Hace unos meses me llamó un cliente, dueño de una ferretería, desesperado. Le habían vaciado la cuenta de Mercado Pago con una transferencia que él no hizo. Cuando le pregunté cómo tenía la verificación en dos pasos, me dijo: «Sí, con el código que me llega por SMS». Le pregunté si había cambiado de número o si le había llegado algún mensaje raro. «No, nada», me dijo. «Pero me llegó un mensaje de texto con un código que yo no pedí, y a los cinco minutos ya no tenía plata».
Eso es exactamente lo que pasa cuando usás SMS como segundo factor. El código viaja por la red de telefonía, y si alguien logra duplicar tu SIM o interceptar el mensaje, chau. No es magia negra: es un ataque viejo y conocido que se llama SIM swapping. Y no solo le pasa a un ferretero: le pasa a cualquiera que confíe en el SMS como si fuera una caja fuerte.
La solución es simple y gratis: usar una app de autenticación. Te cuento por qué y cómo hacerlo ya.
Por qué el SMS es el eslabón más débil de tu seguridad
Mirá, yo no estoy en contra del SMS como método de verificación. Para ciertas cosas, sirve. Pero para proteger las cuentas de tu negocio —donde manejás plata, datos de clientes, proveedores— es un riesgo que no vale la pena correr.
Según el centro de ayuda de Facebook, los códigos por SMS pueden ser interceptados o vulnerables a ataques de SIM swapping. Instagram lo dice igual en su ayuda oficial: la app de autenticación es el método más seguro porque los códigos se generan en tu dispositivo y no viajan por la red.
Y no son solo las redes sociales. Mercado Pago también lo aclara: la app de autenticación brinda mayor protección contra fraudes que el SMS, porque los códigos se generan localmente y no circulan por la red móvil. El Banco Nación aconseja lo mismo a sus clientes: usar apps de autenticación reduce el riesgo de interceptación y clonación de SIM.
Incluso el gobierno argentino, para la clave fiscal nivel 4, te pide usar la app Token en lugar de SMS. En su web oficial explican que los códigos de 8 dígitos que genera la app no pueden ser interceptados mediante el intercambio de SIM.
O sea, no es una opinión mía. Es lo que dicen todas las fuentes oficiales. El SMS es cómodo, sí. Pero es como poner un candado de plástico en la puerta de tu local.
Qué necesitás para arrancar (es gratis)
No necesitás comprar nada. Solo un celu y una app. Las más comunes son Google Authenticator, Authy o Microsoft Authenticator. Todas son gratis. Yo uso Authy porque además te permite tener los códigos sincronizados si cambiás de teléfono, pero con cualquiera funciona.
El paso a paso es siempre el mismo:
- Bajá la app que elijas desde la tienda oficial de tu celu.
- Andá a la configuración de seguridad de la cuenta que querés proteger (Mercado Pago, Instagram, Facebook, banco, etc.).
- Buscá la opción de «autenticación de dos factores» o «verificación en dos pasos».
- Elegí «app de autenticación» en lugar de SMS.
- Escaneá el código QR que te muestra la plataforma con la app que instalaste.
- Listo. A partir de ahora, cada vez que inicies sesión, la app te va a generar un código de 6 u 8 dígitos que cambiá cada 30 segundos.
Si tenés dudas con alguna plataforma en particular, te dejo dos guías que armé: una para la verificación en dos pasos en general y otra específica para proteger Mercado Pago.
Las tres cuentas que tenés que cambiar ya
Si no sabés por dónde arrancar, empezá por estas tres. Son las que más riesgo tienen si te roban el acceso:
- Mercado Pago / cuenta del banco: es la puerta de entrada a la plata de tu negocio. Si te la vacían, te quedás sin capital de trabajo.
- Instagram / Facebook del negocio: si te la roban, perdés la comunicación con tus clientes y pueden estafar en tu nombre. Te recomiendo leer esta guía sobre cómo proteger Instagram.
- WhatsApp Business: es el canal por donde hablás con proveedores y clientes. Si te lo roban, pueden pedir transferencias a nombre tuyo. Acá tenés cómo blindarlo paso a paso.
Una vez que tengas esas tres, seguí con el resto: mail del negocio, cuenta de AFIP/ARCA, gestor de contraseñas, etc.
FAQ: lo que siempre me preguntan
¿Y si pierdo el celular? ¿Cómo entro a mis cuentas?
Buen punto. Por eso te recomiendo que al configurar la app de autenticación, guardes los códigos de recuperación que te da la plataforma. Son un conjunto de códigos de un solo uso que podés usar si perdés el teléfono. Guardalos en un lugar seguro, no en el mismo celu. Un gestor de contraseñas es ideal para eso.
¿Puedo tener la app de autenticación en más de un teléfono?
Depende de la app. Google Authenticator no sincroniza entre dispositivos. Authy sí, si creás una cuenta. Otra opción es usar una app como 2FA que te permite hacer backup. Pero lo más seguro es tener los códigos de recuperación a mano y, si cambiás de celu, migrar la app.
¿El SMS no sirve para nada entonces?
Sí, sirve. Es mejor que no tener nada. Pero si podés elegir, la app de autenticación es mucho más segura. El SMS es como un candado de combinación que cualquiera puede abrir si tiene la combinación. La app es como una llave que solo existe en tu celu.
¿Y si uso la misma app para varias cuentas?
Exactamente para eso está hecha. Una sola app te puede generar los códigos de Mercado Pago, Instagram, Facebook, banco, etc. Todo en un mismo lugar. Eso sí: no compartas el celu con nadie que tenga acceso a esas cuentas.
¿Esto me protege de todas las estafas?
No. La app de autenticación te protege del robo de acceso por suplantación de SIM o interceptación de SMS. Pero no te protege de que te engañen para que vos mismo le des el código a un estafador (phishing). Para eso necesitás aprender a reconocer los mails trampa. La seguridad es una capa de cosas, no una sola.
El empujón de esta semana
No te pido que hagas todo hoy. Pero sí que te sientes 20 minutos y actives la app de autenticación en la cuenta de Mercado Pago o del banco. Esa sola. Después, la semana que viene, hacés Instagram. Y así.
El dato de tu cliente es prestado, no tuyo. Y la seguridad de una pyme no es cara, es ordenada. Arrancá por lo que más duele si lo perdés.
🔒
Cada negocio es distinto; tomá esto como guía y, ante un fraude o filtración en curso, contactá los canales oficiales y, si corresponde, hacé la denuncia.
Asesora de pymes, cinco años en el soporte de una fintech. Escribe sobre datos de clientes, antifraude y seguridad del negocio, en criollo.
Mas sobre Lucía Sandoval
Lucía trabajó cinco años en el soporte de una fintech, atendiendo a comercios que se comían fraudes, contracargos y cuentas hackeadas. Vio de todo, y vio que casi siempre se podía evitar. Ahora asesora a pymes y emprendedores para que protejan los datos de sus clientes y la plata del negocio sin volverse locos ni gastar una fortuna. No promete blindajes mágicos: enseña lo que de verdad mueve la aguja. Voz de Negocio Blindado, con asistencia de IA.
