La recuperación de cuenta, el punto débil de un factor fuerte

Una cuenta tiene varios caminos para entrar: el método principal, el respaldo y el restablecimiento cuando se pierde el factor. Su fuerza real es la del camino más fácil, no la del más robusto. Si entrar con una llave exige tenerla en la mano pero «perdí mi llave» se resuelve con una llamada y dos datos públicos, quien quiera entrar llamará.

Por eso el restablecimiento se trata como un acceso más, con su propia verificación, su registro y su aviso al titular. Aquí no se enseña a engañar a nadie: se enseña a medir si el procedimiento propio deja esa ventana abierta.

Abre el escritorio, la carpeta recuperacion, y lee procedimiento.txt. Son cinco reglas: devolver la llamada al número del directorio, verificar por un canal que no dependa del factor ni de la cuenta, no confiar en datos que cualquiera averigua, avisar siempre al titular y a su jefe, y no reemplazar un factor por otro más débil.

Después abre restablecimientos.txt, que lista los siete de septiembre, y mide cada uno contra esas reglas. Empieza por el aviso al titular: cuenta cuántos restablecimientos no lo tuvieron.

La regla 2 prohíbe verificar por un canal que dependa de la cuenta afectada. Es una trampa fácil: la mesa de ayuda recibe un correo «de la propia persona» pidiendo restablecer su segundo factor. Si quien escribió es quien tomó la cuenta, ese correo no prueba nada, porque llega desde la cuenta que se quiere recuperar.

Mira la columna de la verificación y la nota al final del archivo. Hay un restablecimiento cuya verificación es circular.

Una recuperación sólida hace tres cosas a la vez. Verifica a la persona con algo que un impostor no tenga a mano (la confirmación del jefe por su canal, la devolución de la llamada, la presencia física), no con datos públicos. Avisa a la persona real, para que si no fue ella pueda dar la alarma. Y no deja el factor nuevo más débil que el perdido, porque si se repone una llave con un SMS se ha bajado el nivel de la cuenta entera.

La regla 5 dice que el factor nuevo no puede ser más débil que el perdido. Revisa la columna «factor nuevo». Uno de los restablecimientos repuso el factor con un método que la escala de Calasanz pone en su último nivel, y además la verificación fue solo con datos públicos.