Segundo factor: tipos y debilidades de cada uno

Los segundos factores habituales se pueden ordenar por una pregunta: si la persona cae en una página falsa, ¿el factor protege igual? Un código por SMS, un código de app autenticadora o un código de respaldo son secretos que la persona lee y escribe; si los escribe en la página falsa, quien la controla los usa enseguida en la verdadera. Una notificación que se aprueba con un toque tampoco sabe dónde se está iniciando sesión.

Las llaves de acceso (WebAuthn) funcionan de otra manera: el navegador incluye el origen real de la página en lo que el autenticador firma, y la credencial solo existe para el dominio en que se registró. Una página falsa no obtiene nada que sirva en la verdadera. Por eso NIST SP 800-63B, en su revisión 4, las cuenta entre los autenticadores resistentes al phishing y deja fuera de esa categoría a los códigos y a la aprobación fuera de banda.

Un segundo factor de posesión tiene sentido porque demuestra que la persona tiene un dispositivo concreto. Un buzón de correo no cumple esa condición: se abre desde cualquier equipo con la contraseña, a menudo la misma que se acaba de robar, y suele estar abierto en el mismo navegador donde se inicia sesión. NIST SP 800-63B (revisión 4) prohíbe expresamente usar el correo electrónico para la autenticación fuera de banda, aunque sí lo admite para confirmar direcciones.

Abre politica-mfa.txt y lee las alternativas de cada población.

Una notificación de «¿Eres tú? Aprobar / Rechazar» sin más contexto convierte al usuario en el único control. Si alguien tiene la contraseña, puede iniciar sesión una y otra vez hasta que el teléfono suene tantas veces que la persona apruebe por cansancio o por error. En el registro eso se ve como una ráfaga de rechazos seguida de una aprobación, desde un origen que no es el habitual.

Abre registro-push.txt. Ojo: que alguien apruebe varias notificaciones en un día no es sospechoso por sí solo.

Un código por SMS llega a la línea, no al teléfono. Si alguien consigue que el operador traslade la línea a otra tarjeta SIM, recibe los códigos de la víctima. Por eso NIST SP 800-63B trata la red telefónica como un autenticador restringido: pide ofrecer siempre una alternativa y recomienda tener en cuenta señales de riesgo, como un cambio de SIM o una portabilidad reciente, antes de enviar el código.

El portal recibe esa señal del operador y no hace nada con ella. Abre registro-sms.txt y busca un código enviado poco después de un cambio de SIM en la misma cuenta.

La política de agentes no se arregla prohibiendo las notificaciones: se arregla quitándoles lo que permite aprobar a ciegas. Elige el cambio que ataca la causa de lo que viste en la tarea 3.