Si solo puedes hacer una cosa este mes para mejorar la seguridad de tu empresa, es esta. No comprar un antivirus mejor, no contratar una auditoría: activar el segundo factor en las cuentas que importan.
El motivo es simple. La inmensa mayoría de los incidentes en pymes empiezan con una credencial que alguien consiguió —por una filtración, por un correo de phishing o porque se reutilizaba en otro sitio—. Con segundo factor, esa credencial ya no abre nada.
Los métodos, de peor a mejor
- SMS. Mejor que nada, y poco más. El número se puede duplicar y los mensajes se pueden interceptar. Úsalo solo donde no haya otra opción.
- Código temporal (TOTP). Los seis dígitos que cambian cada treinta segundos. Es el punto dulce: gratis, funciona en todo y no depende de la operadora. Aegis en Android y varios equivalentes en iOS lo hacen; algunos gestores de contraseñas también.
- Llave física (FIDO2). Un dispositivo USB o NFC. Es el único método que resiste el phishing de verdad, porque la llave comprueba a qué sitio está respondiendo. Cuesta algunas decenas de dólares por persona.
Para la mayoría de una pyme, TOTP. Para las cuentas de administración y para quien maneje pagos, llave física. Esa combinación cubre casi todo el riesgo real por muy poco dinero.
Por dónde empezar
No hace falta activarlo en todo a la vez. En este orden:
- El correo. Es la llave maestra: quien entra en el correo recupera la contraseña de todo lo demás.
- La banca en línea y cualquier plataforma que mueva dinero.
- Las cuentas de administrador de tus sistemas: el panel del servidor, el ERP, el proveedor de dominios.
- El gestor de contraseñas, si lo usas, y deberías, como explicamos en sacar las contraseñas de la hoja de cálculo.
- El resto, con calma.
El detalle que casi todos olvidan
Alguien va a perder el teléfono. Es cuestión de tiempo. Y si no has preparado nada, esa persona se queda fuera de su propia cuenta y tú descubres que no tienes forma de devolvérsela.
Dos cosas, antes de activar nada:
- Códigos de recuperación guardados. Todos los servicios los dan al activar el segundo factor. En una caja fuerte o en el gestor de contraseñas de la empresa, no en un cajón.
- Un procedimiento de reseteo con dos condiciones: quién puede autorizarlo y cómo se verifica que la persona que llama es quien dice ser. Porque el atacante también sabe decir «he perdido el móvil».
Ese procedimiento es exactamente el tipo de cosa que debe estar escrita, y de eso va la documentación interna que sí se usa.
Lo que el segundo factor no resuelve
Conviene decirlo, porque hay quien lo activa y da el asunto por cerrado.
No protege contra el fraude en el que alguien hace una transferencia voluntariamente porque le engañaron —eso es otra cosa y se previene de otra forma—. No protege el portátil que se deja en un taxi. Y no protege contra una sesión ya abierta que alguien secuestra.
Pero cierra la puerta por la que entran la mayoría. Por ratio entre lo que cuesta y lo que evita, no hay nada comparable.
La resistencia interna
Habrá quejas las dos primeras semanas. «Es un engorro», «ya tengo bastante con la contraseña». Pasa siempre, y se pasa.
Lo que ayuda es configurar el segundo factor con cada persona delante, en cinco minutos, en vez de mandar un instructivo por correo. Y marcar el dispositivo como de confianza durante treinta días donde el servicio lo permita: así el código se pide una vez al mes, no cada mañana.