¿Perdiste Google Authenticator? Cómo funcionan la copia de seguridad, la sincronización y la recuperación

Cuando desaparece el teléfono que tenía tus códigos de Google Authenticator, lo que pasa después depende de las decisiones que tomaste antes de perderlo. ¿Se sincronizaron los códigos? ¿Guardaste códigos de respaldo? ¿El servicio ofrece otra forma de recuperar el acceso?

Así funciona cada una de estas tres capas, qué puedes hacer si no configuraste ninguna y cómo prepararte. Los pasos exactos varían de un servicio a otro, así que este artículo explica los principios; el proceso para un sitio específico está en el centro de ayuda de ese sitio.

Qué guarda la app y por qué importa perder el teléfono

Google Authenticator guarda los secretos que tus cuentas usan para calcular los códigos y los genera en el propio teléfono. Google señala que puede hacerlo sin conexión a internet ni servicio celular. Es práctico, pero también significa que el dispositivo es donde se generan los códigos, así que perderlo es un problema, a menos que esos secretos existan en otro lugar.

Primera capa: sincronización con una Cuenta de Google

Según Google, puedes sincronizar tus códigos en todos tus dispositivos al iniciar sesión en tu Cuenta de Google, y al iniciar sesión en un dispositivo nuevo, se sincronizan automáticamente. Google indica que los códigos están cifrados tanto en tránsito como en reposo. Si usas la app sin una Cuenta de Google, los códigos se guardan solo en ese dispositivo y no están disponibles en ningún otro lugar.

Esa es la diferencia clave cuando pierdes un teléfono. Los códigos sincronizados vuelven cuando inicias sesión en un dispositivo nuevo. Los códigos que nunca se sincronizaron ni se transfirieron no se pueden recuperar desde la app, y la página de ayuda de Google indica que tendrías que visitar todos los sitios donde configuraste la app, eliminar los códigos anteriores y vincular tu nuevo dispositivo. Es posible transferirlos manualmente, pero Google dice que necesitas el dispositivo anterior, así que solo sirve mientras todavía lo tengas.

La sincronización implica una contrapartida. Tu Cuenta de Google se convierte en la forma de acceder a tus códigos, por lo que su propia protección cobra más importancia. Google recomienda inscribirse en formas adicionales de Verificación en 2 pasos y considerar las llaves de acceso. Si después de iniciar sesión parece que faltan tus códigos, Google sugiere comprobar que hayas iniciado sesión en la Cuenta de Google correcta.

Segunda capa: códigos de respaldo guardados con anticipación

Muchos servicios te dan códigos de respaldo de un solo uso o una clave de recuperación cuando activas la verificación mediante una app de autenticación. Los códigos de respaldo de Google para una Cuenta de Google tienen ocho dígitos; cada uno deja de estar activo después de usarse, y crear un conjunto nuevo desactiva el anterior. Google también indica que nunca debes compartirlos y señala que solo te pide un código de respaldo al iniciar sesión.

Las directrices de identidad digital del NIST describen estos códigos de recuperación como secretos de un solo uso que guardas por si pierdes otro autenticador. No son resistentes al phishing, así que guárdalos sin conexión, no como captura de pantalla ni en una nota en la nube. La clave de configuración que se muestra durante el registro también es un secreto, ya que quien la tenga puede generar tus códigos; así que, si la guardaste, trátala como una contraseña.

Tercera capa: el proceso de recuperación del propio servicio

Si no hay sincronización ni códigos de respaldo, solo el propio servicio puede restaurar tu acceso. Es posible que debas verificar tu identidad y esperar un tiempo. Las instrucciones de Google indican que la recuperación funciona mejor desde un dispositivo y una ubicación que sueles usar, con un correo de recuperación al que puedas acceder. También señalan que, en las cuentas con Verificación en 2 pasos, la verificación puede tardar varios días.

Otras opciones de segundo paso también sirven en este caso. Google dice que, si pierdes tu teléfono principal, puedes verificar tu identidad con otro teléfono donde hayas iniciado sesión en tu cuenta, otro número de teléfono que hayas agregado o una llave de seguridad física. Cuantas más formas de acceso independientes registres con anticipación, menos dependerás de la recuperación. El NCSC señala que los procesos de recuperación suelen ser menos seguros que el inicio de sesión y que los atacantes los buscan como objetivo; por eso, debes comenzar solo desde los canales oficiales del servicio.

Si te robaron el teléfono, no solo lo perdiste

Un teléfono robado añade un segundo problema, porque otra persona podría acceder a los códigos que contiene. Google recomienda asegurarte de que nadie más pueda acceder a los códigos y usar la opción de borrado remoto del teléfono, si está disponible. Si tus códigos están sincronizados, también puedes eliminarlos quitando el dispositivo de tu Cuenta de Google; además, Google sugiere cerrar la sesión en el teléfono perdido. Configurar un bloqueo que deba superarse antes de abrir la app, función que Google llama Pantalla de privacidad (Privacy Screen), ayuda a prevenir este problema.

Recordatorio de WEEX: solo el servicio legítimo puede restaurar el acceso

WEEX recuerda a los usuarios que cualquiera que se ofrezca a «recuperar tu Google Authenticator» y te pida un código de verificación, un código de respaldo, un código QR, una clave de configuración, una frase semilla o acceso remoto a tu dispositivo es un estafador. Usa únicamente los canales de ayuda del sitio o la app oficiales y guarda los códigos de respaldo sin conexión. Google mismo dice que nunca pide contraseñas ni códigos de verificación por correo electrónico, llamada telefónica o mensaje. Nada de lo aquí expuesto constituye asesoramiento financiero.

Conclusión

La recuperación tras perder un autenticador depende de tres capas: si los códigos se sincronizaron con una cuenta, si guardaste códigos de respaldo y qué exige el proceso de recuperación del propio servicio. Configurar al menos dos de estas opciones antes de necesitarlas convierte la pérdida del teléfono en un inconveniente en lugar de dejarte sin acceso. Además, ningún asistente legítimo te pedirá los secretos que protegen tus cuentas.

Preguntas frecuentes

1. ¿Qué pasa con mis códigos si pierdo el teléfono que tiene Google Authenticator?
Si se sincronizaron con una Cuenta de Google, volverán cuando inicies sesión en un dispositivo nuevo. Si nunca se sincronizaron ni se transfirieron, no se pueden recuperar desde la app y necesitarás códigos de respaldo o usar el proceso de recuperación del servicio.

2. ¿Puedo recuperar mis códigos sin el teléfono anterior?
Solo si se sincronizaron con una Cuenta de Google. Google dice que la transferencia manual requiere el dispositivo anterior.

3. ¿Los códigos de respaldo son lo mismo que los códigos de Google Authenticator?
No. Los códigos de respaldo son códigos de un solo uso que emite el servicio para cuando no puedes obtener el segundo paso habitual. Google indica que cada uno deja de estar activo después de usarse.

4. ¿Cuánto tarda la recuperación de una cuenta?
Depende del servicio. Google señala que, en las cuentas con Verificación en 2 pasos, puede tardar varios días.

5. ¿Un servicio legítimo me pedirá un código o código QR para recuperar mi autenticador?
No. Google dice que nunca pide códigos de respaldo, excepto al iniciar sesión, ni contraseñas o códigos de verificación por correo electrónico, llamada telefónica o mensaje.