Una contraseña sola es un secreto que se puede adivinar, repetir o robar. La verificación en varios pasos, que suele llamarse verificación en dos pasos, pide algo más antes de dejar entrar a una persona.
Este artículo explica los tipos de método, dónde suelen equivocarse los bufetes y qué comprobar antes de activarla. No promete que ningún método deje una cuenta a salvo.
El problema
El correo, el sistema de gestión de casos y el almacén de documentos contienen lo que los clientes le contaron en confianza. Una contraseña robada puede abrirlo todo si al iniciar sesión no se comprueba nada más.
Muchos bufetes activan un segundo paso en algunas cuentas y olvidan las demás, o eligen un método que una página de acceso falsa puede burlar.
Qué se sabe
No encontramos ninguna cifra independiente que pudiéramos verificar sobre cuánto reduce la verificación en varios pasos el riesgo de un bufete, y no damos ninguna.
Lo que describen los organismos de seguridad es que los métodos no son igual de fuertes. Un código enviado por mensaje de texto o por llamada, y un toque de aprobación en una aplicación, pueden ser engañados por una página falsa que los pida. Las llaves de seguridad físicas y las claves de acceso (passkeys) que siguen los estándares FIDO y WebAuthn están diseñadas para resistir eso.
Los organismos describen también un punto débil llamado fatiga de avisos: el atacante envía solicitudes de aprobación una y otra vez hasta que alguien toca que sí. Algunos sistemas lo resuelven pidiendo que la persona escriba un número que aparece en la pantalla de acceso.
Qué hacer
- Haga una lista de los sistemas que guardan información de clientes o mueven dinero: correo, gestión de casos, almacenamiento de documentos, facturación, el portal del banco, el acceso remoto y todas las consolas de administración
- Actívela para todas las personas de esos sistemas, empezando por el correo y los administradores, y no admita excepciones para socios ni personal veterano
- Elija el método más fuerte que admita cada sistema, y prefiera una llave de seguridad o una clave de acceso cuando el bufete pueda gestionarlas
- Dé a cada persona su propia cuenta, porque un acceso compartido no permite saber quién entró
- Escriba un plan de recuperación: un segundo método para cada persona, quién puede restablecer el acceso y cómo demuestra esa persona quién es
- Guarde los códigos de recuperación fuera de línea, en un lugar seguro, y no en el buzón que protegen
- Diga al personal qué hacer con un aviso que no inició: no lo apruebe y avise ese mismo día
Errores frecuentes
- Proteger el correo pero no el sistema de gestión de casos, el portal del banco ni el acceso remoto
- Dejar abiertas vías antiguas de acceso, como las contraseñas de aplicación o los protocolos heredados que se saltan el segundo paso
- Dejar que una llamada al servicio de ayuda restablezca el acceso sin comprobar de verdad quién llama
- Hacer que un código por mensaje de texto sea la única opción de todos, cuando hay métodos más fuertes
- Guardar los códigos de recuperación en la misma cuenta de correo que deben proteger
- Olvidar a los proveedores, los consultores externos y el personal temporal que tienen cuentas en los sistemas del bufete
- Activarla sin explicar al personal el motivo, de modo que aprueban todos los avisos para que dejen de salir
Qué mirar al implementarlo
- Qué métodos ofrece cada sistema y si el bufete puede exigir el mismo método a todos los usuarios
- Qué ocurre cuando alguien pierde un teléfono o una llave, y cuánto tarda en la práctica la recuperación
- Si una persona nueva queda configurada el primer día y si quien se va pierde el acceso ese mismo día
- Si los administradores pueden ver quién tiene activado el segundo paso y quién no
- Pruebe el inicio de sesión y la recuperación con una cuenta de reserva antes de exigirlo a todos
- Pregunte a su abogado si algún contrato, póliza de seguro o acuerdo con un cliente pide al bufete que la use