Autenticación de Dos Factores (2FA)

Imagina que tu contraseña es la llave de tu casa. Con solo esa llave, cualquiera que la robe puede entrar.

2FA es como agregar una alarma que solo TÚ puedes desactivar.

Incluso si un hacker obtiene tu contraseña (por phishing, filtración de datos, keylogger), NO puede acceder sin el segundo factor que solo tú tienes.

Cómo Funciona 2FA

Cuando inicias sesión en un sitio con 2FA activado:

1. Factor 1: Ingresas tu usuario y contraseña (algo que sabes)
2. Factor 2: Ingresas un código temporal de 6 dígitos (algo que tienes)

Ese código temporal:

• Cambia cada 30 segundos
• Se genera en tu celular con una app autenticadora
• No se puede adivinar ni reutilizar

Resultado: Aunque roben tu contraseña, no pueden iniciar sesión sin tu celular.

Según Google (estudio de 2019):

• 2FA con SMS bloquea 96% de ataques automatizados
• 2FA con app autenticadora bloquea 100% de ataques automatizados
• 2FA con llaves de seguridad bloquea 100% de phishing

Microsoft reporta que 2FA previene 99.9% de los ataques a cuentas corporativas.

Si solo implementas UNA cosa de este curso, que sea 2FA.

Existen 3 métodos principales, ordenados de menos seguro a más seguro:

1. SMS (Código por Mensaje de Texto)

Cómo funciona: Te envían un código por SMS al celular.

✅ Ventajas:

• Fácil de configurar
• No requiere apps adicionales
• Funciona sin internet

❌ Desventajas:

• Vulnerable a SIM swapping (robo de número telefónico)
• Vulnerable a interceptación de SMS
• No funciona sin señal celular

Veredicto: Mejor que nada, pero NO es lo más seguro.

2. App Autenticadora (TOTP - Time-based One-Time Password) ⭐ RECOMENDADO

Cómo funciona: Una app en tu celular genera códigos de 6 dígitos que cambian cada 30 segundos.

✅ Ventajas:

• Muy seguro (no se puede interceptar)
• Funciona sin internet ni señal celular
• Gratuito
• Sincroniza entre dispositivos (según la app)

❌ Desventajas:

• Necesitas instalar una app
• Pierdes acceso si pierdes tu celular (por eso guardamos códigos de recuperación)

Apps recomendadas:

• Authy (la más fácil, sincroniza con backup en la nube) ⭐
• Google Authenticator (la más popular, ahora con backup en Google)
• Microsoft Authenticator (excelente si usas Outlook/Office)
• Bitwarden Authenticator (integrado en el gestor de contraseñas)

Veredicto: Este es el método que usaremos en este curso.

3. Llave de Seguridad Física (FIDO2/U2F)

Cómo funciona: Un dispositivo USB físico (como YubiKey) que se conecta al ordenador.

✅ Ventajas:

• Seguridad máxima (100% inmune a phishing)
• No depende de batería o conectividad

❌ Desventajas:

• Cuesta dinero (30-50 USD por llave)
• Puede perderse físicamente
• No todos los sitios lo soportan aún

Veredicto: Para empresas grandes o cuentas ultra sensibles. Overkill para la mayoría de PYMEs.

Vamos a usar Authy porque es la más amigable para principiantes y tiene backup automático.

Paso 1: Instalar Authy

1. Descarga Authy desde:

   • iOS: App Store
   • Android: Play Store
   • Desktop: authy.com/download

2. Abre la app e ingresa tu número de teléfono

3. Verifica con el código SMS que te envían

4. Configura un PIN de 4 dígitos (no uses 1234 o tu fecha de cumpleaños)

5. Activa el backup encriptado (te preguntará si quieres guardar un backup en la nube - di SÍ)

Paso 2: Activar 2FA en Gmail (Cuenta de Google)

Tu email es la cuenta MÁS IMPORTANTE. Si hackean tu email, pueden resetear todas las demás contraseñas.

1. Ve a myaccount.google.com/security
2. Busca la sección Verificación en 2 pasos
3. Haz clic en Empezar
4. Ingresa tu contraseña nuevamente
5. Google te pedirá tu número de teléfono (para SMS de respaldo)
6. Haz clic en Siguiente y verifica con el código SMS
7. IMPORTANTE: Ahora agrega una app autenticadora:
   • Haz clic en Configurar bajo App Authenticator
   • Selecciona tu tipo de teléfono (Android/iPhone)
   • Aparecerá un código QR
8. Abre Authy → Toca el + → Scan QR Code
9. Escanea el código QR
10. Authy mostrará un código de 6 dígitos (cambia cada 30 segundos)
11. Ingresa ese código en Google para verificar
12. Listo - Guarda los códigos de recuperación (ver Paso 4)

Paso 3: Activar 2FA en WordPress

Si tienes un sitio WordPress:

1. Instala el plugin WP 2FA (gratuito, 200,000+ instalaciones activas)
2. Ve a WP 2FA → Settings
3. Selecciona Require 2FA for all users (recomendado)
4. Haz clic en Configure 2FA en tu perfil de usuario
5. Aparecerá un código QR
6. Abre Authy → Toca el + → Scan QR Code
7. Nombra la cuenta (ej: WordPress - Mi Sitio)
8. Ingresa el código de 6 dígitos generado en Authy
9. Guarda los códigos de recuperación

A partir de ahora, cada vez que inicies sesión en WordPress:

1. Ingresas usuario y contraseña
2. WordPress te pide el código 2FA
3. Abres Authy y copias el código de 6 dígitos
4. Listo, acceso concedido

Paso 4: Guardar Códigos de Recuperación

Cuando activas 2FA, cada servicio te da códigos de recuperación (backup codes). Son 8-10 códigos de un solo uso para cuando:

• Pierdes tu celular
• Se rompe la pantalla
• Cambias de celular y no migraste Authy

IMPORTANTE: Guarda estos códigos de forma segura:

Opción A (más segura):

1. Imprímelos en papel
2. Guárdalos en una caja fuerte o sobre cerrado
3. Opcional: Dáselos a alguien de confianza (familiar/socio)

Opción B (digital pero encriptada):

1. Guárdalos en una nota segura de Bitwarden (sección Secure Notes)
2. Nunca en un archivo .txt sin protección
3. Nunca en una foto en tu celular

Repite el proceso de configuración para:

Prioridad ALTA (hazlo HOY):

• [ ] Email principal (Gmail, Outlook, etc.)
• [ ] WordPress (panel de administración)
• [ ] Panel de hosting/dominio (cPanel, Hostinger, etc.)
• [ ] Servicios de pago (Stripe, PayPal, Mercado Pago)
• [ ] Banco online

Prioridad MEDIA (esta semana):

• [ ] Redes sociales (Instagram, Facebook, LinkedIn)
• [ ] Google Drive/Dropbox (donde guardas archivos de negocio)
• [ ] CRM/herramientas de ventas (HubSpot, Salesforce, etc.)

Prioridad BAJA (cuando puedas):

• [ ] Redes sociales personales
• [ ] Tiendas online donde compras
• [ ] Servicios de streaming

Prueba AHORA mismo:

1. Cierra sesión en Gmail
2. Intenta iniciar sesión nuevamente
3. Deberías ver la pantalla de 2FA pidiendo un código
4. Abre Authy y busca tu cuenta de Google
5. Ingresa el código de 6 dígitos
6. Si entras → ✅ 2FA configurado correctamente

Si NO funciona:

• Verifica que la hora de tu celular esté sincronizada (los códigos dependen de la hora exacta)
• Asegúrate de haber escaneado el código QR correcto
• Revisa que Authy tenga permisos de sincronización horaria

Escenario: Se te cae el celular al agua, lo pierdes o te lo roban.

Solución 1 (si usas Authy):

1. Descarga Authy en un nuevo celular
2. Inicia sesión con tu número de teléfono
3. Ingresa el PIN de 4 dígitos
4. Authy restaura automáticamente todas tus cuentas desde el backup en la nube
5. Listo - tienes acceso nuevamente

Solución 2 (para cualquier app):

1. Busca los códigos de recuperación que guardaste (papel o Bitwarden)
2. Al intentar iniciar sesión, haz clic en No tengo mi dispositivo
3. Ingresa uno de los códigos de recuperación
4. Accedes a la cuenta
5. Desactiva 2FA temporalmente → Configura nuevamente con tu nuevo celular

Por eso es CRÍTICO guardar los códigos de recuperación.

❌ NO uses SMS como único método (es hackeable con SIM swapping) ❌ NO uses la misma app 2FA para todo SIN backup (Google Authenticator sin backup = perder acceso si pierdes el celular) ❌ NO compartas tus códigos 2FA con nadie (ni siquiera soporte técnico legítimo) ❌ NO tomes screenshots de códigos QR y los compartas por WhatsApp/email

✅ SÍ usa apps con backup en la nube (Authy, Google Authenticator actualizado, Microsoft Authenticator) ✅ SÍ guarda códigos de recuperación en 2 lugares físicos diferentes ✅ SÍ activa 2FA en TODAS las cuentas que lo permitan, sin excepción

ANTES:

• Solo contraseña para acceder
• Si roban contraseña → acceso inmediato del hacker
• Vulnerabilidad: ALTA

DESPUÉS:

• Contraseña + código temporal de 6 dígitos
• Aunque roben contraseña → hacker no puede acceder sin tu celular
• Vulnerabilidad: 99.9% REDUCIDA

Completa esto AHORA (20-30 minutos):

• [ ] Descargar e instalar Authy (o Google/Microsoft Authenticator)
• [ ] Configurar backup encriptado en Authy
• [ ] Activar 2FA en Gmail/email principal
• [ ] Guardar códigos de recuperación de Gmail en Bitwarden o papel
• [ ] Activar 2FA en WordPress (instalar plugin WP 2FA)
• [ ] Activar 2FA en panel de hosting
• [ ] Probar que 2FA funciona cerrando e iniciando sesión nuevamente

En la siguiente lección aprenderás a identificar correos de phishing en segundos, para que ni siquiera los hackers más sofisticados puedan engañarte.

¿Listo para el siguiente paso? 👉 Lección 3: Reconocer Phishing y Correos Falsos