App de autenticación, SMS o llaves de acceso: ¿qué método de 2FA elegir?

La autenticación de dos factores no es una sola cosa. Un SMS con seis dígitos, un código en una app de autenticación, un aviso de "¿Has sido tú?" y una llave de acceso cuentan como segundo factor, pero te protegen frente a ataques muy distintos. Así se comparan los métodos más habituales y cuál tiene sentido para cada cuenta.

Los ataques que importan

La mayoría de los robos de cuentas empiezan por una de estas tres cosas:

• Reutilización de contraseñas. Una contraseña filtrada en un sitio se prueba en todos los demás. Cualquier segundo factor basta para frenar esto.
• Phishing. Una página de inicio de sesión falsa recoge tu contraseña y, cada vez más a menudo, también tu código de un solo uso, y luego reenvía ambos al sitio real en cuestión de segundos.
• SIM swapping (duplicado de SIM). Un atacante convence a tu operadora móvil de que traslade tu número a una SIM que él controla. A partir de ese momento, tus mensajes y llamadas le llegan a él.

Un buen segundo factor también debería resistir los dos últimos. Ahí es donde los métodos empiezan a diferenciarse.

Códigos por SMS

El servicio te envía un código por mensaje de texto y tú lo introduces.

• Ventajas: funciona en cualquier teléfono, no hay que instalar nada y es fácil conservarlo al cambiar de teléfono si mantienes el mismo número.
• Inconvenientes: está expuesto al duplicado de SIM y a la portabilidad del número, los códigos pueden aparecer en las previsualizaciones de la pantalla bloqueada y son tan fáciles de robar con phishing como una contraseña. Además, la entrega puede fallar en el extranjero o sin cobertura.

Las directrices de identidad digital del NIST clasifican el SMS y la voz como autenticadores restringidos por estos riesgos (SP 800-63B). Aun así, el SMS es muchísimo mejor que una contraseña sola y, en algunos bancos, es la única opción. Si dependes de él, pregunta a tu operadora si puedes añadir un PIN o una protección contra la portabilidad a tu línea.

Códigos por correo electrónico

Un código o un enlace mágico que llega a tu bandeja de entrada.

• Ventajas: universal y conocido por todos.
• Inconvenientes: solo es tan seguro como tu cuenta de correo, y no sirve como segundo factor para esa misma cuenta de correo. Quien entra en tu bandeja de entrada obtiene los códigos de todos los sitios que dependen de ella.

Las mismas directrices del NIST establecen que el correo electrónico no debe usarse para la autenticación fuera de banda, porque no demuestra que tengas un dispositivo concreto. Trata los códigos por correo como un canal de recuperación, no como una 2FA de verdad.

Apps de autenticación (TOTP)

Una app en tu teléfono genera un código nuevo cada 30 segundos a partir de un secreto que comparte con el servicio y que normalmente se entrega como código QR. El algoritmo es el estándar abierto TOTP, así que una sola app funciona con miles de servicios. Si todavía no has configurado ninguna, nuestra guía paso a paso para activar la 2FA te explica cómo hacerlo.

• Ventajas: no le afecta el duplicado de SIM, funciona sin conexión, es gratis y es compatible con casi todos los servicios que ofrecen 2FA.
• Inconvenientes: un sitio falso convincente puede pedirte el código y reenviarlo en tiempo real, y si los secretos están en un único teléfono, perderlo significa pasar por el proceso de recuperación de cada cuenta.

Una app como Ring guarda los secretos cifrados en tu iPhone y genera los códigos sin conexión a la red, así que no hay nada que interceptar por el camino ni nada vinculado a tu número de teléfono. Eso sí, no te hace inmune al phishing: revisa la barra de direcciones antes de escribir un código.

Aprobaciones por notificación push

En lugar de un código, el servicio envía un aviso a una app o a un dispositivo con la sesión iniciada, y tú tocas Aprobar.

• Ventajas: muy cómodo, y las buenas implementaciones muestran desde dónde se intenta iniciar sesión.
• Inconvenientes: cada sistema push suele funcionar solo con las cuentas de su propio proveedor, y los atacantes abusan de él con la "fatiga de MFA": lanzan un aviso tras otro hasta que alguien toca Aprobar solo para que paren.

La coincidencia de números, en la que introduces en el aviso un número que aparece en la pantalla de inicio de sesión, hace mucho más difícil aprobar a ciegas. En cualquier caso, la regla es sencilla: no apruebes nunca un aviso que no hayas iniciado tú.

Llaves de seguridad físicas

Una pequeña llave USB o NFC que conectas o acercas a tu teléfono. Las llaves modernas usan los estándares FIDO2 y WebAuthn.

• Ventajas: resistentes al phishing. La llave firma un desafío vinculado al dominio del sitio web real, así que un sitio falso no obtiene nada que pueda reutilizar. No hay que escribir nada, no lleva batería y no necesita red.
• Inconvenientes: cuestan dinero, necesitas al menos dos para tener una de repuesto y no todos los servicios las admiten. Si pierdes las dos, vuelves al proceso de recuperación de la cuenta.

Las recomendaciones de la CISA señalan FIDO/WebAuthn como la forma ampliamente disponible de MFA resistente al phishing e instan a las organizaciones a adoptarla (hoja informativa de la CISA).

Llaves de acceso (passkeys)

Las llaves de acceso se basan en los mismos estándares FIDO que las llaves de seguridad, pero la credencial vive en tu teléfono o en tu gestor de contraseñas y se desbloquea con Face ID, Touch ID o el código de tu dispositivo. En muchos sitios sustituyen por completo a la contraseña en lugar de añadir un segundo paso (FIDO Alliance).

• Ventajas: resistentes al phishing como una llave física, no hay nada que recordar ni escribir, y las llaves de acceso sincronizadas te acompañan a un dispositivo nuevo a través de tu gestor de credenciales.
• Inconvenientes: la compatibilidad entre servicios todavía es desigual, tu seguridad depende de la cuenta que las sincroniza y usarlas entre distintas plataformas y navegadores puede resultar confuso.

Si un sitio ofrece llaves de acceso y usas un gestor de credenciales de confianza, son la opción cómoda más segura que existe hoy.

Qué método usar en cada cuenta

Usa el método más seguro que ofrezca cada servicio, pero no dejes que lo perfecto sea enemigo de lo bueno:

• Correo principal, gestor de contraseñas, cuenta de Apple o cuenta de Google. Con ellas se puede restablecer todo lo demás. Usa llaves de acceso o llaves de seguridad donde se admitan, y guarda códigos de recuperación o un segundo método como respaldo.
• Cuentas del trabajo. Sigue la política de tu empresa. Muchas organizaciones ya exigen llaves de seguridad o llaves de acceso.
• Exchanges de criptomonedas y brókeres. Una app de autenticación o una llave de seguridad. Evita el SMS siempre que puedas elegir.
• Bancos. Muchos solo ofrecen SMS o su propia app. Usa la app del banco si la hay y protege tu número de teléfono con tu operadora.
• Redes sociales, herramientas para desarrolladores, almacenamiento en la nube, compras. Una app de autenticación es el punto ideal.
• Cualquier servicio que solo ofrezca SMS. Actívalo de todos modos. Sigue frenando los ataques por reutilización de contraseñas.

Por qué una app de autenticación es la opción práctica por defecto

Las llaves de acceso y las llaves físicas resisten mejor el phishing, y deberías usarlas en tus cuentas más importantes siempre que estén disponibles. Pero el método que puedes activar en casi cualquier sitio, gratis, sin comprar hardware ni atarte a una plataforma, sigue siendo TOTP. Elimina el riesgo de duplicado de SIM del SMS, no depende de tu bandeja de entrada y funciona sin conexión.

El inconveniente que hay que prever es la pérdida del dispositivo. Guarda los códigos de recuperación de cada cuenta, añade un segundo método en las importantes y lee qué hacer si pierdes el teléfono con tus códigos 2FA antes de necesitarlo. Ningún método hace que una cuenta sea invulnerable, pero un segundo factor bien elegido convierte la tuya en un objetivo mucho más difícil que la de al lado.