Autenticación de dos factores

Qué significa la autenticación de dos factores

La autenticación de dos factores, a menudo abreviada como 2FA, es un método de inicio de sesión que pide dos tipos distintos de prueba de que usted es quien dice ser. El primero suele ser algo que se sabe, como la contraseña. El segundo es algo que se tiene, como un teléfono con una aplicación de autenticación, una llave de seguridad física o un código por mensaje de texto, o algo que se es, como una huella dactilar o un escaneo facial.

La idea es sencilla. Una contraseña robada o adivinada no basta por sí sola, porque el atacante necesita también el segundo elemento. Las contraseñas se filtran en brechas de datos, se reutilizan en varios sitios y pueden capturarse mediante páginas de inicio de sesión falsas. Un segundo factor añade una barrera que estos ataques rutinarios difícilmente logran superar.

Para cualquiera que tenga una cuenta de bróker, de trading o de pagos, la 2FA es una de las protecciones más eficaces y menos costosas que existen. Las cuentas contienen dinero y documentos personales, y pueden usarse para ejecutar operaciones o solicitar retiros, por lo que son un objetivo natural para los delincuentes. Muchas entidades reguladas exigen o recomiendan encarecidamente la 2FA y, en algunas regiones, las normas de autenticación reforzada del cliente para pagos hacen que se aplique a determinadas acciones, lo elija usted o no.

Cómo funciona

El proceso añade un paso después de la contraseña.

1. Se introduce el nombre de usuario y la contraseña como de costumbre.
2. El servicio pide un segundo factor. Puede ser un código de seis dígitos que cambia cada 30 segundos, una notificación push que se aprueba, un toque en una llave física o una verificación biométrica.
3. El servicio verifica el segundo factor con lo que espera. Si ambos son correctos, se inicia la sesión.

Los principales tipos difieren en fortaleza.

• Códigos por SMS o por llamada de voz. Se envía un código a su número de teléfono. Es fácil de configurar, pero más débil, porque los números de teléfono pueden secuestrarse mediante el intercambio de SIM (SIM swapping) y los mensajes pueden interceptarse.
• Aplicaciones de autenticación. La aplicación y el servicio comparten un secreto durante la configuración. La aplicación genera entonces códigos de un solo uso basados en el tiempo de forma local, sin necesidad de red. Es la opción estándar habitual.
• Aprobaciones push. El servicio envía un aviso a una aplicación registrada y usted aprueba o rechaza. Es cómodo, pero puede aprovecharse si se pulsa aprobar por costumbre.
• Llaves de seguridad físicas. Un pequeño dispositivo que demuestra su identidad de forma criptográfica y está vinculado a la dirección web real, de modo que resiste las páginas de inicio de sesión falsas. En general es la opción más sólida para los usuarios corrientes.
• Biometría. Reconocimiento de huella o facial en un dispositivo, que normalmente desbloquea una credencial almacenada en lugar de enviarse al propio servicio.

Los servicios también emiten códigos de respaldo durante la configuración. Permiten entrar si se pierde el dispositivo y deben guardarse sin conexión.

Un ejemplo práctico

Este es un escenario ilustrativo. Un operador usa la misma contraseña en un foro y en una cuenta de bróker. El foro sufre una brecha y la contraseña aparece en una lista que se vende en internet.

Sin 2FA

1. Un atacante prueba el correo electrónico y la contraseña filtrados en la página de inicio de sesión del bróker.
2. Funciona. El atacante entra en la cuenta, cambia los datos de contacto e intenta una solicitud de retiro.

Con 2FA mediante una aplicación de autenticación

1. El atacante prueba el mismo correo electrónico y la misma contraseña.
2. El bróker pide un código de seis dígitos. El atacante no tiene el teléfono del operador y no puede generarlo.
3. El inicio de sesión falla. El operador puede recibir una notificación sobre el intento fallido y cambiar la contraseña.

La contraseña filtrada era la misma en ambos casos. La diferencia es una segunda barrera. Si el atacante hubiera engañado al operador para que escribiera un código en una página de inicio de sesión falsa en tiempo real, un código de aplicación aún podría retransmitirse, y por eso se valoran las llaves físicas y los métodos resistentes al phishing.

Por qué importa

La usurpación de cuentas es una de las principales causas de fraude en el trading minorista, y sus consecuencias pueden incluir operaciones no autorizadas, intentos fraudulentos de retiro, robo de identidad y el uso indebido de los documentos que se subieron para la verificación. La recuperación puede ser lenta y no toda pérdida se reembolsa, ya que las condiciones dependen de la entidad y de si hubo negligencia con las credenciales.

Las funciones de seguridad también difieren entre brókeres. Algunos exigen la 2FA en cada inicio de sesión y en los retiros, otros la ofrecen como opcional y algunos solo admiten SMS. La protección de los retiros, como una confirmación adicional al añadir una nueva cuenta bancaria, puede importar tanto como el propio inicio de sesión. El enfoque de un bróker sobre la autenticación es una señal de lo en serio que se toma la seguridad de sus clientes, junto con las cuentas segregadas de clientes y otros controles.

Cómo usarla en la práctica

1. Activar la 2FA en el bróker, el correo electrónico, el banco y cualquier cuenta de pagos o de criptomonedas. El correo electrónico es crítico, porque permite restablecer todas las demás contraseñas.
2. Preferir una aplicación de autenticación o una llave física antes que el SMS cuando el servicio lo ofrezca.
3. Guardar los códigos de respaldo sin conexión, por ejemplo impresos y custodiados de forma segura, y no en la misma cuenta de correo.
4. Usar una contraseña única para cada servicio, idealmente generada y almacenada en un gestor de contraseñas.
5. Comprobar si el bróker ofrece una confirmación adicional para retiros y cambios en los datos bancarios, y activarla.
6. Mantener actualizados el número de teléfono y los datos del correo electrónico para poder recuperar el acceso.
7. No compartir nunca un código con nadie, incluida una persona que diga ser del soporte. El personal auténtico no lo pide.
8. Revisar con regularidad las notificaciones de inicio de sesión y de dispositivos del bróker.

Errores habituales y ideas equivocadas

• Suponer que los códigos por SMS son tan sólidos como los de una aplicación. Son mejores que nada, pero están expuestos al intercambio de SIM.
• Aprobar avisos push que no se han iniciado. Los avisos inesperados deben rechazarse y la contraseña cambiarse.
• Perder el único dispositivo sin respaldo. Sin códigos de respaldo, la recuperación puede exigir largas verificaciones de identidad.
• Creer que la 2FA vuelve inofensivo el phishing. Los ataques de retransmisión en tiempo real pueden capturar códigos de un solo uso. Compruebe la dirección web antes de introducirlos.
• Usar la 2FA en el bróker pero no en la cuenta de correo. Un atacante con acceso al correo a menudo puede restablecer la contraseña del bróker y, en ocasiones, el segundo factor.
• Decir el código por teléfono a alguien porque afirmó que era un control de seguridad.

Riesgos y limitaciones

La autenticación de dos factores reduce el riesgo, pero no lo elimina. El malware en el dispositivo, las retransmisiones de phishing, la ingeniería social dirigida al personal de soporte y los procedimientos de recuperación débiles pueden aún llevar a una vulneración. Los métodos sólidos también pueden dejarle sin acceso si pierde el dispositivo y no tiene respaldo. Las normas y los métodos disponibles varían según el país y la entidad, y la 2FA protege el acceso a la cuenta, no el valor de las inversiones que contiene, por lo que no es una defensa frente a las pérdidas de mercado.

Cómo lo ve Brokeli

Al recopilar información de brókeres anotamos qué opciones de autenticación se ofrecen, si la 2FA es obligatoria u opcional y si se aplican controles adicionales a los retiros. Es uno de varios elementos de seguridad de la cuenta que registramos junto con la regulación, la segregación del dinero de los clientes y el proceso de verificación. Describimos lo que el bróker publica y no evaluamos ni certificamos su seguridad.