Doble factor de autenticación: el candado que frena muchos ataques

Imagine que alguien consigue la contraseña del correo de su despacho: un correo falso de «su buzón está lleno» y un momento de prisa fueron suficientes. Con ella entra, lee las conversaciones con los presidentes y escribe a un proveedor para cambiar un número de cuenta. Si el correo tenía doble factor, habría topado con una puerta más.

El doble factor de autenticación (también llamado verificación en dos pasos, 2FA o MFA) significa que, para entrar, no basta con saber algo (la contraseña): hace falta además tener algo (su móvil, una llave física) o ser alguien (su huella). Así, una contraseña robada, por sí sola, deja de servir. Es una de las medidas que más protegen por menos esfuerzo.

Cómo funciona

Al iniciar sesión, tras la contraseña, el servicio le pide una segunda prueba. Los tipos más comunes son:

• Aplicación de autenticación en el móvil. Genera un código que cambia cada pocos segundos. Es una opción muy recomendable para el día a día.
• Llave de seguridad física, un pequeño dispositivo USB que se conecta o se acerca al equipo. Es la más resistente al engaño, pensada para cuentas muy importantes.
• Notificación en el móvil para aprobar o rechazar el acceso.
• Código por SMS. Es mejor que nada, pero es el más débil: los SMS pueden desviarse si alguien consigue duplicar la SIM.
• Huella o reconocimiento facial del propio dispositivo, combinada con la contraseña.

Ordenados de más a menos robustos, lo habitual es: llave física, aplicación de autenticación, notificación, SMS. Cualquiera es mejor que no tener ninguno.

Dónde activarlo primero

Si solo pudiera hacer cuatro cosas esta semana, hágalas en este orden:

1. El correo electrónico. Es la llave de todo lo demás: desde él se restablecen el resto de contraseñas.
2. La banca online de las comunidades y del despacho.
3. El programa de gestión de fincas y el almacenamiento de documentos en la nube.
4. Los accesos remotos al despacho y los dispositivos del personal en teletrabajo.

Después, el resto de servicios que ofrezcan la opción, incluidas las redes sociales del despacho y la cuenta de Google o Microsoft.

Los errores más frecuentes

• Activarlo solo para el jefe. El ataque entrará por la persona sin protección. Debe ser para todo el equipo.
• No guardar los códigos de recuperación. Si pierde el móvil, tendrá que recuperar el acceso. Imprima los códigos y guárdelos bajo llave, o en un gestor de contraseñas.
• Aprobar notificaciones que no ha pedido. Hay ataques que bombardean con avisos de «¿Es usted?» hasta que el usuario cansado pulsa «Sí». Si le llega una petición que no ha iniciado, rechácela y cambie la contraseña.
• Compartir el segundo factor. Un móvil o un código compartido entre varias personas elimina la ventaja.
• Dar por hecho que ya no hay peligro. Hay ataques que roban también el segundo factor en tiempo real, con páginas falsas muy elaboradas. El doble factor reduce mucho el riesgo, pero no lo elimina. Siga desconfiando de los correos de phishing.

El doble factor no sustituye a una buena contraseña ni a la prudencia: las complementa.

¿Es obligatorio?

El RGPD no menciona el doble factor por su nombre. Lo que exige es que responsable y encargado apliquen medidas técnicas y organizativas adecuadas al riesgo (art. 32), teniendo en cuenta el estado de la técnica, los costes y la naturaleza de los datos. Para un despacho que guarda datos personales de cientos de vecinos, nombres, direcciones, datos bancarios, deudas, un acceso protegido solo por contraseña es difícil de defender como medida adecuada, sobre todo cuando existe una alternativa gratuita o barata en casi todos los servicios.

Es decir, no es una obligación escrita, pero sí es la forma más sencilla de demostrar que se han tomado medidas razonables. Si un día hay una brecha, la AEPD querrá saber qué medidas se aplicaban. Puede consultar el artículo en el texto del RGPD (se abre en una ventana nueva).

Y si pese a todo ocurre un incidente, el procedimiento está en Brecha de seguridad: las 72 horas.

Cómo implantarlo sin rebelión

A nadie le gusta un paso más al entrar. Algunas ideas para que no se convierta en un problema:

1. Explique el motivo con un ejemplo real, como el del cambio de cuenta del proveedor que cuenta aquí.
2. Elija la misma aplicación de autenticación para todos.
3. Active el doble factor en una mañana tranquila, con apoyo.
4. Apunte quién lo tiene activado en qué servicio y revíselo cada vez que haya una alta o una baja.
5. Combínelo con un buen hábito de contraseñas.

Si pierde el segundo factor

Antes o después alguien cambia de móvil o lo pierde. Para que no se quede sin acceso, el despacho debería tener previsto un procedimiento: los códigos de recuperación guardados en un lugar seguro, una segunda persona con permisos de administración que pueda restablecer el acceso, y la costumbre de traspasar la aplicación de autenticación antes de cambiar de teléfono y no después. Tras recuperar el acceso, conviene volver a configurar el segundo factor y revisar qué dispositivos tienen la sesión iniciada.

En resumen

• El doble factor exige algo más que la contraseña, por lo que una clave robada ya no basta.
• Las aplicaciones de autenticación y las llaves físicas son más seguras que el SMS.
• Actívelo primero en el correo, la banca, el programa de gestión y los accesos remotos.
• Guarde los códigos de recuperación y rechace las peticiones de acceso que no haya iniciado.
• El RGPD no lo nombra, pero encaja en la obligación de aplicar medidas de seguridad adecuadas.

Un buen punto de partida es hacer una lista de los servicios del despacho que guardan datos de las comunidades y comprobar cuáles ya tienen el segundo paso activado.