Teléfono robado con una app de autenticación: qué proteger primero

Un teléfono robado plantea un problema distinto al de uno perdido. Si pierdes el teléfono, la pregunta es cómo volver a acceder; si te lo roban, la pregunta es si alguien más podrá acceder antes que tú.

Esto es lo que debes proteger y en qué orden: el teléfono y tu número telefónico, las cuentas que se pueden restablecer desde ese teléfono y, después, los códigos de autenticación y las formas de recuperar el acceso. Los pasos exactos varían según el dispositivo, el operador y el servicio, así que este artículo explica las prioridades; las páginas de ayuda de cada proveedor contienen los detalles.

Por qué un teléfono robado es más riesgoso que uno perdido

Un código de autenticación es solo un segundo paso, pero un ladrón que tiene el teléfono podría tener acceso a más cosas. El NCSC señala que alguien que tiene el dispositivo y conoce o puede adivinar su código de acceso quizá pueda ver y exportar las credenciales guardadas. Esto es más probable si esa persona vio cómo se ingresaba el código o ya conoce al propietario. Si hay contraseñas guardadas en el teléfono o la cuenta de correo electrónico está abierta en él, los códigos completan el panorama.

El número de teléfono es otro punto débil. CISA y el FBI dicen que los mensajes de texto no están cifrados y que los SMS no son resistentes al phishing. La Comisión Federal de Comercio de EE. UU. advierte que la verificación por mensaje de texto quizá no impida un intercambio de SIM, en el que un delincuente transfiere tu número a una SIM que controla. Un teléfono o una SIM robados pueden recibir códigos destinados a ti.

Primero: bloquea o borra el teléfono y llama a tu operador

Si puedes, bloquea o borra el teléfono de forma remota con la función de localización del dispositivo que incluye. Las instrucciones de Google para un teléfono perdido o robado con Authenticator indican que debes asegurarte de que otras personas no puedan acceder a los códigos, usando la opción de borrado remoto, y cerrar la sesión en el teléfono.

Después, comunícate de inmediato con tu operador móvil. La Comisión Federal de Comunicaciones de EE. UU. recomienda reportar el robo de inmediato, darle al operador el número IMEI del teléfono para que pueda desactivar el dispositivo y pedir una confirmación por escrito del reporte. También señala que quizá se requiera una denuncia policial y que podrías ser responsable de los cargos realizados antes de reportar el robo. Pregúntale al operador si ofrece protección contra cambios de SIM no autorizados y, si es así, configura un PIN o una contraseña en tu cuenta, como sugiere la FTC.

Segundo: protege tu correo electrónico y las cuentas que se pueden restablecer desde el teléfono

Desde otro dispositivo, empieza por tu correo electrónico, ya que muchas cuentas se pueden restablecer mediante este. CISA recomienda dar prioridad al correo electrónico y a las cuentas financieras. La FCC dice que, si no puedes bloquear el teléfono robado, debes cambiar las contraseñas del correo electrónico, las cuentas bancarias y las redes sociales a las que accediste desde él.

También quita el teléfono robado de tus cuentas principales. Google recomienda cerrar la sesión en el teléfono perdido o robado y señala que, si tus códigos están sincronizados con una Cuenta de Google, puedes quitarlos eliminando el dispositivo de la cuenta. Ten cuidado con los restablecimientos por mensaje de texto en cualquier cuenta que use tu número de teléfono y, cuando la situación se calme, planea cambiar esas cuentas a un método más seguro.

Tercero: ocúpate de los códigos y de cómo recuperar el acceso

Si tus códigos de autenticación no estaban sincronizados, Google dice que tendrás que visitar cada sitio donde los configuraste, quitar los códigos anteriores y vincular un dispositivo nuevo. Hazlo primero con las cuentas más valiosas, usando los códigos de respaldo que hayas guardado o el proceso de recuperación del propio servicio. NIST espera que los servicios ofrezcan una forma de invalidar un autenticador perdido o robado una vez que lo reportes.

La recuperación de cuentas también puede ser un objetivo. El NCSC señala que los atacantes se enfocan en la recuperación de cuentas porque suele ser menos segura que el inicio de sesión, así que empieza únicamente desde los canales oficiales del servicio. Que te roben el teléfono no cambia la regla básica: ningún equipo de soporte legítimo necesita que le des tu código de verificación, código de respaldo, código QR o clave de configuración.

Después: revisa si hubo daños y prepárate para la próxima vez

Cuando tus cuentas principales estén protegidas, revisa su actividad reciente y las sesiones activas, y cambia las contraseñas que hayas reutilizado. Si tenías una app de billetera de autocustodia en el teléfono, recuerda que la frase semilla de una billetera es distinta de los códigos de autenticación. Si es posible que alguien haya accedido al teléfono o a la copia de respaldo de la frase semilla, considera eso como un asunto de seguridad de la billetera por separado.

La mejor protección se configura con anticipación. Usa un código de acceso seguro en vez de un PIN corto y activa un bloqueo que deba superarse antes de abrir la app de autenticación, función que Google llama Privacy Screen. Guarda los códigos de respaldo sin conexión, sincroniza tus códigos con una cuenta que protejas bien, registra más de un segundo factor y anota el número IMEI de tu teléfono en un lugar seguro.

Recordatorio de WEEX: ignora los enlaces que dicen “encontramos tu teléfono”

WEEX recuerda a los usuarios que los estafadores podrían enviar mensajes diciendo que encontraron tu teléfono u ofrecer desbloquearlo o recuperar tu autenticador, a menudo con un enlace a una página de inicio de sesión falsa. Comunícate con las empresas únicamente a través de números y sitios que ya conozcas, como aconseja la FTC, y nunca compartas con nadie un código de verificación, código de respaldo, código QR, clave de configuración o frase semilla. Nada de lo aquí expuesto constituye asesoramiento financiero.

Conclusión

Cuando te roban un teléfono con una app de autenticación, el orden importa: bloquea o borra el teléfono y llama a tu operador; protege tu correo electrónico y las cuentas que se pueden restablecer desde el teléfono; después, reemplaza los códigos y los métodos de recuperación de tus cuentas más importantes. Un código de acceso seguro, un bloqueo en la app, códigos sincronizados y códigos de respaldo guardados sin conexión harán que el próximo robo tenga consecuencias mucho menos graves.

Preguntas frecuentes

1. ¿Qué debo hacer primero si me roban el teléfono con una app de autenticación?
Bloquea o borra el teléfono si puedes, comunícate con tu operador y luego protege tu correo electrónico y tus cuentas importantes desde otro dispositivo.

2. ¿Puede un ladrón usar mis códigos de autenticación?
Los códigos son solo un segundo paso, pero un ladrón que tenga el teléfono y conozca un código de acceso débil, o encuentre contraseñas guardadas, podría avanzar más. El NCSC señala que, en ese caso, las credenciales guardadas podrían quedar expuestas, y Privacy Screen de Google agrega una verificación con PIN o biométrica antes de abrir la app.

3. ¿Debo llamar a mi operador aunque haya bloqueado el teléfono?
Sí. La FCC recomienda reportar el robo, pedirle al operador que desactive el dispositivo y obtener una confirmación por escrito. Pregunta si ofrece protección contra cambios de SIM no autorizados.

4. ¿Los códigos por mensaje de texto son más seguros o más riesgosos después de un robo?
Son más riesgosos. CISA dice que los SMS no están cifrados ni son resistentes al phishing, y la FTC dice que la verificación por mensaje de texto quizá no impida un intercambio de SIM. Planea cambiar las cuentas importantes a un método más seguro.

5. ¿Tengo que cambiar mis contraseñas?
Sí, cambia las contraseñas del correo electrónico, las cuentas bancarias y otras cuentas a las que accediste desde el teléfono. Hazlo desde otro dispositivo. La FCC lo recomienda si no puedes bloquear el teléfono robado, y lo más sensato es empezar por el correo electrónico.