Un asunto: el año pasado, un fren tuvo su contraseña de cuenta en el intercambio comprometida, pero como tenía el verificador de Google activado, el Hacker no pudo entrar. El dinero ahorrado fue suficiente para comprarle un coche.

Este es el valor de la segunda verificación: no es para que aprendas criptografía, es para que pierdas menos dinero.

Principio resumido en tres frases: al escanear, guardas una clave y el intercambio también guarda una copia; ambas partes calculan el mismo número de 6 dígitos con la misma fórmula cada 30 segundos. Se puede calcular sin conexión, por lo que es más seguro estar fuera de línea. Un hacker no tiene tu clave, no podrá obtener el código de verificación aunque calcule hasta el cansancio.

Consejos prácticos: busca un viejo teléfono, retira la tarjeta, desconecta la red, apaga el WiFi y utiliza exclusivamente para instalar el Google Authenticator. Esto se llama "aislamiento en aire", protección de nivel militar, el costo es solo un viejo dispositivo que ya no usas. Puedes probar, copiar y usar de inmediato.

No uses la verificación por SMS, el secuestro SS7 y la clonación de tarjetas SIM tienen demasiadas vulnerabilidades. Lo mismo ocurre con el correo electrónico, los ataques de fuerza bruta y el phishing son difíciles de prevenir.

Mirando hacia adelante, Passkey reemplazará gradualmente a TOTP. Utiliza criptografía asimétrica, la clave privada nunca sale de tu dispositivo, el servidor solo almacena la clave pública, así que no hay problema si se filtrara. Pero su adopción tomará algunos años más, por ahora, es suficiente usar un verificador offline.

Un viejo teléfono, ahorrando el dinero de un coche, esta cuenta cualquiera puede entenderla.