Higiene de seguridad de las aplicaciones autenticadoras

Las aplicaciones autenticadoras son las mulas de carga silenciosas de la seguridad moderna. Son mucho más sólidas que el SMS, no cuestan nada y la mayoría de la gente configura una una vez y nunca vuelve a pensar en ella. Esa última parte es el problema. Una aplicación autenticadora solo es tan buena como la cuenta que protege, el teléfono en el que vive y la vía de recuperación que hay detrás. Esta guía explica cómo usar Google Authenticator y Microsoft Authenticator con una higiene de verdad, dónde es fuerte cada aplicación y dónde incluso un autenticador perfecto deja un hueco que solo cierran las passkeys.

Para ver cómo se desarrollan de verdad la fatiga de notificaciones push, el SIM swap y el robo de tokens, recorre el laboratorio de elusión de MFA de PlayCISO.

TOTP, push y autenticación resistente al phishing no son lo mismo

Ayuda separar tres mecanismos que se llaman todos «MFA». TOTP es el código de seis dígitos que va cambiando. Tu aplicación y el servidor comparten una semilla secreta, y ambos calculan el mismo código a partir de la hora actual, así que no hace falta ninguna llamada de red para generarlo. Google Authenticator es una aplicación TOTP pura; Microsoft Authenticator también hace TOTP para cuentas de terceros. La aprobación por push envía a tu teléfono una notificación que apruebas o rechazas, algo más cómodo pero históricamente peligroso cuando es un simple sí o no. La autenticación resistente al phishing son las llaves de seguridad FIDO2 y las passkeys, en las que una clave privada de tu dispositivo firma un desafío vinculado criptográficamente al dominio exacto del sitio web.

La distinción importa porque un atacante decidido no adivina tu código por fuerza bruta. Monta una página de inicio de sesión falsa que retransmite en tiempo real: escribes tu contraseña y tu código TOTP en su proxy, el proxy los reenvía al instante al sitio real y el atacante entra con tu sesión. TOTP no lo impide. Tampoco una notificación push simple que pulsas sin leer. Solo la vinculación criptográfica al dominio de una passkey se niega a firmar para el sitio equivocado.

La coincidencia de números y el contexto de Microsoft Authenticator

La notificación push sin contraseña de Microsoft Authenticator es su función más destacada, y la coincidencia de números (number matching) es la razón. En lugar de pedirte que apruebes o rechaces, la pantalla de inicio de sesión muestra un número de dos dígitos que debes escribir en la aplicación para confirmar. Eso cierra el hueco del gesto reflejo. Durante una avalancha de notificaciones, un usuario cansado podría pulsar Aprobar para que pare el ruido, pero no puede escribir un número que nunca se le ha mostrado. La aplicación también muestra contexto: la aplicación en la que se inicia sesión, la ubicación aproximada derivada de la solicitud y el mapa. Si la notificación dice que hay un inicio de sesión desde otro país para una aplicación que no estás usando, la discrepancia es evidente y la rechazas.

La fatiga de MFA y el bombardeo de notificaciones push, y cómo resistirlos

El bombardeo de notificaciones push (push-bombing) es exactamente lo que parece. Un atacante que ya tiene tu contraseña lanza notificaciones de MFA repetidas a tu teléfono, apostando a que acabarás aprobando una por fastidio, por confusión o a las tres de la mañana. Esta técnica ha aparecido en varias brechas de gran repercusión. Las defensas son por capas: la coincidencia de números elimina la pulsación accidental, así que una avalancha de notificaciones pasa a ser una molestia y no una brecha. Si recibes una notificación que no has provocado tú, recházala y cambia tu contraseña de inmediato, porque una notificación inesperada significa que alguien ya tiene tu contraseña. Las empresas deberían limitar el número de notificaciones y bloquear la cuenta tras varios rechazos.

Copia de seguridad y sincronización en la nube: comodidad frente a concentración del riesgo

Perder un teléfono sin copia de seguridad significa volver a registrar a mano cada cuenta, así que las dos aplicaciones ofrecen guardar tus semillas. Google Authenticator puede sincronizar tus semillas TOTP con tu cuenta de Google. Microsoft Authenticator ofrece una copia de seguridad cifrada en la nube vinculada a una cuenta personal de Microsoft (e iCloud en los dispositivos de Apple). Es realmente útil, y también concentra el riesgo: quien controle esa cuenta de respaldo puede, en potencia, restaurar todas tus semillas. La regla es sencilla. Si activas la sincronización, la cuenta de respaldo se convierte en una cuenta crítica y debe defenderse como tal: una passkey resistente al phishing o una llave de seguridad en ella, una contraseña fuerte y única, códigos de recuperación guardados sin conexión y, en ningún caso, alternativa por SMS. Un almacén de semillas sincronizado detrás de una cuenta débil y recuperable por SMS es un punto único de fallo disfrazado de comodidad.

Vinculación al dispositivo, teléfonos perdidos y teléfonos robados

Por defecto, una semilla TOTP está vinculada al dispositivo en el que se registró. Esa vinculación es una ventaja: significa que los códigos no pueden escaparse en silencio a otro teléfono. También es la razón por la que un teléfono perdido sin copia de seguridad es un problema, ya que cada cuenta debe recuperarse por separado. Planifica los tres sucesos del teléfono antes de que ocurran. Con un teléfono perdido o robado, el bloqueo de pantalla y la biometría son la primera barrera, para que un ladrón oportunista no pueda simplemente abrir la aplicación y leer los códigos. Después, revoca el dispositivo en cada cuenta y rota todo lo sensible. Con un teléfono sustituido, restaura desde tu copia de seguridad cifrada o usa el flujo de transferencia de la aplicación, y después elimina explícitamente el dispositivo antiguo de todas las cuentas para que un terminal revendido no lleve nada.

Los riesgos de la recuperación y la trampa del SMS

La forma más común de perder la seguridad que creías tener es la vía de recuperación. Si tu cuenta puede recuperarse con un código enviado por SMS, toda tu configuración de autenticador es tan fuerte como un SIM swap. El SMS es vulnerable al fraude de SIM swapping, a la interceptación por SS7 y a la ingeniería social sobre el operador móvil, y nunca debería ser la alternativa en una cuenta que te importe. Elimina el SMS como método de recuperación o como segundo factor siempre que el servicio lo permita. En su lugar, genera e imprime los códigos de recuperación de un solo uso que ofrece cada servicio y guárdalos sin conexión, idealmente en una caja fuerte o en una bóveda de un gestor de contraseñas de hardware. Registra un segundo autenticador o una llave de seguridad de respaldo para que perder un solo dispositivo no te deje sin acceso y te tiente a volver al SMS.

El bloqueo de pantalla y la biometría no son negociables

Una aplicación autenticadora en un teléfono sin bloqueo es un libro de contraseñas abierto. Exige un código de acceso fuerte para el dispositivo, no un PIN de cuatro dígitos, y activa el desbloqueo biométrico. Activa el bloqueo a nivel de aplicación dentro de Microsoft Authenticator para que pida biometría o PIN antes de mostrar los códigos aunque el teléfono ya esté desbloqueado. Configura la pantalla para que se bloquee enseguida. Nada de esto detiene a un atacante dirigido que tenga tu teléfono desbloqueado, pero vence el caso abrumadoramente común del dispositivo que se coge de una mesa o se saca de un bolso.

Los controles empresariales que de verdad marcan la diferencia

Para una organización, la higiene es una cuestión de política, no un hábito de cada usuario. Exige el registro solo en aplicaciones gestionadas, para que las credenciales vivan en una aplicación que la empresa controla y puede borrar. Usa el acceso condicional para exigir métodos resistentes al phishing en los roles privilegiados y las aplicaciones sensibles, y para bloquear la autenticación heredada que se salta por completo la MFA. Activa la coincidencia de números para todos y desactiva la simple aprobación o rechazo. Restringe o bloquea el registro de MFA en dispositivos personales no gestionados cuando la política lo exija, y vigila las señales de viaje imposible y de rechazos repetidos que delatan una campaña de bombardeo de notificaciones push. Sobre todo, da a los administradores y a los usuarios de alto valor llaves de seguridad de hardware o passkeys de plataforma en lugar de depender de una aplicación cuya aprobación se les puede arrancar con engaños.

El límite honesto: aplicaciones OTP frente a FIDO2 y passkeys

Todo lo anterior hace que una aplicación autenticadora sea mucho más difícil de explotar, pero no hace que TOTP ni el push sean resistentes al phishing. Un proxy en tiempo real todavía puede retransmitir un código o capturar una aprobación. Las llaves de seguridad FIDO2 y las passkeys son distintas en naturaleza, no en grado: la clave privada nunca sale de tu dispositivo y la firma está vinculada al dominio real, así que el sitio falso del atacante simplemente no puede obtener una respuesta válida. Trata las aplicaciones autenticadoras como un avance sólido y universal frente al SMS para el grueso de tus cuentas, y lleva tu correo, tu proveedor de identidad, tu gestor de contraseñas y tus cuentas de administrador a passkeys o llaves de hardware como destino final.

Tu checklist personal

• Prefiere las notificaciones push con coincidencia de números a la simple aprobación o rechazo, y rechaza cualquier notificación que no hayas iniciado tú.
• Configura un código de acceso fuerte para el dispositivo más biometría, y activa el bloqueo dentro de la aplicación en Microsoft Authenticator.
• Si activas la sincronización o la copia de seguridad en la nube, protege la cuenta de respaldo de Google o de Microsoft con una passkey y sin alternativa por SMS.
• Elimina el SMS como segundo factor y como método de recuperación siempre que puedas.
• Genera códigos de recuperación para cada cuenta y guárdalos sin conexión; registra un autenticador o una llave de seguridad de respaldo.
• Cuando sustituyas o pierdas un teléfono, revoca después el dispositivo antiguo en todas las cuentas.
• Lleva tus cuentas más importantes (correo, gestor de contraseñas, proveedor de identidad) a passkeys.

Tu checklist empresarial

• Exige el registro solo dentro de aplicaciones gestionadas que puedas controlar y borrar.
• Activa la coincidencia de números y el contexto adicional para todos; desactiva la simple aprobación o rechazo.
• Usa el acceso condicional para exigir autenticación resistente al phishing en los roles privilegiados y las aplicaciones sensibles, y bloquea la autenticación heredada.
• Restringe el registro de MFA en dispositivos personales no gestionados según la política.
• Vigila las señales de bombardeo de notificaciones push: rechazos repetidos, viajes imposibles, avalanchas de notificaciones.
• Entrega llaves de seguridad FIDO2 o passkeys a los administradores y a los usuarios de alto valor.
• Prohíbe el SMS como factor alternativo en todo el tenant.