Hace unos meses me llamó una clienta con la voz quebrada. Le habían entrado a la cuenta de Mercado Pago del local y le vaciaron el saldo del día. Cuando le pregunté si tenía doble factor, me dijo que sí, que le llegaba un código por SMS. El problema no era que no lo tuviera. El problema era cómo lo tenía.
Mirá, te lo simplifico: el SMS fue durante años la forma más común de recibir el segundo factor. Hoy ya no alcanza. Y no te lo digo por alarmista, te lo digo porque lo vi mil veces en el soporte de la fintech. Los atacantes aprendieron a interceptar mensajes, a clonar la tarjeta SIM y a convencerte por teléfono para que les pases el código. La app de autenticación corta ese camino.
Qué es una app de autenticación y por qué le gana al SMS
Una app de autenticación es una aplicación que instalás en el celular y que genera un código nuevo cada 30 segundos. Ese código no viaja por ningún lado: se calcula en tu teléfono, sin internet, sin señal, sin mensajito. Google Authenticator, Authy, Microsoft Authenticator, la que trae tu gestor de contraseñas. Todas funcionan parecido.
El SMS, en cambio, viaja por la red telefónica. Y ahí está la grieta. Según el centro de ayuda oficial de Google, el doble factor por SMS es vulnerable a ataques de intercambio de SIM y a la intercepción de mensajes. El NIST, el instituto de estándares de Estados Unidos, hace años que recomienda dejar de usar SMS para autenticación en entornos sensibles.
Traducido a tu negocio: si tu segundo factor es un SMS, alguien que logre clonar tu número puede recibir ese código en otro teléfono. Y vos ni te enterás hasta que la cuenta ya está vacía.
El caso que más me marcó con esto
Atendí a un kiosco al que le entraron a la cuenta con un comprobante trucho. El dueño tenía doble factor por SMS. Los delincuentes llamaron al operador, dijeron que había perdido el chip, pidieron un duplicado. Con el chip en mano, recibieron el código y entraron. Cuando el dueño se dio cuenta, ya habían transferido todo.
No fue un hacker de película. Fue una llamada telefónica y un trámite. Por eso insisto tanto con esto: el doble factor es el cinturón de seguridad del negocio, pero hay cinturones y cinturones. El SMS es el que se traba. La app es el que funciona.
Cómo activar la app de autenticación paso a paso
Te lo ordeno. Esto lo puede hacer la Marta de cualquier rubro sola, sin llamarme.
Primero: elegí una app. Google Authenticator o Authy son gratis y andan bien. Si ya usás un gestor de contraseñas, fijate si trae su propio autenticador y usá ese.
Segundo: entrá a la cuenta que querés proteger. Mercado Pago, el home banking, Instagram del negocio, WhatsApp Business, lo que uses para cobrar o para hablar con clientes. Buscá la sección de seguridad y la opción de doble factor.
Tercero: cuando te ofrezca elegir el método, elegí «app de autenticación» en lugar de SMS. Te va a mostrar un código QR.
Cuarto: abrí la app en el celular, tocá el botón de agregar cuenta y escaneá el QR. Listo. Ya tenés el código girando cada 30 segundos.
Quinto: guardá los códigos de respaldo. Te los va a dar la plataforma una sola vez. Imprimilos o guardalos en un lugar seguro, no en el mismo celular. Si perdés el teléfono, esos códigos son tu salvación.
Si la cuenta es de Mercado Pago, te dejo el paso a paso completo en cómo proteger Mercado Pago de un acceso no autorizado. Y si el tema es Instagram o TikTok del negocio, acá tenés el blindaje con 2FA y passkeys.
Qué cuentas proteger primero
No podés hacer todo de una. Te ordeno por prioridad.
Primero: la cuenta donde entra la plata. Mercado Pago, el banco, la billetera virtual. Si te vacían esa, se te para el negocio.
Segundo: el mail principal. Ese mail es la llave de todo lo demás. Si te lo toman, pueden resetear contraseñas de todo.
Tercero: las redes del negocio. Instagram, WhatsApp Business, Facebook. Por ahí te hablan tus clientes y por ahí estafan en tu nombre.
Cuarto: las herramientas de gestión. El sistema de facturación, el de stock, la nube donde guardás los datos de clientes.
Con esas cuatro hechas, ya estás mucho mejor parado que el 80% de las pymes que asesoro.
Las excusas que escucho siempre
«Es muy complicado.» No lo es. Son cinco pasos y una sola vez.
«A mí no me va a pasar.» Cada vez que un cliente me dice eso, anoto la fecha. Siempre vuelven. No te lo digo para asustarte, te lo digo porque lo vi mil veces.
«Pierdo el celular y no entro más.» Por eso están los códigos de respaldo. Guardalos bien y ese miedo desaparece.
«Mi equipo no va a saber usarlo.» Tu equipo ya usa el celular para todo. Escanear un QR no es más difícil que eso.
Y si ya te hackearon, qué hacés
Si sospechás que entraron a una cuenta, el orden es este.
Primero, cambiá la contraseña desde un dispositivo que sepas que está limpio. Segundo, activá la app de autenticación ahí mismo. Tercero, revisá los dispositivos conectados y cerrá todos los que no reconozcas. Cuarto, avisá a tus clientes si los datos quedaron expuestos. Quinto, si hubo plata de por medio, hacé la denuncia.
El dato del cliente es prestado, no tuyo. Si se filtró por una cuenta tuya mal protegida, la responsabilidad es del negocio.
Preguntas frecuentes
¿La app de autenticación es gratis?
Sí. Google Authenticator, Authy y Microsoft Authenticator son gratuitas. No necesitás pagar nada para tener un segundo factor mucho más seguro que el SMS.
¿Qué pasa si pierdo el celular donde tengo la app?
Por eso guardás los códigos de respaldo cuando activás el doble factor. Con esos códigos podés entrar y volver a configurar la app en un teléfono nuevo. Guardalos fuera del celular, en un lugar físico seguro.
¿Puedo tener la app en el celular del negocio y en el mío?
Sí, la mayoría de las plataformas te dejan configurar más de un método. Pero ojo: cada persona del equipo debería tener su propio acceso, no compartir el mismo. Si compartís el segundo factor, perdés el rastro de quién entró.
¿El SMS sigue sirviendo para algo?
Como respaldo de emergencia, puede servir. Como método principal, ya no. Si la plataforma te deja elegir, siempre elegí la app. El SMS queda como última opción.
¿Necesito internet para que funcione la app?
No. La app genera los códigos en el teléfono, sin conexión. Por eso es más segura: el código nunca viaja por la red.
¿Esto reemplaza a tener buenas contraseñas?
No, lo complementa. La app es el segundo factor. El primero sigue siendo una contraseña larga y distinta para cada cuenta. Si querés ordenar eso, un gestor de contraseñas gratis te resuelve la vida.
El empujón final
Esta semana, sentate 20 minutos y activá la app de autenticación en las tres cuentas más importantes del negocio. La de la plata, el mail principal y las redes. Con eso ya dormís distinto. 🔒
Cada negocio es distinto; tomá esto como guía y, ante un fraude o filtración en curso, contactá los canales oficiales y, si corresponde, hacé la denuncia.
Asesora de pymes, cinco años en el soporte de una fintech. Escribe sobre datos de clientes, antifraude y seguridad del negocio, en criollo.
Mas sobre Lucía Sandoval
Lucía trabajó cinco años en el soporte de una fintech, atendiendo a comercios que se comían fraudes, contracargos y cuentas hackeadas. Vio de todo, y vio que casi siempre se podía evitar. Ahora asesora a pymes y emprendedores para que protejan los datos de sus clientes y la plata del negocio sin volverse locos ni gastar una fortuna. No promete blindajes mágicos: enseña lo que de verdad mueve la aguja. Voz de Negocio Blindado, con asistencia de IA.
