescindible.