Alguien cambia de teléfono, lo restablece o simplemente elimina la aplicación de autenticación mientras hace limpieza. Su contraseña sigue funcionando, pero ha perdido el segundo factor y no puede entrar en el correo. El bloqueo por 2FA en el webmail es una de las solicitudes de soporte más frecuentes en cualquier organización que se tome en serio la seguridad, y resulta completamente previsible.
En esta página explicamos cómo resolverlo, por qué la recuperación debe ser deliberada y no automática, y qué preparativos convierten una tarde de trabajo en una gestión de dos minutos.
Por qué ocurre con tanta frecuencia
La autenticación de dos factores se configura una vez y en un solo dispositivo, cuando la persona piensa en acceder al correo y no en lo que ocurrirá si el dispositivo desaparece.
Se ofrecen códigos de recuperación y normalmente se ignoran porque en ese momento parecen una tarea adicional. Los teléfonos se sustituyen aproximadamente cada tres años y, salvo que la aplicación de autenticación se haya respaldado o migrado de forma consciente, los códigos no pasan al nuevo dispositivo. Un bloqueo por 2FA no indica que alguien haya cometido un error: es una consecuencia previsible del ciclo de vida de los dispositivos.
Conviene recordarlo cuando suceda, porque la persona bloqueada suele sentirse culpable sin tener motivo.
Las dos formas de recuperar el acceso
Solo existen dos, y únicamente la primera puede realizarla el propio usuario.
Utilizar un código de recuperación. Estos códigos se generan al activar la 2FA y permiten recuperar el acceso sin ayuda. El usuario entra con su contraseña, introduce un código de recuperación en lugar del código de la aplicación y después elimina el segundo factor anterior y registra un dispositivo nuevo desde la configuración del webmail. No interviene ningún administrador.
Contactar con nosotros. Si tampoco quedan códigos de recuperación, debemos eliminar el segundo factor desde nuestro lado. Es una actuación de soporte, no una opción del panel, y deliberadamente no funciona como autoservicio. Si el propietario de una cuenta pudiera retirar en silencio la 2FA de cualquier buzón, sería un objetivo más valioso que el propio buzón.
Conviene aclarar qué permite el panel del cliente, porque puede parecer que debería resolver el problema. La página de seguridad de buzones muestra si está activa la autenticación de dos factores y cuándo se confirmó, y permite cambiar la contraseña del buzón. No permite eliminar el segundo factor. Cambiar la contraseña no resuelve un bloqueo por 2FA, porque la contraseña nunca fue el obstáculo.
Sea cual sea el método utilizado para eliminar el factor, el usuario debe volver a activarlo inmediatamente, no «más tarde». Un buzón que acaba de sufrir un bloqueo por 2FA y ahora solo está protegido por una contraseña es precisamente el que menos conviene dejar así.
Confirma con quién estás hablando
Antes de solicitar en nombre de otra persona que se resuelva un bloqueo por 2FA, confirma que la petición es auténtica. Es el paso que suele omitirse y el que realmente importa.
Desde el punto de vista de un atacante, conseguir que un compañero pida la eliminación del segundo factor de alguien es una de las acciones más útiles. La solicitud llega por correo o chat, parece rutinaria y se reenvía porque quien la envió parecía saber de qué hablaba.
Verifica la identidad por otro canal. Si la petición llegó por correo, llama a la persona. Si llegó por chat, pregunta algo que un impostor no sabría o confírmalo en persona. La comprobación requiere un minuto. Que la actuación final corresponda al equipo de soporte es una segunda capa de seguridad, no una razón para omitir la primera.
Extrema la atención cuando la solicitud sea urgente, tenga un tono de disculpa y muestre cierto nerviosismo. Así se presenta un bloqueo por 2FA auténtico, pero también se prepara un intento de ingeniería social, porque la urgencia reduce las comprobaciones.
Prepáralo para que resulte trivial
Tres medidas pequeñas convierten un incidente en una gestión rutinaria.
Incluye los códigos de recuperación en la activación. No los trates como un extra opcional para después. Deben formar parte de la misma conversación y tener un lugar concreto donde guardarse. Un gestor de contraseñas es la opción evidente, aunque imprimirlos también resulta perfectamente razonable.
Recomienda registrar un segundo dispositivo cuando tenga sentido. Una tableta u otro teléfono convierte la pérdida de un dispositivo en una molestia, no en un bloqueo.
Documenta el procedimiento de escalado. Cuando se produzca un bloqueo por 2FA, el usuario debe saber a quién avisar y esa persona debe conocer que la solución pasa por soporte, no por el panel. Descubrirlo durante el incidente puede consumir toda una tarde.
Nada de esto evita los bloqueos ni pretende hacerlo. Reduce el coste de resolverlos. Los códigos de recuperación son el único elemento que convierte una solicitud de soporte en una solución de autoservicio de dos minutos, por lo que merecen más insistencia de la que suelen recibir.
Dos casos que solo parecen bloqueos
Hay dos situaciones que el usuario percibe de la misma forma, pero requieren respuestas completamente distintas.
La aplicación funciona, pero rechaza los códigos. Normalmente se debe a un desfase del reloj. Los códigos temporales definidos en RFC 6238 dependen de que la hora del dispositivo sea aproximadamente correcta. Un teléfono con más de un minuto de desfase genera códigos que fallan. Activar la sincronización automática de la hora resuelve el problema sin restablecer nada.
Se está utilizando la cuenta equivocada. Quienes tienen varias direcciones a veces registran una e intentan entrar en otra, o eligen una entrada incorrecta en la aplicación de autenticación. Compruébalo antes de restablecer nada.
También puede ocurrir que el usuario intente iniciar sesión en un lugar completamente equivocado. Los usuarios de buzones entran por el acceso al webmail, no por el panel de la cuenta. Una contraseña válida en uno no funcionará en el otro, lo que parece un fallo misterioso en lugar de uno evidente.
Si debe exigirse o no
Como los bloqueos son el coste asociado, resulta razonable preguntar si la ventaja compensa.
Para cualquier buzón que reciba restablecimientos de contraseña de otros servicios, es decir, casi todos, la respuesta es claramente afirmativa. La cuenta de correo es la vía de recuperación del resto de servicios y, por tanto, la que más merece protección. Resolver un bloqueo por 2FA con un código de recuperación es un precio pequeño frente a un buzón comprometido.
La situación realmente incómoda son las direcciones operativas compartidas que utilizan varias personas. La solución no consiste en omitir el segundo factor, sino en eliminar el acceso compartido y utilizar un buzón compartido con miembros, para que cada persona se autentique con su propia cuenta.
El mismo principio se aplica a la activación: la credencial debe pertenecer a una persona. Por eso las invitaciones permiten que cada usuario elija la suya y los administradores nunca necesitan conocerla, como explicamos en la configuración de buzones sin compartir contraseñas.
