8Más allá de este parche: cómo blindar tu banca online con doble factor y gestor de contraseñas
Actualizar el sistema cierra la brecha concreta, pero no blinda la cuenta si las credenciales siguen siendo un secreto compartido que puede robarse con un phishing o con la lectura de la memoria del equipo. Para eso está la autenticación en dos pasos, obligatoria en la banca online española desde la directiva PSD2, aunque no todas las segundas capas son igual de sólidas. Los códigos por SMS siguen siendo el método más extendido y son vulnerables a la intercepción mediante duplicado de SIM o al engaño en tiempo real. Cuando el banco lo permita, conviene subir de nivel: aplicación de autenticación o, mejor aún, passkey basada en el estándar FIDO2, que ata el acceso al dispositivo con huella o reconocimiento facial y no puede reenviarse ni capturarse en una web falsa. El organismo alemán BSI recomienda activar el doble factor en toda cuenta donde haya datos de pago guardados, no solo en la banca.
El segundo pilar es la contraseña. Debe ser única por servicio y de al menos 12 caracteres, algo inabordable de memorizar entre las decenas de cuentas que acumulamos, y ahí el gestor de contraseñas cumple una doble función: generar claves robustas y guardarlas cifradas bajo una única contraseña maestra. Ese cofre hay que protegerlo con el propio doble factor y activar el cierre automático de sesión. En el mercado conviven opciones gratuitas o de bajo coste, como Bitwarden —código abierto, con un plan premium cercano al euro al mes— o Proton Pass, y de pago como 1Password, que ronda los 36 dólares anuales para un usuario. Ninguna sirve de nada si se reutiliza la misma clave en varios sitios: es precisamente la puerta que aprovechan los atacantes para probar en cadena una filtración hasta dar con la cuenta bancaria.
