¿Tienes dudas sobre la autenticación multifactor y la autenticación de dos factores? Preguntas principales y beneficios que debes conocer

Autenticación de dos factores (2FA) requiere dos formas diferentes de identificación antes de conceder acceso a una cuenta, aplicación o datos confidenciales. Esto amplía el proceso de inicio de sesión más allá de un solo paso y lo hace más seguro que depender de un nombre de usuario y una contraseña. Esto protege las cuentas al garantizar que, incluso si alguien obtiene una contraseña, no pueda acceder a la información sin el segundo paso de verificación.

Los tipos de factores de autenticación incluyen:

• Algo que el usuario sabe (contraseña, PIN)

• Algo que el usuario tiene (teléfono, clave de seguridad)

• Algo único del usuario (huella digital, escaneo facial)

• Algún lugar donde está el usuario (ubicación)

Esta separación entre los dos factores es lo que protege las cuentas de los usuarios, ya que un atacante tendría que comprometer ambos, no solo una contraseña, para obtener acceso.

La 2FA agrega una capa de seguridad fundamental a las cuentas. Estos son los beneficios clave:

• Mayor protección contra contraseñas robadas: Incluso si alguien obtiene una contraseña mediante una filtración de datos o un ataque de phishing, no podrá acceder a la cuenta sin el segundo factor.

• Defensa contra métodos de ataque comunes: La 2FA bloquea muchas de las tácticas que usan los atacantes, desde el relleno de credenciales hasta los intentos de fuerza bruta.

• Más difícil de eludir para los atacantes: Entrar en una cuenta se vuelve significativamente más difícil cuando se requieren varios pasos de verificación. 

• Menor riesgo de apropiación de cuentas: Las cuentas personales, financieras y laborales se mantienen más seguras, protegiendo los datos y la Identidad.

• Respalda el cumplimiento normativo y las mejores prácticas de seguridad: Muchas organizaciones requieren 2FA para cumplir con los estándares normativos y mantener posturas de seguridad sólidas.

• Brinda tranquilidad: Las cuentas cuentan con una protección adicional a su favor.

La autenticación de dos factores (2FA), la verificación en dos pasos (2SV) y la autenticación multifactor (MFA) generalmente se refieren al mismo proceso de agregar algo más que un paso para iniciar sesión en una cuenta. Aunque estos términos suelen usarse indistintamente, hay distinciones técnicas que vale la pena entender. 

Autenticación multifactor(MFA) es la categoría más amplia. Se refiere a cualquier proceso de seguridad que requiere dos o más tipos diferentes de factores de verificación para acceder a una cuenta. La MFA puede incluir cualquier combinación de factores: algo que un usuario sabe, algo que un usuario tiene o algo que un usuario es.

Autenticación de dos factores (2FA) es una forma específica de MFA que usa exactamente dos factores de diferentes categorías. Por ejemplo, una contraseña (algo que un usuario sabe) combinada con un código del teléfono (algo que un usuario tiene).

Verificación en dos pasos (2SV) requiere dos pasos para iniciar sesión, pero esos pasos pueden usar el mismo tipo de factor. Por ejemplo, ingresar una contraseña y luego recibir un código en tu dirección de correo electrónico registrada: ambos dependen de algo que un usuario sabe o a lo que tiene acceso, en lugar de dos tipos de factores claramente diferentes.

En la práctica, la mayoría de los servicios usan estos términos de forma imprecisa. Lo más importante es que un usuario agregue una capa adicional de verificación más allá de solo una contraseña.

Autenticación de dos factores puede variar en seguridad según el método utilizado. En general, las claves de seguridad ofrecen la protección más sólida, seguidas de las aplicaciones de autenticación, luego el correo electrónico, y los SMS son la opción menos segura. A continuación, se presentan los métodos de 2FA más comunes, junto con sus ventajas y desventajas.

Aquí tienes un desglose de los métodos de 2FA más comunes, ordenados de lo que generalmente se considera más seguro a menos seguro, junto con sus ventajas y desventajas:

Clave de seguridad

Ventaja: seguridad adicional como dispositivo de hardware independiente Desventaja: sin métodos adicionales de dos factores, perder una clave de seguridad podría dejar a un usuario sin acceso a sus cuentas de forma involuntaria

Aplicación de autenticación

Ventaja: sencilla, fácil de configurar; algunas se pueden usar en varias plataformas Desventaja: si la aplicación de autenticación no está disponible en varios dispositivos, los usuarios pueden quedarse sin acceso a sus cuentas si pierden, les roban o borran un dispositivo antes de hacer copias de las claves de autenticación

Correo electrónico

Ventaja: simple, fácil de configurar Desventaja: si el correo electrónico también se ve comprometido, esto no ofrecerá protección

Autenticación por voz

Ventajas: simple, manos libres y conveniente para la accesibilidad Desventajas: vulnerable a ataques con grabaciones de voz o deepfakes

SMS

Ventaja: simple, opción predeterminada en muchos sitios web Desventaja: este método es vulnerable a ataques de secuestro de SIM

Usar autenticación de dos factores en cualquier forma es mejor que no usarla en absoluto, independientemente del método.

Las claves de acceso son un método de autenticación más nuevo que usa claves criptográficas almacenadas en un dispositivo para verificar la Identidad. A diferencia de las claves de seguridad físicas que los usuarios conectan a un dispositivo o acercan a él, las claves de acceso son credenciales digitales que se encuentran en teléfonos, computadoras o administradores de contraseñas. Los usuarios las desbloquean con datos biométricos, como huellas digitales o rostros, o con el PIN del dispositivo. 

Las claves de acceso están diseñadas para reemplazar tanto las contraseñas como la 2FA tradicional en un solo paso. Al iniciar sesión con una clave de acceso, los usuarios demuestran que tienen el dispositivo autorizado (algo que poseen) y que pueden desbloquearlo (algo que saben o son). Esto combina varios factores en una única acción simplificada. 

En la mayoría de los casos, no se necesita 2FA cuando se usan claves de acceso, ya que estas ofrecen seguridad multifactor por diseño. Sin embargo, algunos servicios aún ofrecen opciones de seguridad adicionales, como exigir un segundo dispositivo o un método de autenticación de respaldo para acciones de alto riesgo. 

Para obtener más información sobre cómo funcionan las claves de acceso y dónde usarlas, consulta este artículo sobre qué son las claves de acceso.

No todas las cuentas tienen el mismo nivel de riesgo. Enfócate en proteger estas primero:

Cuentas de correo electrónico: El correo electrónico es la puerta de entrada a todo lo demás. Los atacantes pueden usarlo para restablecer contraseñas de otras cuentas, por lo que es una de las más importantes de proteger. 

Cuentas financieras: Los bancos, las tarjetas de crédito, las plataformas de inversión y los servicios de pago como PayPal o Venmo siempre deben tener habilitada la 2FA o claves de acceso. Una vulneración aquí puede provocar pérdidas financieras directas. 

Administradores de contraseñas: Si un administrador de contraseñas almacena credenciales de todas las cuentas, es esencial protegerlo con 2FA o una clave de acceso. Si esta cuenta se ve comprometida, todo lo demás podría quedar expuesto. 

Cuentas de trabajo y almacenamiento en la nube: Las cuentas vinculadas al trabajo o que almacenan documentos, fotos o copias de seguridad sensibles merecen protección adicional.

Redes sociales y plataformas de comunicación: Aunque pueden parecer menos críticas, estas cuentas pueden usarse para robo de identidad, estafas o para suplantar a usuarios.

Cualquier cuenta con datos personales sensibles: Los portales de atención médica, los servicios gubernamentales y las cuentas que contienen información privada deben estar protegidos para evitar el robo de identidad o el fraude. 

La razón por la que estas cuentas son las más importantes es simple: son muy valiosas por sí mismas o pueden usarse para comprometer otras cuentas. Protegerlas reduce significativamente el riesgo general. 

¿Buscas una forma segura de gestionar todas estas credenciales? Consulta el administrador de contraseñas personal gratuito de Bitwarden. 

Si llega un código de 2FA que no se solicitó, por lo general significa que alguien está intentando iniciar sesión en la cuenta. Tiene la contraseña y está intentando completar el proceso de inicio de sesión.

Esto es lo que debes hacer:

• No compartas el código: Nunca se lo des a nadie, incluso si afirma ser de soporte.

• No apruebes ninguna solicitud de inicio de sesión: Si recibes una notificación push que te pide aprobar un inicio de sesión, deniégala.

• Cambia la contraseña de inmediato: Usa una contraseña segura y única que no hayas usado en ningún otro lugar.

• Revisa la actividad de la cuenta: Busca accesos o cambios no autorizados.

• Habilita medidas de seguridad adicionales: Considera cambiar a un método de 2FA más seguro si usas SMS.

Los códigos TOTP generados por aplicaciones de autenticación son más seguros que los códigos SMS, pero no son completamente infalibles. Los atacantes aún pueden obtenerlos mediante phishing con ataques de ingeniería social o interceptarlos mediante ataques en tiempo real.

Los métodos comunes incluyen:

• Páginas de inicio de sesión falsas: Los atacantes crean réplicas convincentes de sitios legítimos. Cuando los usuarios ingresan la contraseña y el código TOTP, capturan ambos y los usan de inmediato para iniciar sesión.

• Ataques de retransmisión: El atacante actúa como intermediario y reenvía las credenciales y el código TOTP al sitio real en tiempo real antes de que el código caduque.

• Ingeniería social: Los estafadores pueden engañar a los usuarios para que lean el código TOTP por teléfono o mediante un mensaje. Para obtener más información sobre ataques de ingeniería social, consulta este blog sobre ataques de ingeniería social.

Para reducir el riesgo:

• Verifica siempre la URL antes de ingresar credenciales

• Usa claves de acceso o claves de seguridad de hardware cuando sea posible

• Desconfía de las solicitudes urgentes para iniciar sesión o verificar cuentas

• Habilita protecciones adicionales, como alertas de inicio de sesión

Un ataque de fatiga de MFA, también llamado bombardeo de solicitudes, ocurre cuando un atacante envía repetidamente solicitudes de aprobación de inicio de sesión a un dispositivo, a veces decenas o cientos de veces. El objetivo es abrumar y molestar a los usuarios hasta que aprueben una por accidente o intencionalmente, solo para detener las notificaciones.

Este tipo de ataque funciona porque el atacante ya tiene la contraseña. Solo está esperando la aprobación de su acceso.

Cómo mantener la protección:

• Nunca apruebes una solicitud de inicio de sesión que no hayas iniciado: Si las solicitudes siguen apareciendo, deniégalas e investiga de inmediato.

• Cambia la contraseña de inmediato: Alguien lo tiene e intenta entrar.

• Usa coincidencia de números o avisos con contexto: Algunos servicios muestran un número en la pantalla de inicio de sesión que se debe ingresar en la app, lo que dificulta que los atacantes engañen a los usuarios.

• Cambia a claves de seguridad de hardware o claves de acceso: Estos métodos no dependen de solicitudes de aprobación y no se pueden eludir mediante fatiga.

Activa alertas de inicio de sesión: Recibe notificaciones sobre actividad sospechosa para actuar con rapidez.

Los atacantes no pueden "compartir" directamente los códigos de 2FA como comparten contraseñas robadas en filtraciones de datos. Sin embargo, pueden hacer un mal uso de la configuración de 2FA si obtienen acceso a cuentas o servicios conectados.

Por ejemplo:

• Si acceden a la cuenta de correo electrónico, pueden recibir códigos de 2FA enviados por correo electrónico o usarla para restablecer contraseñas y desactivar la 2FA en otras cuentas.

• Si controlan el número de teléfono (mediante intercambio de SIM), pueden interceptar códigos basados en SMS.

• Si vulneran las copias de seguridad de la app de autenticación almacenadas en servicios en la nube, es posible que puedan restaurar códigos TOTP en su propio dispositivo.

La conclusión clave: proteger las cuentas y los dispositivos vinculados a la configuración de 2FA es tan importante como la 2FA en sí. Usa contraseñas únicas para cada cuenta y activa una 2FA fuerte en el correo electrónico, la cuenta del operador móvil y cualquier servicio de copia de seguridad en la nube.

Si te hackean, actúa rápido para recuperar el control y proteger tus cuentas. Para obtener más orientación, consulta qué hacer si te hackean.

Los administradores de contraseñas simplifican la 2FA al encargarse de gran parte de la gestión de seguridad. Pueden generar y almacenar contraseñas complejas en todas las cuentas, lo que reduce la carga mental de recordar decenas de credenciales únicas. Muchos administradores de contraseñas también almacenan de forma segura los códigos de recuperación de 2FA en una ubicación protegida, para que los códigos de respaldo estén organizados y accesibles cuando se necesiten, sin saturar bandejas de entrada ni documentos.

¿El resultado? Seguridad en capas sin complicaciones, con la configuración de autenticación y las opciones de recuperación centralizadas y cifradas.

Usa contraseñas seguras y únicas para cada cuenta; nunca reutilices contraseñas en distintos sitios. Mantén actualizados el software, los sistemas operativos y las apps para protegerte contra vulnerabilidades de seguridad. Al configurar la 2FA, elige siempre el método más seguro disponible: lo mejor son las claves de seguridad de hardware o las claves de acceso, seguidas de las apps de autenticación, con SMS como último recurso.

Almacena los códigos de recuperación de forma segura en un lugar seguro, separado de los dispositivos cotidianos si es posible. Ya sea que los guardes en un archivo cifrado, en una nota segura en un administrador de contraseñas o escritos en una ubicación física, asegúrate de que sean accesibles cuando los necesites. Una buena higiene de recuperación de cuentas implica revisar periódicamente los códigos de respaldo y verificar que sigan siendo accesibles.

Sigue estas prácticas clave para obtener la máxima protección de la 2FA:

• Elige el método de 2FA más seguro disponible: Usa claves de acceso o claves de seguridad de hardware cuando sea posible, y luego apps de autenticación. Evita SMS si existen mejores opciones.

• Activa la 2FA primero en las cuentas más críticas: Prioriza el correo electrónico, las cuentas financieras, los administradores de contraseñas y las cuentas laborales.

• Usa contraseñas seguras y únicas para cada cuenta: La 2FA funciona mejor cuando se combina con credenciales que no se reutilizan ni son fáciles de adivinar.

• Almacena los códigos de recuperación de forma segura: Guarda los códigos de respaldo en un lugar seguro separado de los dispositivos cotidianos y verifica que tengas acceso a ellos.

• Nunca compartas códigos de 2FA ni apruebes solicitudes de inicio de sesión inesperadas: Los servicios legítimos nunca pedirán códigos.

• Mantén actualizados el software y los dispositivos: Las actualizaciones periódicas protegen contra vulnerabilidades que podrían comprometer la configuración de 2FA.

• Prueba el proceso de recuperación de la cuenta: Intenta iniciar sesión periódicamente desde un dispositivo nuevo para garantizar el acceso a las cuentas si algo sale mal.

• Protege las cuentas conectadas a la 2FA: Protege el correo electrónico, la cuenta del operador móvil y las copias de seguridad de la app de autenticación con contraseñas seguras y 2FA.

Bitwarden facilita gestionar contraseñas y capas adicionales de seguridad en un solo lugar.

Compatibilidad con 2FA en Bitwarden:

Bitwarden puede generar contraseñas de un solo uso basadas en tiempo (TOTP) directamente dentro de la app, lo que elimina la necesidad de un autenticador separado. Al iniciar sesión en un sitio, Bitwarden puede autocompletar tanto la contraseña como el código de 2FA, agilizando el proceso sin sacrificar seguridad. Los códigos de recuperación de 2FA también se pueden almacenar de forma segura junto con las credenciales de inicio de sesión, manteniendo todo organizado y accesible cuando se necesite.

Compatibilidad con claves de acceso en Bitwarden:

Bitwarden admite claves de acceso, lo que permite a los usuarios crearlas, almacenarlas y usarlas en distintos dispositivos. Cuando un sitio web o una app ofrece inicio de sesión con clave de acceso, Bitwarden puede guardar la clave de acceso y autocompletarla al volver, haciendo que la autenticación sin contraseña sea simple y segura. Las claves de acceso se sincronizan en todos los dispositivos donde Bitwarden está instalado, para que los usuarios puedan iniciar sesión sin interrupciones ya sea desde un teléfono, una tablet o una computadora.

¿Listo para fortalecer la seguridad en línea? Bitwarden ayuda a gestionar contraseñas seguras, códigos de 2FA, códigos de recuperación y claves de acceso, todo en una sola caja fuerte segura. Empieza a proteger tus cuentas hoy con una solución que hace que la seguridad sea práctica.