Verificación en dos pasos: códigos, aplicaciones y SMS
Módulo 2: Contraseñas e inicio de sesión · Tiempo de lectura: 11 minutos
Objetivo de aprendizaje: Después de esta lección podrá comparar las formas de verificación en dos pasos (SMS, correo, TOTP, push), reconocer los ataques contra ellas y organizar la recuperación para cuando pierda su teléfono.
Conceptos clave: 2FA/MFA, factor (saber, tener, ser), TOTP, secreto compartido, notificación push, fatiga de MFA, sim-swap, códigos de recuperación
Dos pruebas distintas
Una contraseña es algo que usted sabe. Si se filtra, cualquiera que la conozca puede iniciar sesión. Por eso, la verificación en dos pasos (2FA) exige una segunda prueba de otro tipo. Cuando hay más de dos, se habla de autenticación multifactor (MFA); en la práctica ambos términos se usan de forma intercambiable.
Existen tres tipos de factores:
- Saber: una contraseña o un PIN.
- Tener: su teléfono con una aplicación, una llave de seguridad, una tarjeta.
- Ser: su huella dactilar o su rostro.
Dos veces el mismo tipo no cuenta: una contraseña más una pregunta de seguridad son dos cosas que usted sabe. INCIBE recomienda encarecidamente utilizar MFA en todos los sistemas y cuentas que lo admitan, y especialmente en las cuentas accesibles por internet y en las cuentas con permisos de administración. Para una pequeña empresa, estas son, en cualquier caso: el correo, el alojamiento y el registro del dominio, el banco, la contabilidad, la tienda online, el gestor de contraseñas y las redes sociales del negocio.
Las formas, una junto a otra
| Forma | Cómo funciona | Punto débil | ¿Resiste el phishing? |
|---|---|---|---|
| Código por SMS | El servicio envía un código a su número de teléfono | Sim-swap, interceptación, su número no es su dispositivo | No |
| Código por correo electrónico | El servicio envía un código a su buzón | Tan fuerte como su buzón; si este ha sido tomado, esto ya no es un segundo cerrojo | No |
| Aplicación de autenticación (TOTP) | Una aplicación genera un código nuevo cada 30 segundos | El secreto puede filtrarse al configurarlo o en una copia de seguridad mal protegida; usted copia el código manualmente | No |
| Notificación push | Su teléfono pregunta "¿Es usted?" y usted toca Aprobar | Fatiga de MFA | No, es mejor con introducción de número |
| Passkey o llave de seguridad | Su dispositivo demuestra criptográficamente quién es usted, solo para el dominio auténtico | Recuperación si lo pierde todo | Sí (lección 2.4) |
Cualquier forma es mucho mejor que no tener un segundo paso. Pero la tabla también muestra algo importante: todo aquello en lo que usted copia un código o aprueba una notificación, un estafador puede hacer que lo haga en su sitio falso. El NIST lo dice sin rodeos en el SP 800-63B-4: los métodos en los que usted introduce el resultado manualmente no son resistentes al phishing.
Cómo funciona una aplicación de autenticación
Una aplicación de autenticación utiliza TOTP: Time-based One-Time Password, descrito en el RFC 6238. Funciona así:
- Al configurarla, el servicio genera un secreto compartido aleatorio, por ejemplo de 32 caracteres como
JBSWY3DPEHPK3PXP.... Ese secreto está incluido en el código QR que usted escanea, o lo puede introducir como "clave manual". - Su aplicación y el servicio tienen ahora el mismo secreto. A partir de ahí no hace falta más contacto entre ambos.
- Cada 30 segundos, ambos calculan el secreto más la hora actual para obtener un código de 6 dígitos. Como tienen el mismo secreto y el mismo reloj, el resultado es el mismo código.
- Al iniciar sesión, el servicio compara su código con su propio cálculo, normalmente con un margen de un intervalo de tiempo antes o después para compensar relojes algo desincronizados.
Esto tiene dos consecuencias:
- El secreto es el verdadero cerrojo. Quien vea el código QR o la clave manual podrá generar para siempre los mismos códigos que su teléfono. Por tanto, no haga nunca una captura de pantalla de él, no lo comparta con nadie y no lo envíe a ningún compañero.
- El código funciona incluso sin internet y no llega a través de la red telefónica. Por eso, TOTP es más fuerte que el SMS.
Las aplicaciones de autenticación existen en distintas variantes: independientes en su teléfono, integradas en un gestor de contraseñas, de código abierto o de una gran empresa tecnológica, con o sin copia de seguridad cifrada en la nube. Algunos ejemplos son Aegis, Google Authenticator y Microsoft Authenticator, además de la función integrada en gestores como Bitwarden o 1Password. Una copia de seguridad resulta útil cuando cambia de teléfono, pero INCIBE advierte de que una copia de seguridad mal cifrada también da acceso a un atacante.
Sim-swap: por qué el SMS es la forma más débil
En un sim-swap, un estafador se apodera de su número de teléfono. Hace que su número se transfiera a una tarjeta SIM o eSIM que él mismo controla. Esto lo consigue, por ejemplo, haciéndose pasar por usted ante su operador, o haciendo que usted mismo colabore: la Línea de Ayuda en Ciberseguridad de INCIBE advierte sobre SMS y llamadas "en nombre de su operador" que piden validar su tarjeta SIM o cambiarla urgentemente a una eSIM.
En cuanto lo consigue:
- su teléfono se queda de repente sin cobertura y usted no puede llamar ni enviar SMS;
- el estafador recibe todos los códigos por SMS, incluidos los códigos de "contraseña olvidada" de los servicios que usan su número como método de recuperación;
- a veces puede apoderarse de cuentas con solo su número.
Lo complicado es que usted no lo nota hasta que su teléfono deja de funcionar, a menudo por la noche o en fin de semana. Por eso, el NIST describe el SMS como un método limitado, y señala que los servicios deben estar atentos a señales como una tarjeta SIM nueva o un número que se ha transferido. INCIBE recomienda evitar el SMS siempre que sea posible, porque los mensajes no están cifrados y pueden interceptarse.
¿Qué puede hacer?
- Elija, siempre que pueda, una aplicación o una passkey en lugar del SMS.
- Elimine su número de teléfono como método de recuperación allí donde sea un punto débil, o protéjalo adicionalmente.
- Pregunte a su operador si puede configurar un PIN adicional u otro control para la transferencia de su número.
- ¿Se queda sin cobertura de repente sin ninguna razón? Llame a su operador desde otro dispositivo. No espere.
El SMS sigue siendo mejor que nada. Si un servicio solo ofrece SMS, actívelo de todas formas.
Fatiga de MFA: la notificación que descarta sin pensar
Con una notificación push, no tiene que copiar nada: su teléfono le pregunta "¿Intenta iniciar sesión?" y usted toca Aprobar. Es cómodo, y precisamente por eso se abusa de él.
En la fatiga de MFA (también llamada bombardeo de notificaciones push), un atacante ya tiene su contraseña. Intenta iniciar sesión una y otra vez, de modo que su teléfono recibe una notificación tras otra, a veces en plena noche. La agencia estadounidense CISA describe cómo las personas acaban tocando Aprobar por molestia o por error, o piensan que alguna de las notificaciones será auténtica. A veces el atacante incluso llama, haciéndose pasar por "el servicio de asistencia", pidiendo que apruebe la notificación.
Un caso real descrito por INCIBE: unos atacantes consiguieron acceder a las cuentas de correo de una empresa de software mediante fatiga de MFA y después las usaron para cometer fraude de facturas.
Las reglas básicas:
- Nunca apruebe una notificación que usted mismo no haya provocado. Tampoco la vigésima.
- Una notificación inesperada significa que alguien tiene su contraseña. Cámbiela de inmediato y notifíquelo.
- Elija, siempre que sea posible, la opción de introducción de número: la pantalla de inicio de sesión muestra un número que usted debe escribir en la aplicación. Quien no esté frente a la pantalla de inicio de sesión no podrá aprobar. CISA señala que es un buen paso intermedio, aunque más débil que una MFA resistente al phishing.
Recuperación: prepárela antes de perder el teléfono
Su teléfono se cae al agua, se lo roban o se estropea. Sin preparación previa, se quedará fuera de sus propias cuentas. Por eso existen los códigos de recuperación (también llamados códigos de respaldo): una lista de códigos de reserva que recibe al configurar el sistema y que funcionan solo una vez cada uno.
- No los guarde en el mismo teléfono que su aplicación de autenticación. Imprímalos y guárdelos junto a sus documentos importantes, o consérvelos en su gestor de contraseñas junto al elemento correspondiente.
- ¿Ha usado un código de recuperación? Táchelo. Si se le acaban, genere otros nuevos.
- Asegúrese de tener al menos dos maneras de entrar: por ejemplo, la aplicación más los códigos de recuperación, o dos llaves de seguridad.
- Cuando estrene un teléfono nuevo, transfiera primero sus cuentas y solo después borre el antiguo.
- Conozca cómo funciona el proceso de recuperación de sus servicios más importantes. Un buen servicio no restablece sin más su segundo paso con solo un correo o una llamada, sino que primero comprueba que realmente es usted.
En la práctica: así se ve
En el entorno de WebOké, Mi WebOké siempre le pide un segundo paso después de su contraseña: por defecto, un código por correo electrónico, y puede cambiar a una aplicación de autenticación. En DirectAdmin se llama Autenticación en dos pasos, con códigos de recuperación. En Nextcloud activa TOTP y genera diez códigos de respaldo. En otros proveedores funciona de forma parecida: busque en su perfil o en la configuración de seguridad las palabras "verificación en dos pasos", "2FA", "autenticador" o "two-factor".
Los pasos son casi siempre los mismos: escanear el código QR, introducir un código de comprobación, guardar los códigos de recuperación.
Resumen
- La 2FA combina dos tipos de factores: saber, tener, ser.
- TOTP funciona con un secreto compartido y el reloj. El secreto (código QR) es el verdadero cerrojo: no lo comparta nunca.
- El SMS es la forma más débil por el sim-swap y la interceptación, pero es mejor que nada.
- Fatiga de MFA: nunca apruebe una notificación que usted mismo no haya provocado, y cambie entonces su contraseña.
- Los códigos y las notificaciones no resisten el phishing; las passkeys y las llaves de seguridad sí (lección 2.4).
- Organice códigos de recuperación y un segundo método antes de perder su teléfono.
Cuestionario
Ejercicio
Ejercicio A2.3: Vincular una aplicación de autenticación. Recibirá un código QR de una cuenta de prueba "cursus-oefening". Escanéelo con una aplicación de autenticación a su elección e introduzca dos códigos que aparezcan uno tras otro. El programa comprobará si su aplicación calcula correctamente. El secreto de prueba no tiene ningún valor y se elimina después de 24 horas; borre después la cuenta de prueba de su aplicación.
Ejercicio D2.3: Activar la verificación en dos pasos en sus cuentas más importantes. Active la verificación en dos pasos en su correo, su alojamiento o registro de dominio, su banco, su contabilidad y su gestor de contraseñas. Guarde los códigos de recuperación en un segundo lugar y responda a la pregunta de qué hará si mañana pierde su teléfono.
Ejercicio D2.3: Activar la verificación en dos pasos en sus cuentas más importantes
Así lo aborda: (1) Haga una lista de sus cuentas más importantes: correo, alojamiento y registro de dominio, banco, contabilidad, tienda online, gestor de contraseñas, redes sociales de la empresa. (2) Active la verificación en dos pasos en cada una. Elija en este orden lo que ofrezca el servicio: passkey o llave de seguridad, aplicación autenticadora, notificación push con número a copiar, código por correo electrónico, SMS. (3) Guarde en cada cuenta los códigos de recuperación en un segundo lugar (impresos o en su gestor de contraseñas), no en el mismo teléfono que su aplicación autenticadora. (4) Asegúrese de tener al menos dos formas de acceder a cada cuenta importante. (5) Pregunte a su proveedor si puede configurar un control adicional o un código PIN para el traspaso de su número. (6) Acuerde con su equipo: una notificación de inicio de sesión que usted no haya provocado nunca se aprueba; se notifica de inmediato.
Sus marcas y notas se quedan solo en este navegador; no las enviamos a ningún sitio. Si ha iniciado sesión, en Mis cursos solo guardamos que ha realizado el ejercicio.
Para seguir leyendo
Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores funciona de forma parecida.
- Verificación en dos pasos en Mi WebOké y configuración de una aplicación autenticadora
- Manual de WebOké 3.2: El código de acceso por correo electrónico (verificación en dos pasos)
- Manual de WebOké 3.3: Usar una aplicación de autenticación
- Manual de DirectAdmin 3.2: Configurar la Autenticación en dos pasos
- Manual de DirectAdmin 3.3: Códigos de recuperación, y qué hacer si pierde su autenticador
- Manual de Nextcloud 3.3: Configurar una aplicación de autenticación y guardar códigos de respaldo
- Manual de Nextcloud 3.10: Teléfono perdido o 2FA perdido: así vuelve a entrar
- Configurar la verificación en dos pasos (2FA) en Nextcloud
- INCIBE, recursos sobre MFA para empresas: https://www.incibe.es/empresas
- Línea de Ayuda en Ciberseguridad de INCIBE (017), sobre fraudes con el teléfono y la tarjeta SIM: https://www.incibe.es/linea-de-ayuda-en-ciberseguridad
- CISA, Implementing Number Matching in MFA Applications (en inglés): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
- RFC 6238, TOTP: Time-Based One-Time Password Algorithm (en inglés): https://www.rfc-editor.org/rfc/rfc6238