Autenticación de dos factores

La autenticación de dos factores (2FA) es un método de seguridad que, al iniciar sesión, verifica la identidad con otro factor de un tipo distinto además de la contraseña (factor de conocimiento). Los factores se clasifican en tres tipos. Son el factor de conocimiento (contraseña, PIN), el factor de posesión (smartphone, llave de seguridad) y el factor biométrico (huella dactilar, reconocimiento facial). Al combinar dos tipos distintos, se puede impedir el acceso no autorizado aunque se filtre uno de ellos.

El código QR simplificó de forma drástica la implantación de la autenticación de dos factores. En el método TOTP (contraseña de un solo uso basada en el tiempo), el servicio muestra la clave secreta como código QR, y basta con que el usuario la escanee con una aplicación como Google Authenticator para completar la configuración. Al dejar de ser necesario introducir a mano una clave secreta de 32 caracteres, incluso quienes no tienen conocimientos técnicos pueden activar la 2FA.

Los códigos QR también se usan en el propio flujo de autenticación. Al iniciar sesión en la versión para PC de LINE o WhatsApp, se puede entrar sin introducir la contraseña escaneando con el smartphone el código QR que aparece en la pantalla del PC. Es un mecanismo que usa la posesión del smartphone como factor de autenticación.

Sin embargo, la autenticación con códigos QR también tiene riesgos. Se ha informado del "phishing con código QR (quishing)", en el que el atacante muestra un código QR de inicio de sesión falso, hace que la víctima lo escanee y se apodera de la autenticación. Es importante tener el hábito de confirmar, antes de escanear un código QR, que lo muestra un servicio de confianza.