Activa la verificación en dos pasos en el correo, los pagos y las redes sociales; primero la confirmación emergente en el teléfono y solo después el código por SMS

0 yuanes; se configura una vez por cuenta, 2 o 3 minutos

Google analizó 350000 intentos reales de robo de cuenta (también llamados secuestro de cuenta). Un tipo de verificación usa el dispositivo: confirmación emergente en el teléfono o una llave de seguridad. Ese tipo «bloqueó más del 94% de los intentos de secuestro originados en phishing y el 100% de los intentos automatizados». El phishing consiste en engañarte para que introduzcas la contraseña en un sitio falso; lo automatizado es que una máquina prueba en masa contraseñas filtradas. Otro tipo usa preguntas de respuesta, como dónde iniciaste sesión la última vez o cuál es tu correo de respaldo. Ese «solo bloqueó un porcentaje tan bajo como el 10% de los secuestros por phishing y el 73% de los automatizados». Dentro de la verificación por dispositivo, el código por SMS es más débil que la ventana emergente del teléfono. Quien hace phishing acertó el 4% de los códigos por SMS, y solo engañó a la ventana emergente en el 1%. En ataques dirigidos a una persona concreta, el SMS solo bloqueó el 76% y la ventana emergente el 90%.

Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). https://doi.org/10.1145/3308558.3313481

El mismo estudio encontró que la verificación también frena a los usuarios legítimos: el 52% de los usuarios legítimos no logró entrar al primer intento, aunque el 97% lo consiguió al final. Empieza por el correo, porque la mayoría de las demás cuentas pueden recuperar la contraseña a través de él. Los códigos de verificación son solo suyos; si los lee en voz alta por otro, véase el capítulo 8, punto 45 (dictar el código).