Verificación en dos pasos: qué es y cómo activarla en tus cuentas

Cuando una contraseña se filtra, quien la tiene puede intentar entrar en tu cuenta. La verificación en dos pasos añade un segundo requisito para que esa contraseña, por sí sola, no baste. Este artículo resume qué es, qué ventajas e inconvenientes tiene y cómo activarla, a partir de dos páginas del Instituto Nacional de Ciberseguridad (INCIBE).

El artículo principal de INCIBE se publicó el 17 de enero de 2017. Por eso no entramos en detalles de pantallas o menús concretos: cambian con el tiempo y cada servicio los explica en su propia ayuda.

Qué es la verificación en dos pasos

La verificación en dos pasos, también conocida como doble factor de autenticación (2FA), es una medida de seguridad con la que se hace más difícil que alguien sin autorización acceda a la cuenta personal de un servicio que cuente con esta función.

Cuando la activas, además de la contraseña tienes que facilitar otro código único para concluir el acceso. INCIBE usa varios nombres para lo mismo: doble factor, verificación en dos pasos, autenticación de dos pasos. En su página de recomendaciones lo resume así: el segundo paso consiste en algo que solo tú tienes, como un código de un solo uso enviado a tu dispositivo móvil.

Qué tipos de segundo factor existen

Según INCIBE, el código generalmente se envía al teléfono móvil del usuario por SMS. Pero se pueden usar otras alternativas:

• Aplicaciones para smartphones.
• Llamadas telefónicas.
• Una llave de seguridad.

Las páginas de INCIBE no comparan estas opciones entre sí, así que no podemos decirte cuál es mejor.

Qué ventaja tiene

La principal ventaja que señala INCIBE es el punto extra de seguridad que das a tu cuenta personal: es más seguro que usar únicamente usuario y contraseña.

INCIBE plantea un caso concreto. Alguien puede hacerse con tu contraseña, por ejemplo a través de un ataque de phishing. Si no tienes habilitada la verificación en dos pasos, un ciberdelincuente podría acceder a tu cuenta y hacer cualquier cosa que te perjudique, porque a los ojos del resto del mundo lo habrías hecho tú. Si la tienes habilitada, no podría acceder: aunque posea la contraseña, no tendría el código necesario para concluir el acceso.

Por eso INCIBE recomienda configurarla siempre que sea posible en un servicio online. Si alguien robara tus claves, no podría acceder a tus cuentas sin el código.

Lo que no hace por sí sola

INCIBE también es prudente. Dice que, aunque activar la verificación en dos pasos hace el acceso mucho más complicado para cualquier atacante, no debemos relajarnos ni dejar que toda la seguridad recaiga sobre esta medida.

Da dos razones. Puede haber malware instalado en tu dispositivo que evite esta medida de seguridad, o la propia verificación puede tener algún fallo. Por eso contar con una contraseña robusta sigue siendo necesario.

Dicho de otro modo, la verificación en dos pasos suma, pero no sustituye a una buena contraseña.

Cuál es su inconveniente principal

El mayor inconveniente que señala INCIBE es perder el dispositivo con el que recibes el código de verificación. En ese caso, cada servicio tiene sus propios mecanismos de recuperación.

INCIBE da dos ejemplos:

• Google puede enviar el código de acceso a un dispositivo alternativo o utilizar los códigos de seguridad imprimibles.
• Apple utiliza otras técnicas basadas en los dispositivos de confianza, que son aquellos en los que se ha iniciado sesión alguna vez utilizando la verificación en dos pasos.

La consecuencia práctica es sencilla: antes de depender del segundo factor, mira qué mecanismo de recuperación ofrece tu servicio.

Cómo activarla

INCIBE explica que activar esta medida varía en función de cada sistema. No hay un único procedimiento. Su artículo remite a la información de los principales servicios web, entre ellos Apple, Google, Microsoft, Facebook, Amazon y Dropbox.

También menciona una página web, aunque en inglés, desde la que se puede comprobar si los principales servicios y organizaciones permiten activar la verificación en dos pasos: twofactorauth.org.

En su página de recomendaciones, INCIBE aconseja configurarla siempre que sea posible en un servicio online. Esa página la presenta como una capa extra de seguridad para tus cuentas.

Por dónde empezar

Las páginas de INCIBE no ordenan tus cuentas por prioridad. Lo que sí dicen es que cada persona decide si esta medida es necesaria según el servicio que use y las repercusiones que pueda tener un acceso no autorizado en él. Con esa idea, puedes hacer este repaso:

1. Haz una lista de las cuentas cuyo acceso no autorizado tendría peores consecuencias para ti.
2. Comprueba si cada servicio ofrece la verificación en dos pasos, en su ayuda o en su configuración de seguridad.
3. Activa el segundo factor en el servicio. El procedimiento es el que indique cada uno.
4. Mira qué mecanismo de recuperación ofrece, por si pierdes el dispositivo.
5. Mantén una contraseña robusta, porque la verificación en dos pasos no la sustituye.

Si tus datos ya han aparecido en una filtración

Remove Me ofrece un análisis gratuito y sin cuenta. Introduces tus datos y el servicio busca en resultados web visibles públicamente, en filtraciones de datos públicas conocidas (Have I Been Pwned) y en un registro de intermediarios de datos (data brokers). Después te muestra un informe, que se desbloquea con un código de 6 dígitos enviado por correo electrónico.

El análisis no sustituye a las medidas de este artículo. Activar la verificación en dos pasos en tus cuentas lo haces tú, directamente en cada servicio.