Escucho cada vez más casos de robos y secuestro de cuentas, por eso dejo un checklist práctico: usa 2FA en todo lo que maneje plata, evita SMS como segundo factor (sim swap), prefiere Authy sobre Google Authenticator, usa contraseñas largas y únicas, no guardes datos sensibles en WhatsApp o notas; usa 1Password; jamás pases un PIN que recibiste por SMS/WhatsApp; pon PIN a WhatsApp; borra contraseñas guardadas en navegadores; activa 2FA en Gmail; y no lleves todas las apps de pago en el mismo celular —fondea esas cuentas con poco dinero. Son medidas sencillas, gratuitas y muy efectivas.
1. Checklist esencial: 10 medidas para proteger tu plata
Escucho cada vez más casos de robos y secuestro de cuentas, por eso dejo un checklist práctico: usa 2FA en todo lo que maneje plata, evita SMS como segundo factor (sim swap), prefiere Authy sobre Google Authenticator, usa contraseñas largas y únicas, no guardes datos sensibles en WhatsApp o notas; usa 1Password; jamás pases un PIN que recibiste por SMS/WhatsApp; pon PIN a WhatsApp; borra contraseñas guardadas en navegadores; activa 2FA en Gmail; y no lleves todas las apps de pago en el mismo celular , fondea esas cuentas con poco dinero. Son medidas sencillas, gratuitas y muy efectivas.
2. Teléfono sin PIN y Gmail sin 2FA: la puerta trasera
Un celular sin PIN y además vinculado a tu cuenta de Gmail es una puerta de entrada enorme. Si el teléfono no tiene bloqueo físico, quien lo consiga puede abrir apps y ver información. Y si la cuenta de Gmail no tiene 2FA, es relativamente sencillo tomar control de la cuenta: resetear contraseñas, acceder a backups o incluso reconstruir los 'seeds' de 2FA en minutos. El resultado: acceso a servicios, billeteras y bancos. Solución: pon bloqueo de pantalla fuerte (PIN/huella/FaceID), habilita 2FA en Gmail, revisa y revoca dispositivos conectados, desactiva sincronías innecesarias y configura borrado remoto. Considerá llaves físicas para cuentas críticas.
3. Cuidado con Google Authenticator vinculado a Gmail
Muchísima gente desconoce cambios en las apps de autenticación. Google Authenticator empezó a incorporar funciones de transferencia y, en algunos casos, opciones de respaldo asociadas a la cuenta Google; si no prestás atención, tus códigos pueden quedar sincronizados sin que lo notes. Eso es peligroso si esa cuenta de Gmail está débil. Mi recomendación: revisá la configuración de la app y desactivá cualquier respaldo que no entiendas. Mejor aún, usá un gestor de autenticadores con backups encriptados (p. ej. Authy) o, para máxima seguridad, llaves físicas (U2F). Conservá los códigos de recuperación en un lugar offline y seguro.
4. Authy: la alternativa (usa la oficial)
Authy (de Twilio) suele ser la alternativa recomendada para muchos: backups encriptados, soporte multi-dispositivo y restauración desde la nube hacen que recuperar accesos sea más fácil que con Google Authenticator. Pero esto no significa dejar la seguridad al azar: usá la app oficial (verificá que el desarrollador sea Twilio), activá una contraseña de respaldo fuerte para cifrar las copias, y deshabilitá la sincronización entre dispositivos si preferís que los tokens queden solo en un equipo. Authy equilibra usabilidad y seguridad, pero sigue siendo clave controlar las copias y contraseñas maestras. Antes de instalar, fijate en descargas, reseñas y el enlace oficial del sitio de Authy para evitar clones.
5. Qué pasa si perdés el teléfono: backups y seeds
Google Authenticator históricamente no ofrecía restauración a partir de un 'seed' de rescate como otras apps: si perdés el teléfono y no exportaste o sincronizaste tus cuentas, te podés quedar afuera de todo. La lección: generá y guardá códigos de recuperación al activar 2FA en cada servicio, exportá las cuentas a un gestor seguro antes de cambiar de móvil y, cuando uses apps que no tienen backup, anotá las claves en un lugar físico o en un gestor de contraseñas. Alternativas con backup encriptado (Authy) o llaves físicas evitan estos escenarios. Imprimí o guardá offline los códigos y probá el proceso de recuperación con tiempo.
6. Malware móvil: muchas infecciones pasan desapercibidas
Cuando hablamos de 'hackear el teléfono' no siempre es un ladrón físico: existe malware móvil que actúa a escondidas, por ejemplo formando botnets o haciendo DDoS, y muchas veces no hay señales obvias. Otros tipos sí roban datos, interceptan SMS o capturan pantallas. Para reducir riesgos: instalá apps solo de tiendas oficiales, revisá permisos, mantené el sistema y apps actualizadas, evitá root/jailbreak, no clickees links sospechosos y considerá una app de seguridad reputada. Si detectás comportamiento raro, reseateá o restaurá desde una copia limpia. Evitá SMS para 2FA: el malware o el sim swap lo hace inútil.
7. SIM swap: cómo lo hacen y cómo defenderte
El SIM swap sigue siendo una técnica tristemente efectiva: el atacante pide un duplicado del chip en una sucursal o por vías remotas, a veces llevando documentación falsa, y así redirige llamadas y SMS a su control. Con eso pueden interceptar códigos SMS o usar recuperaciones por número. Para protegerse: pedí a la compañía que active un PIN o contraseña de portabilidad, solicitá verificaciones presenciales para cambios críticos, activá bloqueos de port-out si tu operador lo permite y usá métodos de recuperación alternativos (correo o llaves físicas). Evitá usar el número de teléfono como único método de recuperación.
8. Verificá la app oficial y evitá clones
La recomendación repetida es simple: descargá Authy (o cualquier autenticador) solo desde la tienda oficial y fijate que sea el desarrollador auténtico , Authy/Twilio, y que tenga millones de descargas y reseñas. Hay clones y apps maliciosas que imitan interfaces; instalar la versión equivocada puede facilitar el robo de tokens o datos. Para verificar: mirá el nombre del desarrollador, la URL en la ficha de la app, el sitio oficial y link de descarga en la página del servicio que quieras proteger. Si tenés dudas, buscá el nombre + 'authy twilio' y comprobá fuentes oficiales.