Blog AVG Signal Privacidad Contraseñas ¿Qué es la autenticación de doble factor (2FA)?
What_is_Two-Factor_Authentication-Hero

¿Cómo funciona la 2FA?

La autenticación de doble factor agrega una capa extra de seguridad a su cuenta, es decir, un paso adicional para iniciar la sesión, a fin de impedir que otras personas entren en ella aunque tengan acceso a su contraseña.

Cuando inicia sesión en cualquiera de sus cuentas en línea, el nivel básico de autenticación solamente requiere la contraseña para iniciar sesión: es el primer paso para verificar la identidad. La 2FA incorpora otro dato más: la segunda capa. Un dato que el usuario debe facilitar para poder acceder a su cuenta.

Este artículo contiene:

    Funcionamiento detallado de la 2FA

    Como ya hemos mencionado, lo que hace la 2FA es verificar un segundo dato aparte de la contraseña. El tipo de información utilizada para la segunda parte de la verificación depende del servicio en línea que emplee. Por ejemplo, para usar la 2FA en la cuenta de Gmail, hay varias opciones:

    • Una llave física de seguridad: funciona como un candado, pero hay que comprar una caja para llaves; la más barata vale 25 $.

    • La aplicación Google Authenticator: la aplicación se instala en el teléfono y luego, al iniciar sesión en el correo electrónico, sale un mensaje en el teléfono; para verificar su identidad, tiene que tocar este mensaje.

    • Código de verificación: esta opción envía un código numérico de un solo uso, bien por SMS, bien mediante llamada, que se debe introducir para verificar la identidad. 

    Así es como funciona la 2FA cuando quiere acceder a su cuenta: usted escribe el nombre de usuario y la contraseña, y luego hace clic en enviar. Luego, el servicio en línea envía una solicitud automática para el segundo dato: un SMS con un código de verificación, un mensaje de Google de autenticación u otra opción que haya establecido. Hasta que no confirme su identidad con este segundo dato, no podrá acceder a su cuenta en línea.

    La autenticación de doble factor añade una capa extra de seguridad a su cuentaLa autenticación de doble factor añade una capa extra de seguridad a su cuenta.

    Si un hacker intentara vulnerar su cuenta, no podría acceder a ella sin ese segundo dato aunque tuviera su contraseña.

    La autenticación de doble factor en detalle

    Si desea una definición detallada de la 2FA y quiere saber cómo usarla para proteger su identidad digital, vea este vídeo, en el que nuestro experto Michael McKinnon explica la autenticación de doble factor, la protección de contraseñas y por qué es importante para su seguridad en línea.

    Los tres factores básicos de autenticación

    La capa adicional de autenticación suele ser uno de estos tres factores básicos: algo que sabe, algo que tiene o algo que es. A continuación, detallamos el tipo de información que encaja en estas tres categorías de autenticación:

    • Algo que sabe: puede ser un código PIN, las respuestas a las preguntas de seguridad y, por supuesto, su contraseña.

    • Algo que tiene: normalmente, hace referencia a un objeto físico, como un aparato de seguridad (un pequeño dispositivo de hardware) o una tarjeta de identificación. También puede hacer alusión a su teléfono, cuya posesión puede verificar utilizando una aplicación especial, como Google Authenticator, o un código SMS.

    • Algo que es: aquí se engloban los datos biométricos y, por lo general, son la huella digital o el reconocimiento facial, como el Touch ID y el Face ID de Apple, y el reconocimiento de la retina.

    Un ejemplo típico del uso de la 2FA en el día a día se da al usar un cajero automático: para sacar dinero de un cajero, necesita algo que tiene (su tarjeta bancaria) y algo que sabe (el PIN). Sin embargo, al iniciar sesión en una cuenta en línea con su nombre de usuario y contraseña, indicar estos dos datos no es suficiente para satisfacer los criterios de la 2FA, ya que ambos son algo que usted sabe. Por fortuna, casi todas las cuentas de correo electrónico permiten añadir una capa adicional. Más adelante lo explicaremos.

    Antes de la 2FA: ¿por qué no es suficiente con una contraseña?

    Tal vez se esté preguntando por qué debería usar la 2FA. ¿No basta con una contraseña para proteger las cuentas en línea? En primer lugar, ¿su contraseña es lo bastante segura? Los hackers pueden perpetrar ataques de fuerza bruta o «spraying» (probar una lista con las contraseñas más habituales) para descifrar fácilmente las contraseñas débiles. Por ello, debe evitar las más obvias, como las palabras que hay en el diccionario. 

    Aunque tenga una contraseña muy compleja, los hackers más habilidosos son capaces de averiguarla de varias maneras:

    • Filtraciones de datos: cuando una organización de gran tamaño sufre un ataque de ciberseguridad, los nombres de usuario y las contraseñas (así como otros datos confidenciales) de millones de personas pueden terminar vendiéndose en la web oscura. Los ciberdelincuentes pueden comprar listas de nombres de usuario y contraseñas, e intentar reciclar las credenciales, es decir, probarlas en toda la red para ver si con ellas pueden acceder a alguna cuenta. Por eso nunca se deben reutilizar las contraseñas para varias cuentas.

    • Spyware: este tipo de software malicioso tan insidioso es capaz de espiar a los usuarios. En concreto, existe un software que registra las pulsaciones de las teclas capaz de guardar discretamente todo lo que usted escribe, nombres de usuario y contraseñas incluidos, y de enviar esta información a los hackers que instalaron el malware en su dispositivo de forma subrepticia.

    • Phishing: el phishing es un tipo de estafa basado en la ingeniería social por la que los ciberdelincuentes suplantan un negocio o a una persona de confianza para, así, conseguir que revele su información personal. En este caso, podría recibir un correo electrónico falso donde se le pidiera confirmar su nombre de usuario y contraseña de algún servicio en línea que utilice; al escribirlas, las credenciales se enviarían directamente al estafador.

    Si su contraseña queda expuesta y acaba en manos de un hacker, pero usted utiliza la 2FA, nadie podrá vulnerar su cuenta. Por eso este tipo de autenticación es una medida de seguridad tan potente.

    Cómo configurar la autenticación de doble factor

    Para configurar la autenticación de doble factor, primero debe comprobar si el servicio en línea donde le gustaría implantarla, como el correo electrónico, el banco o las aplicaciones de redes sociales, la ofrecen (la mayoría lo hacen). En este enlace puede consultar las instrucciones detalladas sobre cómo configurar la 2FA en la cuenta de Gmail.

    Por poner un ejemplo concreto, a continuación explicamos cómo configurar la 2FA en la cuenta de Facebook.

    1. Abra su cuenta de Facebook.

    2. Haga clic en el triángulo de la esquina superior derecha y seleccione Configuración.

      Abrir la configuración de Facebook en un ordenador de escritorio.

    3. Seleccione Seguridad e inicio de sesión en el menú de la izquierda y luego busque Usar la autenticación en dos pasos. Haga clic en Editar.

      Acceder a la configuración de seguridad e inicio de sesión de Facebook en un ordenador de escritorio.

    4. Facebook ofrece dos opciones de 2FA: usar una aplicación de autenticación o un mensaje de texto (SMS). Elija lo que prefiera.

      Seleccionar la autenticación de doble factor en la aplicación de Facebook en un ordenador de escritorio.

    5. Si desea usar la aplicación Google Authenticator y no la tiene todavía, vaya a Google Play Store o la App Store de Apple para descargarla.

    6. Abra Google Authenticator en el teléfono y escanee el código QR de la pantalla.

      img_04-1

    7. En el teléfono verá un mensaje en el que se indica que va a agregar la 2FA a su cuenta de Facebook; debe confirmarlo. Haga clic en Continuar en la pantalla del ordenador.

    8. Facebook le pedirá que introduzca un código de Google Authenticator. Este código cambia cada pocos segundos, así que solo usted tiene acceso a él. Introduzca el número de seis dígitos y haga clic en Continuar.

      Introducir el código para confirmar la configuración de la 2FA.

    9. Facebook confirma que la 2FA está activada. ¡Y ya está!

      Confirmación de la configuración de la 2FA en Facebook.

    Debería activar la 2FA en todas las cuentas que pueda, especialmente en las de banca en línea y otras cuentas confidenciales.

    ¿Pero la seguridad 2FA es segura o se puede vulnerar?

    Si bien la 2FA es mucho más segura que una contraseña, no es infalible al 100 %: por desgracia, en Internet no hay nada infalible. Pero casi ningún hacker elige como víctima a una persona particular. Lo que hacen, más bien, es buscar presas fáciles con una seguridad deficiente. Si dan con una persona con credenciales difíciles de descifrar, normalmente buscan un objetivo más fácil. Por este motivo, la 2FA lo protege en la mayoría de los casos.

    Pero si un hacker va específicamente a por usted y dispone de mucho tiempo y recursos, puede que encuentre una forma de vulnerar sus cuentas. ¿Cómo? Instalando en su sistema malware que copie el código de Google Authenticator. Incluso si se diera el caso, el hacker solo tendría unos segundos para interceptar el código e introducirlo antes de que usted acceda.

    También puede darse el caso de que un hacker recurra de forma taimada a la ingeniería social convenciendo a un operador de telefonía móvil para que le transfiera su número de teléfono. Así, cuando usted espere recibir el código SMS con el segundo dato para la verificación, quien lo recibirá será el hacker. 

    Casi ningún hacker elige como víctima a una persona particular. Lo que hacen, más bien, es buscar presas fáciles con una seguridad deficiente. Si dan con una persona con credenciales difíciles de descifrar, normalmente buscan un objetivo más fácil.

    Otra técnica que usan los hackers para sortear la 2FA es enviar un correo de phishing diciendo al usuario que va a recibir un código SMS. Al mismo tiempo, el hacker intenta acceder a su cuenta, con lo cual se activa una solicitud de código SMS, esta vez de verdad. Cuando usted, el usuario, envía sin saberlo el código verdadero al delincuente, este lo puede usar para descifrar su 2FA y acceder a su cuenta.

    Se habrá dado cuenta de que los tres casos descritos aquí exigen una gran cantidad de esfuerzo, calcular los tiempos de forma impecable y un interés exclusivo en estafarlo a usted personalmente. Sin embargo, a la mayoría de los hackers les da igual a quién estafan: lo que les importa es conseguir todo el dinero que puedan. De hecho, casi todos los ciberdelincuentes tratan de maximizar sus beneficios sin que nadie los detecte. Por eso, invertir demasiado tiempo y esfuerzo en una sola persona no tiene mucho sentido.

    La cosa cambia si usted es una persona famosa o es millonario, claro. Si es así, no dude en invertir en protocolos más seguros que este. Pero, para el ciudadano de a pie, la 2FA proporciona un nivel de seguridad considerable.

    Como ya hemos explicado, cuando los hackers consiguen hacerse con su información personal, como contraseñas, el número de la seguridad social o datos bancarios, a menudo los ponen a la venta en la web oscura. Si ha estado usando Internet sin la 2FA, es buena idea realizar un análisis de la web oscura para averiguar si su información actual o antigua se ha filtrado. 

    Pero supervisar la web oscura continuamente es absurdo. Afortunadamente, existe un servicio de supervisión de la privacidad que se encarga de esta tarea: AVG BreachGuard. Aprovéchese de una supervisión ininterrumpida de la web oscura, reciba notificaciones sobre filtraciones de datos y lea consejos sobre cómo reforzar sus protecciones de privacidad y seguridad.

    ¿Y la autenticación multifactor (MFA) qué es?

    La autenticación de doble factor es un subconjunto de la autenticación multifactor (MFA). La MFA puede referirse a una autenticación en dos pasos o en tres. Así pues, cuando usa la 2FA, también está usando la MFA. 

    Algunos centros que requieren una seguridad muy estricta, como las instalaciones gubernamentales que albergan información altamente confidencial, representan buenos ejemplos de una autenticación multifactor que supera la 2FA. Estos edificios pueden requerir un código PIN (algo que se sabe), una placa identificativa (algo que se tiene) y un reconocimiento de huella digital (algo que se es) para permitir el acceso. 

    Algunas empresas tecnológicas, bancos y otras corporaciones de alta seguridad también pueden exigir una autenticación en tres pasos para acceder a las cuentas en línea. No obstante, para la mayoría de los usuarios corrientes, la 2FA es suficiente a la hora de proteger sus cuentas personales.

    ¿Se han filtrado ya sus credenciales?

    Añadir la 2FA a todas sus cuentas en línea es una de las medidas más importantes que puede adoptar ahora mismo para mejorar de forma exponencial su seguridad en línea. ¿Y si ha estado años y años usando Internet y accediendo a sus cuentas personales sin la 2FA? Si sus contraseñas han quedado expuestas en alguna filtración, quizás no lo sepa. ¿Qué puede hacer como usuario? Puede recurrir a un servicio de supervisión de la privacidad para ver si alguno de sus datos personales confidenciales se ha filtrado.

    AVG BreachGuard lo ayuda a proteger sus datos privados gracias a la supervisión de riesgos a la privacidad, que incluye la vigilancia ininterrumpida de la web oscura. Si su información personal queda expuesta en algún momento, AVG le avisará de inmediato y lo ayudará a llevar a cabo las acciones apropiadas. 

    Además, le realizaremos una auditoría de seguridad a fin de evaluar sus protocolos actuales de seguridad y ofrecer sugerencias que lo permitan mejorar las contraseñas y ajustar la configuración para gozar de mayor seguridad. En la lucha contra los hackers, AVG BreachGuard supone un arma decisiva en el arsenal. Empiece a proteger sus datos personales confidenciales hoy mismo.

    Conéctese de forma privada en su Android con AVG Secure VPN

    Prueba gratuita

    Conéctese de forma privada en su iPhone con AVG Secure VPN

    Prueba gratuita