Suplantación o Robo de Identidad, 2FA como solución

No deseamos cambios. Todo cambio constituye una amenaza para la estabilidad. -  Aldous Huxley, del libro: Un mundo feliz'

 

El problema: Suplantación o robo de identidad

 

La suplantación o robo de identidad es cuando alguien se hace pasar por ti, usando tu información personal sin permiso, para obtener algún tipo de beneficio, generalmente económico. En palabras simples, es como si alguien robara "tu nombre y tu vida digital" para hacer cosas que tú no aprobaste.

 

Imagina que pierdes tu cartera en la calle, te la roban en un bar o la oficina. Dentro tienes tu DNI, tarjetas de crédito y quizá hasta una copia de tu tarjeta de seguridad social. Un ladrón encuentra tu cartera y, en lugar de usar directamente tus tarjetas, hace algo más astuto: va a una tienda en línea, se crea una cuenta a tu nombre, usa los datos de tu tarjeta y compra varios productos costosos, haciéndose pasar por ti.

 

O peor, puede pedir un préstamo usando tus datos, y cuando tú te enteras, ya tienes una deuda que no sabías que existía. Todo esto sucede sin que tú lo sepas hasta que empiezas a recibir notificaciones del banco o te llega una factura de algo que nunca compraste.

 

 

Esto es más habitual de lo que pueda parecer. Una versión más light es que te roben el acceso a whatsapp (varios casos cercanos), la cuenta de Instagram o Facebook, el canal de Youtube o la cuenta de Amazon, que también puede provocarte problemas económicos o de reputación.

 

Las soluciones

 

Toda acción, una ve se ha producido el problema es mucho más costosa y difícil que si aplicamos la prevención. La prevención tiene que ver con prácticas seguras en la gestión de tu vida digital. Es muy importante tomar una serie de precauciones para evitar caer en un robo de identidad. Decirte que protejas tus documentos, que no los compartas alegremente, que nunca los envíes por whatsapp o por email, es básico. En concreto te recomiendo que:

 

Protege tu información personal

 

• No compartas información sensible en redes sociales ni con personas o sitios web de los que no estás seguro.

 

• Destruye documentos que contengan datos personales antes de tirarlos (como estados de cuenta o recibos con tu número de tarjeta).

 

• Cuidado con los correos electrónicos y llamadas de phishing: Nunca proporciones tus datos por teléfono o por correo.

 

Utiliza contraseñas seguras, utiliza un gestor de contraseñas

 

• Usa contraseñas únicas y complejas para cada cuenta. Combina letras mayúsculas y minúsculas, números y símbolos.

 

• No repitas contraseñas en diferentes sitios. Si una contraseña es comprometida, es más difícil que otras cuentas también se vean afectadas.

 

• Considera usar un gestor de contraseñas que pueda crear y almacenar contraseñas seguras sin que tengas que memorizarlas todas.

 

Monitorea tus cuentas regularmente

 

• Revisa tus estados de cuenta bancarios y de tarjetas de crédito frecuentemente. Así podrás detectar cualquier movimiento sospechoso lo más pronto posible.

 

• Usa servicios de monitoreo de crédito que te alerten si hay nuevas cuentas abiertas a tu nombre o cualquier cambio inusual en tu informe de crédito.

 

Congela tu crédito (si, es posible)

 

Para congelar su crédito en España, debe contactar con las tres principales agencias de informes crediticios: CRIF, Equifax y Experian. Puede hacerlo de manera gratuita, tanto en línea como por teléfono. Se puede descongelar d la misma manera.

 

• Puedes congelar tu informe de crédito, lo que evita que cualquiera, incluidos los ladrones, puedan abrir nuevas cuentas o solicitar préstamos a tu nombre.

 

• Si bien esto no evitará que los ladrones usen las cuentas existentes, sí dificultará que creen nuevas cuentas o soliciten crédito en tu nombre.

 

Usa conexiones seguras

 

• Evita conectarte a redes Wi-Fi públicas para realizar actividades que involucren datos sensibles, como transacciones bancarias o compras en línea. Evitalo siempre, recuerda que si un servicio es gratis, tú eres el producto.

 

• Si necesitas usar una red pública, utiliza una VPN (red privada virtual) que encripte tus datos y proteja tu identidad en línea. Siempre VPNs confiables como iVPN, Proton-VPN o Mulvald-VPN.

 

Mantén actualizado tu software

 

• Asegúrate de tener actualizado tu sistema operativo, navegadores y cualquier otro software que uses, ya que las actualizaciones suelen corregir vulnerabilidades que los hackers pueden aprovechar.

 

• Prácticas seguras: no piratees software. Descárgate el software del fabricante si estás seguro que necesitas esa aplicación. Limita los permisos de las aplicaciones. Tu calculadora o tu teclado no necesitan permisos de cámara y de micrófono.

 

Desconfía de solicitudes inesperadas

 

No tienes familia en Nigeria, No te va a llamar un banco Alemán para notificarte una herencia, no te llamará una influences ukraniana para ligar contigo, nadie sabe si visitas páginas porno y te llama para extorsinarte. Cabeza fría ante todo.

 

• Si recibes un correo electrónico, mensaje de texto o llamada telefónica solicitando tus datos personales, verifica siempre la autenticidad. Los delincuentes suelen hacerse pasar por instituciones legítimas (bancos, compañías de servicios públicos) para obtener tu información.

 

Protege tu correo electrónico

 

• Tu correo electrónico es la puerta de acceso a muchas de tus cuentas. Cambia regularmente la contraseña de tu cuenta de correo y activa 2FA.

 

• Usa aliases de correo electrónico para diferentes tipos de servicios. Por ejemplo, uno solo para tu banco y otro para redes sociales. Si son comprometidos, podrás borrarlo, darle el alias de nuevo a tus cuentas o portales de acceso y ya.

 

Reporta sospechas inmediatamente

 

• Si detectas movimientos extraños o crees que tu identidad ha sido robada, reporta inmediatamente a tu banco o la entidad correspondiente. No es vergonzoso, es lo más habitual hoy.

 

• En muchos países, existen servicios gubernamentales que te pueden guiar para limitar el daño y recuperar tu identidad.

 

Habilita la autenticación en dos pasos (2FA)

 

He dejado esto para el final porque quiero hablarte de 2FA de manera concreta y amplia, empezando por los inconvenientes

 

2FA

 

La autenticación en dos factores (2FA, por sus siglas en inglés) es un método de seguridad que requiere dos formas de identificación para acceder a una cuenta o sistema. Este enfoque proporciona una capa adicional de protección más allá de una simple contraseña, lo que dificulta considerablemente el acceso no autorizado. En un mundo donde los ciberataques, las filtraciones de datos y las amenazas a la privacidad están en aumento, la implementación de 2FA es fundamental para asegurar la información tanto de individuos como de organizaciones.

 

Inconvenientes del 2FA

 

La seguridad supone siempre añadir capas como si de una cebolla se tratase a nuestro sistema de autenticación. La seguridad supone que sea menos cómodo para el usuario, que en muchos casos, si 2FA está asociado a un terminal móvil, perderlo o averiarlo, puede suponer un problema adicional para gestionar el acceso. Efectivamente tiene algunos inconvenientes pero la inmensidad de ventajas y, sobre todo, la tranquilidad de que no vas a perder tu identidad digital, riesgos de ataque de phishing avanzado para el 2FA, , problemas de accesibilidad, personas mayores o con limitaciones físicas o cognitivas.

 

¿Cómo Funciona 2FA?

 

2FA exige que el usuario proporcione dos elementos de autenticación de entre tres posibles categorías:

 

1.- Algo que conoces: Una contraseña o PIN.

 

2.- Algo que tienes: Un dispositivo físico, como un teléfono móvil o token.

 

3.- Algo que eres: Información biométrica, como huellas dactilares o reconocimiento facial.

 

Ejemplo: Para iniciar sesión en una cuenta bancaria, primero se ingresa la contraseña (primer factor), luego se recibe un código en el teléfono móvil que debe introducirse (segundo factor).

 

Beneficios de 2FA para la Seguridad

 

• Protección adicional contra el robo de contraseñas: Incluso si un atacante logra obtener la contraseña, necesitaría el segundo factor para acceder a la cuenta.

 

• Reducción de ciberataques: La mayoría de los ataques automatizados, como el phishing, los ataques de fuerza bruta y los keyloggers, solo pueden capturar la primera capa de autenticación (la contraseña). Con 2FA, estos ataques son mucho menos efectivos.

 

• Seguridad frente a dispositivos comprometidos: Si se pierde o roba un dispositivo, el atacante aún necesitaría la contraseña para acceder a las cuentas protegidas por 2FA.

 

• Mejora de la confianza del usuario: Para empresas y plataformas, la implementación de 2FA aumenta la confianza de los usuarios al saber que sus datos están más seguros.

 

Soluciones de Código Abierto para 2FA

 

El código abierto es una alternativa atractiva para quienes buscan más control y transparencia sobre sus herramientas de seguridad. En lugar de depender de proveedores propietarios que no siempre revelan cómo gestionan los datos, las soluciones de código abierto permiten auditar el software para asegurarse de que funciona correctamente y protege la privacidad.

 

Soluciones de Código Abierto 2FA

 

• FreeOTP (GitHub - FreeOTP): FreeOTP es una aplicación de autenticación de dos factores que soporta tokens basados en tiempo (TOTP) y HMAC (HOTP), lo que lo convierte en una alternativa segura y abierta a aplicaciones propietarias. Ventajas: Código abierto (cualquiera puede verificar la seguridad), no requiere registro ni almacenamiento en la nube (totalmente privado), compatible con muchos servicios.

 

• Authenticator (Fork) (GitHub - Authenticator): Es una bifurcación de la aplicación original de Google Authenticator, con características adicionales como respaldo de claves encriptadas. Ventajas: Transparencia en el código, sin almacenamiento en la nube, permite importar y exportar claves.

 

• KeePassXC (KeePassXC): Un administrador de contraseñas que también soporta TOTP, permitiendo que los usuarios almacenen sus tokens 2FA junto con sus contraseñas de manera segura. Ventajas: No solo almacena contraseñas, sino también los códigos de autenticación de dos factores. El código está completamente abierto y puede ser auditado.

 

• YubiKey con Yubico Authenticator (Yubico Authenticator): Aunque YubiKey es un hardware propietario, su software de autenticación es de código abierto. Proporciona un nivel extremadamente alto de seguridad al generar códigos OTP y almacenarlos en una llave física. Ventajas: Combinación de seguridad física con software de código abierto, no requiere conexión a internet, resistente a ataques de phishing.

 

Soluciones Comerciales Populares

 

• Google Authenticator: Uno de los autenticadores más utilizados, genera códigos de autenticación temporales. Sin embargo, no es de código abierto y no ofrece opciones de respaldo en la nube.

 

• Authy: Ofrece características adicionales como el respaldo en la nube y sincronización entre dispositivos, pero al ser una solución propietaria, los usuarios tienen que confiar en la empresa en cuanto a la gestión de sus datos.

 

• Microsoft Authenticator: Popular para usuarios del ecosistema de Microsoft, pero también es una solución cerrada y propietaria.

 

¿Por Qué las Soluciones de Código Abierto Son Preferibles?

 

• Auditoría y Transparencia: Con el software de código abierto, el código está disponible públicamente para ser revisado y auditado por la comunidad, garantizando que no existan puertas traseras o malas prácticas en el manejo de datos.

 

• Control del Usuario: Las soluciones abiertas no dependen de servidores externos para el almacenamiento de datos, lo que garantiza que los datos de autenticación permanecen en manos del usuario.

 

• Privacidad Mejorada: Las aplicaciones de código abierto no suelen recopilar datos adicionales ni requerir acceso a la información privada, como números de teléfono o biometría.

 

• Seguridad y Personalización: Los usuarios avanzados pueden personalizar las soluciones de código abierto para adaptarse mejor a sus necesidades de seguridad. Además, las actualizaciones y correcciones de seguridad son rápidas y colaborativas, lo que minimiza vulnerabilidades.

 

Gestión de las Soluciones 2FA

 

La implementación y gestión de 2FA requiere ciertos cuidados para maximizar la seguridad:

 

• Copia de seguridad: Asegurarse de que los códigos de recuperación estén almacenados de manera segura, para evitar quedar bloqueado si se pierde el dispositivo.

 

• Deshabilitar métodos inseguros: Evitar métodos de 2FA basados en SMS, ya que son más susceptibles a ataques de SIM swapping o interceptación.

 

• Revisión periódica: Es recomendable auditar y revisar periódicamente las configuraciones de 2FA, para asegurarse de que están actualizadas y utilizando las mejores prácticas.

 

Si has sido robado en tu identidad, probablemente tendrás un problema grave durante mucho tiempo. No des lugar a eso. Pon medidas ya. Tu privacidad está en juego.