Cómo proteger tu cuenta con 2FA y passkeys

Una cuenta de exchange protegida solo con contraseña es una cuenta a medio cerrar. La contraseña se filtra, se reutiliza y se adivina. La segunda capa reduce el daño, pero no todas las segundas capas son equivalentes: un código por SMS y una passkey no ofrecen la misma protección.

Esta guía explica las opciones, cómo configurarlas y qué hacer cuando pierdes el dispositivo. Está pensada para cuentas de exchange, correo y wallets, porque el correo suele ser la llave maestra para recuperar todo lo demás.

Qué es la autenticación en dos pasos

La autenticación en dos pasos (2FA) combina dos factores distintos:

• algo que sabes, como una contraseña;
• algo que tienes, como un dispositivo o una clave;
• o algo que eres, como una huella.

El objetivo es que una contraseña robada no baste para entrar. Si un atacante obtiene la contraseña pero no el segundo factor, el acceso falla.

No todos los segundos factores son iguales. Su resistencia depende de si el código puede copiarse, interceptarse o reutilizarse.

SMS: mejor que nada, peor que casi todo lo demás

El código por SMS es cómodo y muy extendido. También es el más débil de los factores habituales:

• puede interceptarse mediante intercambio de SIM;
• puede leerse si el teléfono está comprometido;
• puede reenviarse por error a un atacante;
• depende de la cobertura y del operador.

Si es tu única opción, úsala. Pero no la prefieras cuando la plataforma ofrece una alternativa mejor.

Aplicaciones de códigos (TOTP)

Una aplicación de autenticación genera códigos de seis dígitos que cambian cada 30 segundos. El secreto se guarda en el dispositivo, no en el servidor. Es más resistente que el SMS, aunque sigue siendo vulnerable a phishing: si introduces el código en una web falsa, el atacante puede usarlo de inmediato.

Al configurarla:

1. Escanea el código QR o copia la clave secreta.
2. Guarda los códigos de respaldo en un lugar separado y seguro.
3. Comprueba que la hora del dispositivo es automática; un desfase puede invalidar los códigos.
4. No guardes la clave secreta en una nota sin cifrar ni en una captura de pantalla sincronizada.

Passkeys: el estándar que resiste mejor el phishing

Una passkey es una credencial criptográfica que se guarda en el dispositivo o en un gestor de claves. No se transmite al servidor y está vinculada al dominio legítimo. Eso la hace resistente al phishing: una web falsa no puede usar la passkey aunque el usuario sea engañado.

Las passkeys pueden sincronizarse entre dispositivos mediante el ecosistema del usuario. Esa comodidad tiene implicaciones: si la cuenta del ecosistema se compromete, la passkey también. Conviene proteger la cuenta principal con una contraseña única y 2FA.

Ventajas:

• no hay códigos que copiar ni introducir;
• resiste el phishing de forma estructural;
• elimina el riesgo de intercambio de SIM;
• puede ser más rápida que escribir un código.

Limitaciones:

• no todas las plataformas la ofrecen;
• la recuperación depende del ecosistema y de los dispositivos de respaldo;
• requiere planificar qué pasa si pierdes todos los dispositivos.

Cómo elegir el orden de factores

Una jerarquía razonable:

1. Passkey si la plataforma la soporta y entiendes su recuperación.
2. Aplicación TOTP si no hay passkey.
3. SMS solo si no existe otra opción.
4. Correo como único factor: no es 2FA real. Si el correo no tiene 2FA, empieza por ahí.

El correo es la pieza más crítica. Si un atacante controla tu correo, puede restablecer contraseñas de casi todo. Protege primero la cuenta de correo principal con 2FA y una contraseña única.

Configuración paso a paso

1. Crea contraseñas únicas

Usa un gestor de contraseñas. Una contraseña reutilizada convierte una filtración de cualquier servicio en una llave para el resto. Longitud y unicidad importan más que la complejidad simbólica.

2. Activa 2FA en el correo

Empieza por el correo asociado a la cuenta del exchange. Si el correo cae, la recuperación de la cuenta queda en manos del atacante.

3. Activa 2FA en el exchange

Elige el método más fuerte disponible. Si vas a usar TOTP, guarda los códigos de respaldo fuera del teléfono.

4. Configura la recuperación

Añade un método de respaldo y verifica que funciona. Un 2FA sin recuperación puede dejarte fuera de tu propia cuenta si pierdes el dispositivo.

5. Revisa dispositivos y sesiones

Cierra sesiones antiguas y elimina dispositivos que no reconozcas. Activa notificaciones de inicio de sesión.

6. Añade una lista blanca de retiradas

Si la plataforma lo permite, autoriza solo direcciones verificadas. Un atacante con acceso a la cuenta no podrá retirar a una dirección nueva sin pasar por el proceso.

Qué hacer si pierdes el dispositivo

Este es el punto que más gente descubre tarde. Antes de perderlo, ten un plan:

• códigos de respaldo guardados en un lugar físico seguro;
• un segundo dispositivo ya configurado;
• acceso al correo de recuperación;
• datos de identificación que la plataforma solicitará;
• una copia de la clave secreta de la aplicación TOTP, si aplica.

Si no tienes nada de esto, la recuperación puede tardar días y no está garantizada. Contacta al soporte oficial desde la aplicación o el sitio, nunca desde un enlace recibido por mensaje.

Señales de phishing

• Un mensaje dice que tu cuenta será bloqueada en horas y pide iniciar sesión con un enlace.
• El dominio tiene una letra cambiada o un subdominio extraño.
• Alguien pide tu código 2FA “para verificar tu identidad”.
• Un supuesto soporte pide acceso remoto al dispositivo.
• La página de inicio de sesión se ve distinta y pide más datos de los habituales.

Ningún soporte legítimo necesita tu código 2FA, tu contraseña ni una sesión remota. Si tienes dudas, cierra la página y entra escribiendo la dirección manualmente.

Cómo comprobar que tu configuración funciona

1. Cierra sesión y vuelve a entrar.
2. Verifica que el segundo factor se solicita.
3. Prueba un código de respaldo en un entorno controlado.
4. Revisa la lista de dispositivos y sesiones.
5. Confirma que las alertas llegan al canal correcto.
6. Comprueba que la dirección de retirada de prueba está autorizada.

La guía para elegir un exchange incluye la seguridad como criterio de evaluación. La guía de envío de USDT cubre el otro extremo: evitar que un error de red vacíe la cuenta aunque el acceso esté protegido.