Activa la verificación en dos pasos en el correo, los pagos y las redes sociales; prioriza la confirmación emergente en el teléfono y solo después el código por SMS

La verificación en dos pasos es que, al iniciar sesión, además de la contraseña hay que confirmar otra vez que eres tú. Con una ventana en el teléfono que confirmas con un toque, se frenan más del 90% de los robos de cuenta por phishing; el código por SMS es más fácil de sonsacar que esa ventana. Con el método antiguo de responder «¿dónde iniciaste sesión la última vez?» o «¿cuál es tu correo de respaldo?», lo que menos frena esos robos por phishing solo llega a un 10%.

Costo

No cuesta nada. Se configura una vez por cuenta; en 2 o 3 minutos está hecho.

Beneficio

Google analizó 350000 intentos reales de robo de cuenta (también llamados secuestro de cuenta). Un tipo de verificación usa el dispositivo: confirmación emergente en el teléfono o una llave de seguridad. Ese tipo «bloqueó más del 94% de los intentos de secuestro originados en phishing y el 100% de los intentos automatizados». El phishing consiste en engañarte para que introduzcas la contraseña en un sitio falso; lo automatizado es que una máquina prueba en masa contraseñas filtradas. Otro tipo usa preguntas de respuesta, como dónde iniciaste sesión la última vez o cuál es tu correo de respaldo. Ese «solo bloqueó un porcentaje tan bajo como el 10% de los secuestros por phishing y el 73% de los automatizados». Dentro de la verificación por dispositivo, el código por SMS es más débil que la ventana emergente del teléfono. Quien hace phishing acertó el 4% de los códigos por SMS, y solo engañó a la ventana emergente en el 1%. En ataques dirigidos a una persona concreta, el SMS solo bloqueó el 76% y la ventana emergente el 90%.

Notas

El mismo estudio encontró que a veces esta verificación también impide entrar al titular legítimo: el 52% de los usuarios reales no entró al primer intento, aunque al final el 97% sí lo consiguió. Empieza por el correo, porque la mayoría de las demás cuentas pueden recuperar la contraseña a través de él. Los códigos de verificación son solo tuyos; qué pasa si lees el código en voz alta por otro o ayudas con un escaneo facial, véase el capítulo 8, punto 45 (dictar el código).

Fuentes · 1

1. Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). doi.org/10.1145/3308558.3313481