Artículo
Seguridad en línea: ¿y si perdiera el móvil que guarda sus códigos?
La pregunta que nadie hace: su identidad digital cabe en un objeto que se cae, se rompe, se roba y se descarga. Estas son las cuatro acciones que importan, y por qué el SMS ya no es una de ellas.
Ha hecho las cosas bien. Contraseñas distintas, verificación en dos pasos activada en todas partes, huella dactilar para desbloquear.
Y entonces su móvil se cae de un balcón, se lo roban en el metro o acaba en el agua.
En unos segundos acaba de perder el segundo factor de todas sus cuentas. Correo, banco, documentos en la nube, cuentas profesionales: todo bloqueado, y los procedimientos de recuperación de cada servicio piden acceso a alguno de los otros.
Ese es el punto ciego de la seguridad digital de consumo. Trata largamente la protección frente a atacantes y casi nunca la continuidad de acceso, es decir, la pregunta que le interesa a quien se prepara. Este artículo aborda ambas: lo que realmente protege y lo que le permite volver cuando el soporte de su identidad desaparece.
La clasificación honesta de las amenazas
Empecemos por apartar lo que ocupa la mayor parte del discurso ambiental.
Lo que le amenaza de verdad, por orden de probabilidad: la reutilización de contraseñas, el phishing, la pérdida o el robo del aparato y el secuestro de su número de teléfono.
Lo que no le amenaza: el atacante estatal que se interesa personalmente por usted. Y no, una VPN comercial no le vuelve anónimo: simplemente traslada la confianza de su proveedor de internet al editor de la VPN. Útil en una wifi pública desconocida, inútil frente a las cuatro amenazas anteriores. La seguridad digital del particular no se juega ahí, igual que la preparación no se juega en el material espectacular.
Acción 1: una contraseña única por servicio
Es la única medida que resuelve por sí sola la primera amenaza de la lista. El mecanismo es simple: se filtra una base de datos en un servicio cualquiera, sus credenciales se prueban automáticamente en todas partes y una sola contraseña reutilizada abre la cadena entera.
La única solución practicable es un gestor de contraseñas. Nadie memoriza cincuenta contraseñas distintas; cualquiera puede memorizar una sola, larga, que abre la caja fuerte.
Corolario a menudo olvidado: la contraseña maestra debe memorizarse, no guardarse. Una frase larga, personal, que escriba con regularidad. Es lo único de todo este artículo que debe retener de memoria.
Y el complemento inmediato: compruebe sus direcciones en las bases de filtraciones conocidas (servicio gratuito, resultado instantáneo) y cambie lo que aparezca. Ya lo mencionábamos en la auditoría de su propia exposición.
Acción 2: salir del SMS
Es lo que más ha cambiado en los dos últimos años, y el gran público no lo ha seguido.
El código recibido por SMS se consideró durante mucho tiempo un segundo factor fiable. Ya no lo es, y las autoridades de ciberseguridad lo clasifican hoy entre los métodos intrínsecamente vulnerables, a reservar como último recurso.
El mecanismo se llama SIM swapping, y no supone ningún pirateo de su teléfono. El atacante reúne algunos datos sobre usted (nombre, dirección, fecha de nacimiento, a menudo obtenidos de filtraciones o de sus redes sociales), llama a su operador haciéndose pasar por usted, dice haber perdido el móvil y consigue que su número pase a una SIM que él controla. Su teléfono se queda sin red. Él recibe sus SMS, es decir, sus códigos.
No es un escenario de película: el fraude se ha disparado y la llegada de las eSIM ha reducido el tiempo necesario a unos minutos.
Por qué sustituirlo, de lo más simple a lo más sólido:
- Una aplicación de autenticación que genera los códigos en su aparato. Gratuita, disponible en todas partes, inmediatamente mejor que el SMS.
- Las passkeys, ya integradas en los sistemas móviles y en los principales servicios. Verifican automáticamente la identidad del sitio, lo que hace el phishing prácticamente inoperante.
- Una llave de seguridad física para sus cuentas más críticas: correo principal y banco. Es el único factor que ningún operador telefónico puede transferir.
La trampa que casi todo el mundo deja abierta: activar un método robusto sin desactivar el respaldo por SMS. Si su cuenta sigue aceptando una recuperación por número de teléfono, su seguridad vale lo que la de su operador, por sofisticado que sea el resto.
Y una medida gratuita ante su operador: pida un bloqueo de portabilidad o un código exigido para cualquier operación sobre su línea. Cinco minutos de llamada.
Acción 3: el plan de recuperación
Llegamos al núcleo del asunto, y a lo que el contenido de seguridad trata peor.
Una seguridad fuerte crea un riesgo nuevo: dejarle a usted fuera. Quien se prepara debería considerar la pérdida del móvil como un escenario probable, mucho más probable que un ataque dirigido, y haberlo resuelto de antemano.
Los códigos de recuperación. Cada servicio que activa la verificación en dos pasos ofrece una lista de códigos de un solo uso. Casi nadie los guarda. Imprímalos, para sus cuentas esenciales (correo principal, banco, gestor de contraseñas) y guárdelos con sus documentos importantes, los que ya listó en la checklist de 72 horas. En papel, no en el móvil: un código de recuperación guardado en el aparato al que debe sustituir no sirve de nada.
Un segundo factor redundante. Una segunda llave de seguridad guardada en otro sitio, o una aplicación de autenticación instalada en un segundo aparato. El principio es el mismo que el de los tres medios de comunicación de nuestro memo radio: un medio único no es un medio.
Una dirección de respaldo que no dependa ni del mismo aparato ni del mismo proveedor.
Y la prueba. Una vez al año, intente entrar en su cuenta principal simulando la ausencia del móvil. Es incómodo, lleva veinte minutos, y es el único modo de saber si su plan aguanta. Una capacidad no probada no es una capacidad: la misma frase que para sus linternas y sus radios, y aquí también vale.
Acción 4: reducir lo que anda suelto
La última palanca es un trabajo de limpieza, sin nada que comprar.
Cierre las cuentas que ya no usa. Cada cuenta dormida es una base de datos más con sus datos, y quizá se filtre algún día.
Compruebe qué saben de usted sus cuentas principales y retire lo superfluo: números antiguos, direcciones antiguas, aparatos olvidados aún autorizados.
Separe sus usos. Una dirección para la administración y el banco, otra para los registros corrientes. Esa separación cuesta diez minutos y complica considerablemente el trabajo de reconstrucción de un atacante.
Bloquee bien el aparato. Código largo en lugar de patrón, cifrado activo (lo habitual en los aparatos recientes) y actualizaciones aplicadas. La gran mayoría de las intrusiones pasa por fallos conocidos y corregidos desde hace meses.
Los límites y el error clásico
Lo que le dan estas cuatro acciones: una resistencia sólida a las amenazas realmente probables y, sobre todo, la capacidad de volver a sus cuentas tras la pérdida del soporte.
Lo que no le dan: el anonimato, ni protección frente a un adversario decidido con medios importantes. Si ese es su modelo de amenaza, este artículo no basta.
El error clásico es confundir herramientas con higiene. Apilar una VPN, un navegador exótico y una mensajería cifrada mientras se reutiliza la misma contraseña en cuarenta sitios es poner una puerta blindada en una casa con las ventanas abiertas. El orden importa: contraseñas únicas primero, salida del SMS después, plan de recuperación luego, reducción de superficie al final.
El segundo error es querer hacerlo todo en una noche. Resuelva tres cuentas (correo principal, banco, gestor) y habrá cubierto lo esencial del riesgo. El resto puede esperar al fin de semana siguiente.
Por dónde empezar en concreto
- Instale un gestor de contraseñas y memorice una contraseña maestra larga. Esta noche.
- Trate tres cuentas prioritarias: correo principal, banco, gestor. Contraseña única, segundo factor que no sea SMS.
- Desactive el respaldo por SMS en esas tres cuentas y compruebe que no queda posible ninguna recuperación por número.
- Llame a su operador y pida un bloqueo de portabilidad.
- Imprima sus códigos de recuperación y guárdelos con sus documentos importantes.
- Pruebe una recuperación sin móvil, una vez, y anote la fecha.
Conclusión
La seguridad en línea de un particular no se parece a lo que se muestra de ella. No exige software exótico ni competencia técnica: cuatro acciones, unas horas en total y un principio que atraviesa todo este sitio: una capacidad que no ha probado no existe.
Y tiene una vertiente que la preparación vuelve evidente y que el resto del mundo olvida: la pregunta no es solo si un atacante puede entrar. Es si usted podrá volver, el día en que el objeto que contiene su vida digital caiga al agua.
Una contraseña por servicio. Nada de SMS. Códigos impresos. Una prueba al año.
Ficha asociada: Descargar el PDF A4 imprimible
Fuentes y lecturas complementarias
- Vectra AI: Los riesgos ocultos de la autenticación multifactor por SMS (en francés): mecanismos de elusión del 2FA por SMS y campañas documentadas de SIM swapping.
- Cómo protegerse del SIM swapping (en francés): el SMS clasificado como método vulnerable por las autoridades de ciberseguridad y el giro hacia passkeys y llaves FIDO2.
- TechnoMind: El ataque de SIM swapping (en francés): desarrollo del ataque, papel de la ingeniería social ante los operadores y defensas recomendadas.
- Digital Bunker: Por qué el 2FA por SMS ya no basta (en francés): bloqueo de portabilidad, migración a una aplicación de autenticación y almacenamiento de los códigos fuera del móvil.
- Psono: La autenticación en dos pasos por SMS no es segura (en francés): vectores de ataque (SIM swap, SS7, phishing) y alternativas resistentes al phishing.
- Efani: Cómo el SIM swap elude el 2FA (en inglés): la recuperación por número como punto débil persistente, incluso con passkeys.