La contraseña dejó de ser suficiente hace años, y eso ya casi todo el mundo lo asume. Lo que no está claro es qué segundo factor poner, porque las recomendaciones que circulan van de «activa el SMS y listo» a «si no usas llave física estás desprotegido». Las dos son malas guías: la primera se queda corta y la segunda hace que la gente no haga nada.
La respuesta útil es que depende de la cuenta. No todas tus cuentas valen lo mismo, y proteger el correo con el que recuperas todas las demás no es el mismo problema que proteger tu cuenta de una tienda en línea.
Qué es realmente un segundo factor
Un segundo factor añade algo que el atacante no tiene aunque se haya robado tu contraseña. La lógica es simple: la contraseña es algo que sabes; el segundo factor es algo que tienes —tu teléfono, una llave— o algo que eres —tu huella.
La diferencia entre las tres opciones que vamos a ver no está en si funcionan, sino en qué tipo de ataque detienen. Y ahí sí hay una brecha grande.
SMS: el que casi todos usan
Te llega un código por mensaje de texto y lo escribes. Es el más cómodo y el que más sitios ofrecen. También es el más frágil, por dos razones concretas.
La primera es el cambio fraudulento de SIM: alguien se hace pasar por ti ante el operador, pide un duplicado de tu línea y a partir de ese momento los códigos le llegan a él. No necesita tu teléfono. Necesita convencer a un empleado de un punto de atención.
La segunda es que el código funciona igual en una página falsa. Si te engañan con una copia del portal de tu banco, escribes tu contraseña y el código, y el atacante los usa en tiempo real en la página verdadera. El SMS no distingue.
Aun así, actívaloSi una cuenta solo ofrece SMS, actívalo sin pensarlo. Un segundo factor imperfecto detiene el 100% de los ataques que solo tenían tu contraseña, que son la inmensa mayoría. El enemigo aquí no es el SMS: es no tener nada.
App de códigos: el punto dulce
Una aplicación en tu teléfono genera un código de seis dígitos que cambia cada treinta segundos. No viaja por la red, no depende del operador y funciona sin señal y sin datos, porque el código se calcula en el propio dispositivo a partir de una clave y la hora.
Eso mata de raíz el problema del cambio de SIM: aunque te dupliquen la línea, los códigos siguen saliendo de tu teléfono. Sigue siendo vulnerable a la página falsa, porque el código se puede escribir donde sea, pero ya eliminaste el ataque más común contra el SMS.
Para casi cualquier empresa pequeña, esta es la opción correcta por defecto: es gratis, funciona en todos lados y no hay que comprar nada.
El error que deja a la gente encerradaSi pierdes el teléfono y no guardaste los códigos de respaldo, pierdes la cuenta. Cuando actives la app, el servicio te va a mostrar entre ocho y diez códigos de un solo uso. Guárdalos donde no dependan de ese mismo teléfono: impresos en un cajón con llave, o en tu gestor de contraseñas si lo tienes en otro dispositivo. Este paso se salta todo el mundo y es el que provoca el 90% de las cuentas perdidas.
Llave física: para lo que no puedes perder
Es un dispositivo del tamaño de una memoria USB que conectas o acercas al teléfono. Su ventaja no es que sea «más fuerte»: es que verifica a qué sitio te estás conectando. Si la página es una imitación, la llave simplemente no responde. Es el único de los tres que detiene el engaño de la página falsa sin depender de que tú notes algo raro.
Cuesta dinero y hay que comprar dos —una de respaldo, guardada aparte—, así que no tiene sentido ponerla en todo. Tiene sentido en las cuentas cuya pérdida hundiría el negocio.
Qué poner en cada cuenta
| Cuenta | Qué usar | Por qué |
|---|---|---|
| Correo del dueño o gerente | Llave física | Desde ahí se recuperan todas las demás. Es la llave maestra. |
| Banca empresarial | Lo que ofrezca el banco, lo más fuerte | Aquí no eliges tú. Usa el máximo disponible. |
| Dominio y hosting | Llave física o app | Si te lo quitan, pierdes correo y sitio el mismo día. |
| Software contable y facturación | App de códigos | Datos sensibles, pero recuperables. |
| Redes sociales del negocio | App de códigos | Blanco frecuente y de recuperación lenta. |
| Correos del equipo | App de códigos | Gratis y escalable a todo el mundo. |
| Servicios menores | Lo que haya, aunque sea SMS | Algo siempre es mejor que nada. |
Por dónde empezar esta semana
- Instala una app de códigos en tu teléfono. Cualquiera de las conocidas sirve.
- Empieza por el correo principal. Es la cuenta que recupera todas las demás; si solo vas a proteger una, que sea esta.
- Guarda los códigos de respaldo antes de cerrar la pantalla. Este paso no es opcional.
- Sigue con el dominio, el hosting y el software contable. En ese orden.
- Repítelo con cada persona del equipo. Tu seguridad es la del eslabón más flojo.
Y si todavía estás reutilizando contraseñas entre servicios, el segundo factor es el segundo paso, no el primero: primero un gestor de contraseñas, después esto.
Herramientas gratis para esto
- ¿Mi contraseña fue filtrada?: comprueba si tu contraseña aparece en filtraciones conocidas. Si aparece, el doble factor es lo único que hoy te está protegiendo.
Preguntas frecuentes
¿El SMS es inseguro? ¿Debería desactivarlo?
Es el más débil, no inseguro en términos absolutos. No lo desactives si es lo único disponible. Sí conviene cambiarlo por la app cuando el servicio ofrezca las dos, y en ese caso eliminar el SMS como método alternativo, porque si sigue activo el atacante puede usarlo como puerta trasera.
¿Qué pasa si pierdo el teléfono con la app?
Entras con uno de los códigos de respaldo que guardaste, y lo primero que haces es volver a configurar la app en el teléfono nuevo. Si no guardaste esos códigos, te toca el proceso de recuperación del servicio, que puede tardar días o no funcionar.
¿Sirve el segundo factor si me roban el computador?
Parcialmente. Si el ladrón tiene las sesiones ya abiertas en el navegador, el segundo factor no se le vuelve a pedir. Por eso, si pierdes un equipo, además de cambiar contraseñas hay que cerrar todas las sesiones activas desde la configuración de cada cuenta. Esa opción existe y casi nadie la usa.
¿Necesito llave física si soy una empresa de cinco personas?
Para el equipo completo, no. Para el correo del dueño y el dominio, vale la pena aunque seas uno solo: son las dos cuentas cuya pérdida te deja sin negocio el mismo día. Compra dos llaves y guarda la segunda en otro sitio.
La conclusión, sin rodeos
App de códigos en todo lo que puedas, llave física en las dos o tres cuentas críticas, SMS solo donde no haya alternativa. Y los códigos de respaldo guardados fuera del teléfono, siempre.
Es una tarde de trabajo y te quita de encima la clase de problema que no se arregla con dinero después.
¿No sabes por dónde empezar en tu empresa?
Cuéntame qué cuentas manejas y te ayudo a priorizar cuáles proteger primero. Respondo personalmente.
Hablemos