Doble autenticación: cómo activarla y en qué cuentas hacerlo primero

¿Qué es la doble autenticación?

La doble autenticación, o autenticación de dos factores, consiste en demostrar dos veces quién es usted para abrir una cuenta: algo que sabe, su contraseña, y algo que tiene, casi siempre su teléfono. El servicio solo le deja entrar si reúne las dos pruebas. En pantalla la verá con varios nombres, verificación en dos pasos, 2FA o MFA (del inglés two-factor authentication), y todos significan lo mismo.

Su interés cabe en una frase: rompe el único escenario de ataque que funciona a gran escala. Una contraseña circula: se adivina, aparece en una filtración de datos, se teclea en un sitio falso. Con un segundo factor, quien la consigue choca contra un muro: no tiene su teléfono.

Lo esencial

• Una contraseña robada ya no basta para abrir una cuenta protegida.
• Empiece por el correo: desde él se restablecen todas sus demás cuentas.
• Prefiera una aplicación de autenticación o una llave física antes que el SMS.
• Anote y guarde los códigos de recuperación el mismo día en que la active.
• Una solicitud de aprobación que usted no ha provocado indica que su contraseña está comprometida.
• Calcule cinco minutos por cuenta, desde los ajustes de seguridad.

¿Por qué cuentas hay que empezar?

El orden importa más que la exhaustividad. Proteja primero lo que protege todo lo demás.

1. Su correo profesional. Es la llave del llavero: quien lo controla pide el restablecimiento de todas sus demás contraseñas y recibe los enlaces de confirmación. Con acceso al correo también basta para enviar, en su nombre, una orden de transferencia a su contable.
2. Sus accesos bancarios y de pago. Banca de empresa, plataforma de facturación, herramienta de pago en línea.
3. Sus herramientas profesionales alojadas en línea. Programa de gestión, espacio de almacenamiento compartido, agenda, herramienta de citas, portal de teletransmisión.
4. Sus cuentas administrativas. Espacio de empleador, portal de la administración tributaria, plataformas de declaración.
5. Sus cuentas personales sensibles, en particular el correo personal si sirve de dirección de recuperación de una cuenta profesional.

Si hoy solo tiene tiempo para una cuenta, hágalo con el correo.

¿Qué método elegir?

Los servicios suelen proponer tres opciones. No son equivalentes.

El código por SMS

Es el método más extendido y el más débil de los tres, pero vale infinitamente más que nada. Su límite: un atacante puede conseguir que su número se transfiera a una tarjeta SIM que él controla, o llamarle haciéndose pasar por su servicio informático y pedirle que le lea el código. Quédese con esta regla sencilla: un código recibido por SMS no se comunica nunca a nadie, tampoco a alguien que le llama y conoce su nombre, su cargo y el expediente que tiene entre manos.

La aplicación de autenticación

Una aplicación instalada en su teléfono muestra un código de seis cifras que cambia cada treinta segundos. Funciona sin cobertura, no depende de su operador y no puede desviarse mediante una transferencia de número. Es el punto de equilibrio adecuado para la inmensa mayoría de los profesionales. Algunos servicios sustituyen el código por una notificación que se aprueba con un gesto, lo que ofrece el mismo nivel de protección.

La llave de seguridad física

Un pequeño objeto que se conecta o se acerca al dispositivo. Es el método más robusto y el único que resiste a un sitio falso perfectamente imitado, porque la propia llave comprueba la dirección del sitio antes de responder. Se justifica para las cuentas cuya intrusión paralizaría su actividad: dirección, contabilidad, administración de las herramientas.

¿Cómo activarla, en la práctica?

El procedimiento es el mismo en todas partes, con pequeñas variaciones de vocabulario.

1. Abra los ajustes de la cuenta y, después, el apartado Seguridad, Inicio de sesión o Privacidad.
2. Busque la entrada Verificación en dos pasos, Doble autenticación o Autenticación de dos factores.
3. Elija el método. Si se ofrece la aplicación de autenticación, escójala.
4. Escanee el código que aparece con su aplicación y, a continuación, introduzca el código de seis cifras que esta le muestra para confirmar.
5. Guarde los códigos de recuperación. El servicio le propone una lista de códigos de un solo uso. Imprímala o cópiela a mano, y guárdela fuera del ordenador: en un cajón cerrado con llave o en su gestor de contraseñas, si usa uno.
6. Cierre la sesión, vuelva a iniciarla y compruebe que aparece la petición del segundo factor.

El paso 5 es el que se salta, y es el que sale caro: sin códigos de recuperación, un teléfono perdido le cierra la puerta de su propia cuenta.

¿Qué hacer si pierde el teléfono?

Existen tres salidas, y conviene haber preparado una antes del incidente.

• Los códigos de recuperación anotados al activarla. Es la vía más rápida.
• Un segundo factor de repuesto registrado de antemano: un segundo dispositivo, una llave física guardada en la oficina o un número de confirmación.
• El procedimiento de recuperación del servicio, que exige comprobaciones de identidad y suele tardar varios días. Es la vía de último recurso.

Si el dispositivo perdido pertenece a su empresa u organización, comunique la pérdida de inmediato, incluso antes de ocuparse de sus accesos: el borrado remoto se activa desde su lado.

¿Y si recibe una solicitud de aprobación que usted no ha iniciado?

Esa notificación es una señal de alarma, no una molestia. Significa que alguien tiene su contraseña y acaba de usarla.

Rechace la solicitud. Cambie después esa contraseña desde otro dispositivo, y cámbiela en todos los sitios donde la hubiera reutilizado. Avise luego a la persona encargada de la informática en su organización, o a su responsable si no la hay. Algunos ataques consisten precisamente en repetir la solicitud decenas de veces, de noche, hasta que la persona atacada la aprueba por cansancio: no apruebe nunca para que cesen las notificaciones.

¿Basta con la doble autenticación?

No, y hay que decirlo con claridad. Neutraliza el robo de contraseñas, no el resto: un mensaje fraudulento que le lleva a ordenar una transferencia no necesita ningún acceso a sus cuentas, y un ransomware entra por una vulnerabilidad del software, no por una página de inicio de sesión. El segundo factor es una pieza entre cuatro: contraseñas únicas, segundo factor, actualizaciones instaladas y copias de seguridad desconectadas.

Para construir el conjunto, el curso Ciberseguridad: los fundamentos para proteger su profesión repasa estos cuatro gestos con casos de su profesión, y el curso Phishing: simulador, fraude de transferencias y deepfakes trata el caso particular de los mensajes fraudulentos, que el segundo factor no bloquea.

Casos particulares según su profesión

Algunas situaciones cambian la forma de proceder.

• Una cuenta compartida entre varias personas (una centralita, un buzón de contacto, un acceso de guardia) plantea un problema real: ¿a quién se envía el código? La buena respuesta es eliminar la cuenta compartida y crear accesos nominativos con permisos, en lugar de inventar un apaño en torno al segundo factor. Las secretarias médicas y las secretarias de ayuntamiento, que a menudo gestionan el correo de una consulta o de todo un municipio, son las primeras afectadas.
• Un teléfono personal usado para validar un acceso profesional. Es lícito si su empresa lo acepta, pero lo contrario debe ser posible: prevea siempre un método alternativo que no dependa de su dispositivo personal.
• Una actividad sin servicio informático. Para un artesano o el gerente de una microempresa, nadie desbloqueará la cuenta en su lugar: los códigos de recuperación guardados fuera de la oficina no son una precaución más, son sus llaves de repuesto.
• Puestos usados por varias personas sucesivamente. El segundo factor va ligado a la persona, nunca al puesto. Cada empleado abre su sesión, valida con su propio teléfono y cierra la sesión al marcharse.

El punto de partida, si solo tuviera que recordar una cosa

Abra los ajustes de seguridad de su correo profesional, active la verificación en dos pasos con una aplicación de autenticación, anote los códigos de recuperación y guárdelos fuera del ordenador. Ese cuarto de hora deja fuera de juego el escenario de ataque más habitual contra los profesionales.