App de autenticación vs códigos SMS: ¿cuál es más seguro?

Cómo funciona la autenticación en dos pasos por SMS

La autenticación en dos pasos añade un segundo candado a tus cuentas, y los códigos por SMS son la versión que la mayoría de la gente conoce primero. En lugar de depender solo de tu contraseña, el servicio envía un código corto de un solo uso a tu teléfono por mensaje de texto. Escribes tu contraseña como de costumbre y luego introduces ese código para terminar de iniciar sesión.

El sistema funciona porque solo tú deberías controlar el número de teléfono vinculado a tu cuenta. Cuando solicitas un inicio de sesión, el servicio envía un código por SMS —normalmente de seis dígitos, válido durante unos minutos— a ese número. Sin código, no hay entrada.

Su mayor punto a favor es la comodidad:

• Nada que instalar. Todos los teléfonos móviles pueden recibir mensajes de texto.
• Nada nuevo que aprender. Ya sabes leer un mensaje de texto.
• Funciona en cualquier teléfono, desde el último smartphone hasta un viejo teléfono de concha.

La trampa: depende por completo de que tu número de teléfono y tu red móvil permanezcan bajo tu control.

Cómo funcionan las aplicaciones de autenticación

Las aplicaciones de autenticación generan tus códigos de inicio de sesión directamente en tu dispositivo. Durante la configuración, escaneas un código QR que almacena un secreto compartido dentro de la aplicación. A partir de ese momento, la aplicación y el sitio web calculan de forma independiente el mismo código de seis dígitos, rotando a uno nuevo cada 30 segundos. No interviene ninguna red móvil ni conexión a internet: los códigos se calculan sin conexión, por lo que funcionan incluso en modo avión.

La diferencia clave: sin número de teléfono

Ese secreto compartido vive en la aplicación, no en tu tarjeta SIM. Tus códigos están vinculados al dispositivo que contiene el secreto, no a tu número de teléfono, por lo que no hay nada que un ataque basado en el operador pueda interceptar.

Aplicaciones comunes

• Google Authenticator: simple y con amplia compatibilidad
• Microsoft Authenticator: también admite aprobaciones push para cuentas de Microsoft
• Authy: añade copia de seguridad cifrada entre dispositivos

Un atacante necesitaría el propio dispositivo para producir un código válido.

Amenaza 1: SIM swapping

El SIM swapping es un ataque dirigido directamente a la 2FA basada en SMS. El atacante contacta a tu operador móvil haciéndose pasar por ti y lo convence de transferir tu número de teléfono a una tarjeta SIM que él controla. Esto puede ocurrir mediante una historia convincente, datos personales robados en una filtración o un empleado sobornado. Los operadores no son consistentes al verificar la identidad, por lo que el ataque tiene éxito más a menudo de lo que debería.

Una vez portado tu número, el teléfono del atacante recibe cada SMS que tú habrías recibido — incluidos tus códigos de inicio de sesión y los mensajes de restablecimiento de contraseña. Tu teléfono real queda en silencio.

Las aplicaciones de autenticación eluden esto por completo. Generan códigos en tu dispositivo, vinculados a tus cuentas, sin que intervenga ningún número de teléfono. No hay nada que el atacante pueda portar, y tu operador no puede filtrar lo que nunca tiene.

Amenaza 2: Phishing

El phishing derrota los códigos SMS con una facilidad vergonzosa. La víctima hace clic en un enlace hacia una página de inicio de sesión falsa convincente e introduce su contraseña. El sitio, controlado por el atacante, solicita de inmediato el código de verificación — y lo captura. Como el atacante se sitúa en medio del inicio de sesión, recibe el código en el momento en que la víctima lo escribe, mucho antes de que expire. Inician sesión ellos mismos; la víctima solo ve una página de error.

Las aplicaciones de autenticación complican esto pero no lo impiden. Un código basado en tiempo dura aproximadamente 30 segundos, lo que reduce la ventana del atacante. Los kits de phishing modernos lo resuelven actuando como un proxy en vivo: retransmiten el código al instante, o mantienen la sesión abierta y solicitan a la víctima un código nuevo si el primero expira.

La lección: cualquier código que escribas en un sitio web puede ser robado mientras lo escribes. La vida útil del código fija el plazo del atacante — nada más.

Otras diferencias prácticas

Fiabilidad. Los códigos SMS dependen de tu operador. Una señal débil, el modo avión o la congestión de la red pueden retrasar un código durante minutos o bloquearlo por completo, dejándote bloqueado a mitad del inicio de sesión.

Costo y viajes. Las aplicaciones de autenticación generan códigos en el propio dispositivo. Funcionan sin conexión, en un avión o en el extranjero, sin cargos de roaming. Recibir SMS en el extranjero puede ser lento o costoso.

Pérdida del teléfono. Ambos métodos vinculan los códigos a un solo dispositivo, pero perder una configuración basada solo en SMS es más fácil de recuperar: los códigos siguen llegando a tu número. Si se pierde o se borra un teléfono con una aplicación de autenticación sin copia de seguridad, esos códigos desaparecen hasta que uses códigos de recuperación o el proceso de recuperación de cuenta del proveedor.

Batería y actualizaciones. Las aplicaciones necesitan un teléfono cargado y funcional. Los SMS necesitan lo mismo, más señal.

Ninguno es perfecto; las aplicaciones simplemente fallan en menos situaciones.

El veredicto: cuál es más segura

Las aplicaciones de autenticación superan a los SMS frente a ambas vías de ataque principales:

• SIM swapping: los códigos SMS están vinculados a tu número de teléfono, que los atacantes pueden secuestrar. Los códigos de la app viven en tu dispositivo y nunca tocan la red telefónica.
• Phishing: los mensajes de texto hacen que sea fácil leer un código y pegarlo directamente en un sitio falso. Los códigos de la app se actualizan cada 30 segundos y están vinculados a una cuenta específica, lo que reduce la ventana para el abuso, aunque un phisher decidido aún puede engañarte para obtener un código activo.

Dicho esto, la 2FA por SMS es mucho mejor que no tener 2FA. Si SMS es la única opción que ofrece un sitio, actívala.

Más fuertes que ambas: las llaves de seguridad de hardware, que verifican criptográficamente el sitio en el que inicias sesión y están diseñadas para resistir el phishing. Si un sitio las admite, usa una.

Cómo cambiar a una aplicación de autenticación

Empieza con tus cuentas más importantes: primero el correo electrónico, luego la banca y después todo lo demás.

1. Abre la configuración de seguridad. Busca "Autenticación de dos factores", "2FA" o "Seguridad" en cada cuenta. No todos los servicios admiten aplicaciones de autenticación, así que compruébalo antes de planificar nada más.
2. Elige "Aplicación de autenticación" como método. El sitio muestra un código QR.
3. Escanéalo con tu aplicación. En Google Authenticator, Authy o una similar, pulsa el botón de añadir (+) y apunta la cámara al código. La cuenta aparece en la aplicación y empieza a generar códigos de inmediato.
4. Guarda los códigos de respaldo sin conexión. La mayoría de los servicios muestran códigos de recuperación de un solo uso durante la configuración. Anótalos o guárdalos en un gestor de contraseñas, no en una captura de pantalla del mismo teléfono.
5. Confirma antes de eliminar los SMS. Introduce un código de la aplicación para verificar que funciona. Solo entonces considera desactivar los códigos por mensaje de texto.

Mantener ambos métodos activos brevemente está bien; depender solo de SMS no.

Planificación de la recuperación

Perder el teléfono no debería significar perder tus cuentas. Planifica la recuperación antes de necesitarla.

Guarda Tus Códigos de Respaldo

La mayoría de los servicios muestran un conjunto de códigos de respaldo de un solo uso cuando activas una aplicación de autenticación. Guárdalos sin conexión — impresos en papel o anotados y guardados en un lugar seguro, como con tus documentos importantes. No los dejes en una captura de pantalla, una aplicación de notas ni un archivo de texto plano en el mismo dispositivo que intentas proteger.

Mantén un Respaldo Alternativo

• Imprime tus códigos de respaldo y guárdalos de forma segura.
• Considera registrar un segundo dispositivo, como una tableta, si el servicio permite varios autenticadores.
• Algunas aplicaciones ofrecen copias de seguridad cifradas o soporte multi-dispositivo — consulta la documentación de tu aplicación antes de confiar en ella.

Antes de Retirar o Borrar un Teléfono Antiguo

1. Vuelve a registrar tu autenticador en el nuevo dispositivo.
2. Confirma que cada servicio acepte los códigos generados por este.
3. Solo entonces borra el teléfono antiguo. Omitir esto es la causa más común de bloqueos autoinfligidos.

La jerarquía es simple: SMS es mejor que no tener 2FA, una aplicación de autenticación es mejor que SMS, y los códigos de respaldo te salvan cuando ambos fallan. Configura los tuyos hoy — la recuperación solo funciona si la preparas con anticipación.

Errores comunes al usar apps de autenticación

Escanear el código QR en un teléfono y no en el ordenador. Si configuras la app desde el mismo dispositivo donde la instalarás, no hay problema. Pero si escaneas el QR con la cámara del teléfono mientras el sitio web está abierto en ese mismo teléfono, la configuración puede quedar incompleta. Hazlo desde el ordenador siempre que sea posible: verás el código con claridad y la app generará el primer código al instante.

Configurar y no probar. Mucha gente activa la 2FA, cierra la sesión y descubre días después que la app nunca generó códigos válidos para ese servicio. Comprueba el código antes de cerrar la sesión de configuración.

Escanear el QR de una cuenta equivocada. Si tienes varias pestañas abiertas, es fácil emparejar la app con el servicio incorrecto. Renombra la entrada en la app con el nombre del servicio y tu usuario (por ejemplo, "Correo — [email protected]") para evitar confusiones con códigos de cuentas distintas.

Guardar el QR en sí. Una captura de pantalla del código QR equivale a guardar la contraseña: cualquiera con acceso a tu galería de fotos podría generar tus códigos. Borra la imagen después de configurar.

Borrar la app al cambiar de teléfono "para liberar espacio". Sin transferir antes las cuentas, pierdes el acceso. Usa la función de exportación o transferencia de cuentas que ofrecen la mayoría de apps, y verifica en cada servicio antes de borrar nada del dispositivo antiguo.

Ignorar el reloj del teléfono. Los códigos dependen de la hora del dispositivo. Si tu teléfono muestra una hora incorrecta, los códigos fallan sin motivo aparente. Activa la hora automática de red en los ajustes del sistema.