Ha perdido el móvil y se le ha bloqueado la cuenta: ¿qué es lo que realmente le ayuda en este momento?

Ha perdido su teléfono. Se lo han robado o se le ha caído a un lago; da igual. Sigue sabiendo la contraseña de su cuenta de Google, pero Google ahora exige la autenticación de dos factores, y esa información estaba en el teléfono que ya no tiene.

Este es el momento que determina si perderá una tarde o una cuenta. La decisión en sí se tomó mucho antes, el día en que activó el inicio de sesión de dos factores.

Hemos revisado los procedimientos de recuperación de Google, Apple y Microsoft, y después los de 1Password, Bitwarden y Dashlane. Los seis se reducen a lo mismo: no se puede configurar nada a posteriori. Todas las vías de recuperación deben estar preparadas antes de que las necesite.

En nuestro artículo sobre las claves de seguridad, ocho intentos erróneos consecutivos borran todos los registros del dispositivo. Esta vez no es un dispositivo de hardware lo que se pierde. Es su bandeja de entrada.

Lo que los proveedores solicitan realmente

La opción más sencilla es la misma en los tres grandes proveedores: un segundo dispositivo en el que aún se haya iniciado sesión. Sin él, las opciones se reducen rápidamente.

Google acepta otro teléfono con sesión iniciada, un segundo número registrado, un código de seguridad, una llave de seguridad o una clave de acceso de otro dispositivo. Los códigos de seguridad son el aspecto que la gente suele subestimar. Diez de ellos, de ocho dígitos cada uno, y cada uno válido para un solo uso. Al generar un nuevo conjunto, el anterior queda invalidado de inmediato.

Apple considera el código de acceso de su iPhone como un factor de recuperación completo. Se «utiliza también para restablecer la contraseña de su cuenta de Apple y para recuperar sus datos cifrados de extremo a extremo en caso de que pierda el acceso a su cuenta». El número que introduce para desbloquear su teléfono hace mucho más que proteger la pantalla de bloqueo.

Microsoft no proporciona ningún conjunto de códigos. Se le facilita exactamente un código de recuperación de 25 dígitos, y no podrá recuperarlo más adelante: «No puede recuperar ni descargar un código de recuperación de cuenta de Microsoft ya existente».

La espera es el verdadero problema

Si no cumple el segundo requisito, tendrá que pasar por el proceso de recuperación de la cuenta. Lleva tiempo, y eso es a propósito.

Google lo cuantifica así: «Google puede tardar entre 3 y 5 días laborables en verificar que es usted quien realiza la solicitud». Añadir un nuevo número de teléfono en el último momento no sirve de nada, ya que «esos cambios pueden tardar hasta 7 días en surtir efecto».

La nueva medida de seguridad de Google presenta el mismo inconveniente. Los contactos de recuperación permiten que hasta diez personas de su confianza confirmen su identidad. El contacto dispone de siete días para aceptar, y transcurre otra semana antes de que dicho contacto pueda utilizarse. Para cuando lo necesite, ya será demasiado tarde: «No puede añadir un contacto de recuperación mientras no tenga acceso a su cuenta o se encuentre en el proceso de recuperación de la misma».

Apple no da ninguna cifra, solo «varios días o más», y responde por sí misma a la pregunta obvia que surge a continuación. «¿Se puede acortar el periodo de espera? No».

Microsoft es la excepción. El formulario de recuperación se recibe en un plazo de 24 horas, siempre y cuando el inicio de sesión de dos factores esté desactivado. Si se sustituye toda la información de seguridad de la cuenta, Microsoft la bloquea durante 30 días.

Tres trampas que casi nadie conoce

El plazo de 30 días de Microsoft solo puede acortarse con aquello que acaba de perder. La página de ayuda indica: «No podemos acelerar el proceso de 30 días a menos que cancele la solicitud». Y para cancelarla: «Necesitará tener acceso a estas pruebas de seguridad para completar la solicitud de cancelación». Si tiene activado el inicio de sesión de dos factores y ya no dispone de ninguna de las alternativas almacenadas, Microsoft le ofrece una frase que rara vez se ve en un documento de soporte técnico: «No podemos ayudarle, lo sentimos».

Apple interrumpe una recuperación en curso en el momento en que utiliza la cuenta. Sin advertencia, sin mensaje: «Si su cuenta de Apple está en uso durante su solicitud, la recuperación de su cuenta se cancelará automáticamente». Basta con que haya un iPad en el salón, en el que aún haya iniciado sesión. El único dispositivo que puede seguir utilizando es aquel en el que inició la solicitud.

La copia de seguridad de Authenticator falla precisamente en la cuenta que uno esperaría que cubriera. En el caso de las cuentas de Microsoft sin contraseña, la copia de seguridad solo contiene el nombre de la cuenta y nada más: «solo se realiza una copia de seguridad del nombre de la cuenta. Al restaurarla, tendrá que iniciar sesión de nuevo». Además, existe una restricción de plataforma: «Las cuentas de las que se ha realizado una copia de seguridad mediante un dispositivo iOS no pueden restaurarse en un dispositivo Android». Si cambia de un iPhone a un dispositivo Android, la copia de seguridad no servirá de nada.

Con los gestores de contraseñas, la situación es realmente grave

Google y Apple le permitirán volver a acceder tarde o temprano, siempre que pueda demostrarlo suficientemente. Con los gestores de contraseñas no existe tal autoridad. Los planes familiares y de equipo son la excepción, en los que un organizador o un administrador puede restablecer su acceso. Si paga por su propia cuenta, no hay nadie por encima de usted.

Bitwarden lo expresa sin rodeos: «Ni los empleados ni los sistemas de Bitwarden tienen conocimiento de su contraseña maestra, ni forma de recuperarla, ni de restablecerla». En cuanto a la pérdida del segundo factor: «Bitwarden no tiene forma alguna de recuperar la cuenta ni sus datos. Tendrá que eliminar su cuenta y crear una nueva». El código de recuperación que le salvaría se encuentra en la configuración, tras la solicitud de la contraseña maestra. Solo es de utilidad para la persona que lo haya anotado previamente.

1Password añade un malentendido muy extendido. La «clave secreta» de 34 caracteres parece un código de emergencia, pero no lo es: «Su clave secreta no es: un código de respaldo. No le permite iniciar sesión si olvida la contraseña de su cuenta de 1Password». Desde 2024 existe un código de recuperación real. Funciona más de una vez, y solo si aún puede acceder a la cuenta de correo electrónico registrada.

Dashlane es el único de los tres que le enviará por SMS códigos nuevos cuando falte el segundo factor de autenticación. Tampoco restablecerá la contraseña maestra. En su lugar, ofrece una clave de recuperación, además de recuperación biométrica en Android y iPhone.

Qué debe preparar hoy

Imprima sus códigos de seguridad. No los fotografíe ni los guarde en el gestor de contraseñas que está intentando proteger. Apple lo deja muy claro en el caso de su clave de recuperación: ni en la aplicación Contraseñas, ni en iCloud Drive, ya que «si pierde el acceso a su cuenta de Apple, no podrá abrir estas aplicaciones para encontrarla».

Configure un segundo factor de autenticación en un segundo dispositivo. Una tableta, una clave de repuesto antigua, un autenticador en su ordenador del trabajo. Que un único teléfono sea el único factor de autenticación es el error del que se derivan todos los demás, y es lo primero que le indicamos a quienes nos preguntan cómo proteger una cuenta correctamente.

Añada ahora sus contactos de confianza. Google permite diez contactos de recuperación; Apple, cinco. Ambos requieren un plazo de antelación y, en el caso de Google, eso supone dos veces siete días.

Piénselo dos veces antes de activar la clave de recuperación. Si la activa en Apple, el proceso habitual se desactiva. Si pierde la clave y sus dispositivos a partir de ese momento, «quedará bloqueado fuera de su cuenta de forma permanente».