2FA: del SMS a las passkeys
Lección 5 de 16 del curso «Ciberseguridad desde cero». Gratis, con animaciones y un test.
Una segunda cerradura
La autenticación en dos pasos (2FA) es cuando además de la contraseña hace falta algo más: un código, un aviso en el móvil o una llave. Si se filtra la contraseña, la puerta sigue cerrada. En el estudio de Google de 2019, incluso el código por SMS frenó todos los ataques de bots y el 96% del phishing masivo. Pero contra ataques dirigidos la diferencia es enorme: SMS 76%, aviso en el móvil 90%, llave física 100%.
El punto débil del SMS
En enero de 2024 robaron la cuenta de X de la SEC, el regulador financiero de EE. UU. Los estafadores convencieron a la operadora de pasar el número de la SEC a su SIM. Eso es un SIM swap. La 2FA estaba desactivada, restablecieron la contraseña con el número y publicaron un post falso sobre la aprobación de los ETF de bitcoin. Ni los códigos SMS habrían ayudado: habrían llegado a los estafadores. Protege una app de autenticación o una llave.
La escalera, de peor a mejor
Sin 2FA: basta una contraseña. SMS: mejor que nada, pero el código se intercepta con SIM swap o te lo sacan con phishing. Una app de autenticación (Google Authenticator, Microsoft Authenticator y similares) genera un código en el móvil cada 30 segundos; la operadora no puede interceptarlo. Pero aún puedes escribirlo en un sitio falso. Cuidado con las notificaciones push: en 2022 el atacante de Uber bombardeó a un empleado con solicitudes hasta que pulsó “Sí”.
Passkey: una contraseña que no se puede pescar
Una passkey es una clave de acceso en lugar de contraseña. El móvil o el portátil guarda la parte secreta y confirma la entrada con tu huella o tu cara. La clave está ligada a la dirección exacta del sitio, así que en binance-verify.com no funciona, aunque tú te creas el diseño. Una llave física, un pequeño USB como YubiKey, funciona igual. Google, Apple, Microsoft y muchos exchanges, Binance incluido, admiten passkeys. Siempre que puedas, elígela.
Lo que activa Dan hoy
Correo: passkey y, como respaldo, una app de autenticación. Exchange: passkey en lugar de SMS. Gestor de contraseñas: app de autenticación. Dan quita su número de teléfono como método de acceso donde hay algo mejor. Y guarda ya los códigos de respaldo en papel en casa: si el móvil se ahoga, sin ellos podría perder el acceso para siempre. En el entrenador, ordena los métodos de 2FA por fuerza.
Ponte a prueba
- ¿Por qué el código SMS es la 2FA más débil?
Respuesta correcta: El número se puede robar con un SIM swap y los códigos llegan al estafador. El código está ligado a un número, y el número a una operadora que se puede engañar. Así robaron la cuenta de la SEC en 2024. - Por la noche a Dan le llega la décima solicitud “¿Eres tú quien inicia sesión?” y está en la cama. ¿Qué hacer?
Respuesta correcta: Pulsar “No” y cambiar la contraseña ya: alguien la conoce. Las solicitudes significan que alguien ya tiene la contraseña. El segundo factor aguanta la puerta, pero no para siempre: cambia la contraseña. - ¿Por qué una passkey protege incluso de una copia perfecta del sitio?
Respuesta correcta: La clave está ligada a la dirección exacta y no funciona en otra. Tú puedes creerte una falsificación, la clave no: comprueba la dirección, no el diseño.
← Gestor de contraseñas: recordar solo una Correo y número: las llaves maestras →