1. Código por SMS o llamada
El más usado en Colombia y el más débil de los que existen. Es el único que la guía de referencia clasifica como «autenticador restringido».
Aun así: es mucho mejor que nada. Si es el único que ofrece el banco, se activa.
Lo que arregla el segundo factor
La lección anterior terminó con una contraseña larga y distinta en cada sitio. Sigue teniendo un problema: es una sola cosa. Si alguien la obtiene -por una fuga, porque la escribiste en una página falsa o porque miró la pantalla-, entra.
El segundo factor rompe eso. Además de algo que sabes (la contraseña), pide algo que tienes (el teléfono, una llave). Quien consiga la contraseña se queda a mitad de camino.
Si de esta lección solo te llevas una cosa, que sea esta: activarlo en el correo. El correo es la llave maestra: con acceso a él se recuperan las contraseñas de casi todo lo demás. Un segundo factor mediocre en el correo protege muchísimo más que uno excelente en una cuenta cualquiera.
No todos valen lo mismo
«Segundo factor» agrupa cosas muy distintas. Van de menos a más resistente.
2. Código de una aplicación
Los seis dígitos que cambian cada 30 segundos en una app del teléfono. No dependen de la línea telefónica, así que no se pierden con la tarjeta SIM.
Es el equilibrio razonable para casi todo.
3. Llave de seguridad o clave de acceso
Un dispositivo físico, o la huella y el rostro del propio teléfono usados como llave. Resisten el engaño aunque el usuario caiga en él.
Es lo que se recomienda para las cuentas que más importan.
Por qué el SMS es el débil
Por dos motivos distintos, y conviene no confundirlos.
El código viaja por la red telefónica, que no controlas
El mensaje pasa por la operadora. Existe una estafa conocida -llamada intercambio de SIM- en la que alguien se hace pasar por ti ante la operadora, pide un duplicado de tu línea y recibe tus códigos en su teléfono.
No hace falta que te roben el celular: basta con que convenzan a un empleado del punto de atención.
El código se puede pedir prestado con una llamada
Este es el que más ocurre y no requiere ninguna hazaña técnica. Te llaman diciendo ser del banco, te avisan de un movimiento sospechoso y te piden que confirmes «el código que acaba de llegarte».
Ese código lo generó el atacante al intentar entrar a tu cuenta. Tú se lo dictas. Ningún banco pide ese código por teléfono: quien lo pide es siempre quien está entrando.
El segundo problema afecta también a los códigos de la aplicación: cualquier cosa que consista en teclear un número que te dictan o te llega se le puede sacar a una persona convencida. Por eso las llaves y las claves de acceso son distintas de grado, no de marca.
Qué hace distinta a una llave de seguridad
Cuando registras una llave o una clave de acceso, se crea un secreto atado a la dirección del sitio. Al entrar, el navegador comprueba que la dirección es exactamente aquella y solo entonces responde.
La consecuencia es la que importa: si caes en una página falsa que imita perfectamente a tu banco, la llave sencillamente no responde, porque la dirección no coincide. No hay ningún número que dictar, así que no hay nada que te puedan sacar por teléfono. El error humano deja de bastar.
Qué hacer esta semana, en orden
Actívalo en el correo, con lo que tengas
Aunque solo esté disponible el SMS. Es la cuenta que recupera todas las demás.
Luego, el banco y las redes de la empresa
Las redes sociales del negocio son la puerta para suplantar a la empresa ante sus propios clientes.
Donde puedas elegir, sube un escalón
Si el sitio ofrece aplicación o clave de acceso, cámbialo. Cuesta tres minutos y no hay que repetirlo.
Guarda los códigos de recuperación
Casi todos los servicios entregan una lista de códigos de un solo uso al activar el segundo factor. Son los que te devuelven la cuenta si pierdes el teléfono. Impresos y guardados donde guardas los documentos importantes, no en el mismo teléfono.
Tres situaciones reales
Decide qué harías y luego toca la tarjeta.
Compruébalo tú mismo
¿Por qué el código por SMS es el segundo factor más débil?
Son dos problemas distintos: el duplicado fraudulento de la línea, y la llamada que le pide a la víctima que dicte el código. El segundo es el que más ocurre y no requiere nada técnico.
Una llave de seguridad protege incluso si el usuario cae en una página falsa. ¿Por qué?
No hay nada que teclear ni que dictar, y la respuesta solo se produce si la dirección coincide exactamente. La copia falsa no la recibe, aunque la persona se haya dejado engañar del todo.
Si solo vas a activar el segundo factor en una cuenta, ¿cuál eliges?
El correo es la llave maestra: es donde llegan los enlaces de «recuperar contraseña» de todo lo demás. Perderlo es perder el resto en cadena.
En la próxima lección
Ya viste que varios de estos ataques no van contra el sistema, sino contra la persona: una llamada, un correo, un momento oportuno. La lección 4 desarma ese mensaje pieza por pieza -incluido el que más dinero mueve en Colombia, el del proveedor que «cambió de cuenta bancaria»-.
Siguiente: Reconocer el engaño
Continuar ← Contraseñas que sí sirven