Autenticación de dos factores

La autenticación de dos factores exige una segunda prueba de identidad además de la contraseña, de modo que una contraseña robada no baste para entrar en la cuenta. Las formas habituales se diferencian mucho en solidez. Un código por SMS es el más débil, porque un número de teléfono puede trasladarse a la SIM de un atacante engañando a la operadora, y el código llega entonces a su dispositivo. Una aplicación de autenticación genera los códigos en el propio dispositivo, sin paso por la red, lo que elimina ese ataque pero no el phishing: un código escrito en una web falsa convincente funciona allí igual que en la verdadera. Una llave de seguridad física está ligada al dominio del sitio y no responde a una dirección parecida. Las plataformas también difieren en lo que protege el segundo factor: unas lo piden solo al iniciar sesión y otras también al retirar.