Google permite usar cualquier teléfono Android como llave física para autenticación en dos pasos

Toda seguridad es poca y todos estos avances los veo bien. Eso de que sea por BT evita que alguien pueda secuestrar el sistema a distancia ya que tendrías que estar muy cerca.

Pd: POLEEE

Google es de los peores en seguridad en dos pasos. Me han llegado a acceder unas cuantas veces a la cuenta de google saltando los dos pasos, que aparece en el móvil para iniciar sesión [No] - [Si] pero aun así han logrado acceder y encima te dice desde donde, que IP, navegador y la hora/día. ¿Has sido tu? hemos detectado un acceso. bla bla bla.... No se para que lo uso. Igual que el Google Autenticador que tampoco sirve para nada, me han llegado a acceder a la cuenta de Uplay y Epic varias veces con la seguridad de dos pasos activa.

Supongo que por eso han decidido meter el inicio con el Bluetooth. Ahora es cuando no tengo ningún PC con bluetooth y no uso Chrome.

mmiiqquueell escribió:Google es de los peores en seguridad en dos pasos. Me han llegado a acceder unas cuantas veces a la cuenta de google saltando los dos pasos, que aparece en el móvil para iniciar sesión [No] - [Si] pero aun así han logrado acceder y encima te dice desde donde, que IP, navegador y la hora/día. ¿Has sido tu? hemos detectado un acceso. bla bla bla.... No se para que lo uso. Igual que el Google Autenticador que tampoco sirve para nada, me han llegado a acceder a la cuenta de Uplay y Epic varias veces con la seguridad de dos pasos activa.

Supongo que por eso han decidido meter el inicio con el Bluetooth. Ahora es cuando no tengo ningún PC con bluetooth y no uso Chrome.

Mmmm... no se como te han llegado a entrar tantas veces... me parece super raro xD.

@xoj No es un sistema perfecto, cuando hice el Grado medio y la asignatura de seguridad el profesor explico que no es un sistema seguro, es posible obtener el código de confirmación o aceptar la confirmación de google sin necesidad del usuario.

La confirmación de google es solo el móvil con un SI o un NO, pero si tras unos segundos no pulsas nada te da alternativas como mail o código SMS, es fácil hackear el SMS o el mail si han llegado a la confirmación en dos pasos y buala, en el móvil queda la confirmación pero ya te han entrado y sacado lo que querían.

En el caso del autenticador es un número de seis cifras, probando aleatoriamente hay una probabilidad muy baja pero es posible hackear el autenticador y saltarse la seguridad. Que de hecho buscándolo te salen tutoriales y todo (flipo).

Igual ya dije que gracias a GOOGLE y FACEBOOK mi mail está muy comprometido y la contraseña que usaba antes también así que es normal que me haya pasado.

En fin, me han accedido a casi todo básicamente.
- Outlook: Fue el primero con autentificacion de dos pasos. Simplemente mandaba spam de viagra a todo el mundo.
- Facebook: Con lo último que ha salido no me extraña que hackearan con facilidad.
- Epic: Lograron saltarse el inicio en dos pasos y Epic no quiso hacer nada por solucionarlo así que pedí que borraran la cuenta y encima se disculparon por que me fuera. VENGA YA.
- Uplay: Lograron saltarse el inicio en dos pasos y Ubisoft bloqueo la cuenta e investigaron el problema, aun así poco después me dejaron un link para restablecer la contraseña. De todas formas me volvieron a acceder meses después nuevamente saltando la seguridad en dos pasos y el mes pasado lo volvieron hacer. Con cambiar la contraseña basta para unos meses pero eso es todo y siempre el ataque es desde diferentes IPs del mundo. Supongo van probando hasta dar con una contraseña que da por válida y luego el BOT intenta y re-intenta miles de veces.

En la cuenta de EPIC solo tenia el UDK y en Uplay solo los juegos gratuitos que han dado. Outlook me jodió bastante ya que también enviaba a empresas donde había trabajado y se molestaron y Facebook bueno, aparecían publicaciones con spam y enviaba mensajes a desconocidos con spam, seguramente links para infectar a otros.


Yo creo que la mejor seguridad seria usar el lector de huellas del Smartphone, se ha demostrado que no es imposible falsificar eso pero es más complicado. Yo que se, nada es seguro.

mmiiqquueell escribió:Google es de los peores en seguridad en dos pasos. Me han llegado a acceder unas cuantas veces a la cuenta de google saltando los dos pasos, que aparece en el móvil para iniciar sesión [No] - [Si] pero aun así han logrado acceder y encima te dice desde donde, que IP, navegador y la hora/día. ¿Has sido tu? hemos detectado un acceso. bla bla bla.... No se para que lo uso. Igual que el Google Autenticador que tampoco sirve para nada, me han llegado a acceder a la cuenta de Uplay y Epic varias veces con la seguridad de dos pasos activa.

Supongo que por eso han decidido meter el inicio con el Bluetooth. Ahora es cuando no tengo ningún PC con bluetooth y no uso Chrome.

Amigo, eso de que te llega un correo donde te dice que hay un intento de acceso y te pregunta si eres tu quiere decir que intentaron acceder con tu usuario y contraseña a la cuenta, pero no le dieron acceso al ser desde otro dispositivo o que la ip era de una localizacion demasiado lejana a la habitual. Quiere decir que no te accedieron precisamente por el tema de los dos pasos aun sabiendo tu usuario y contraseña.

Lo que deberias hacer nada mas recibir el primer correo de aviso es cambiar tu contraseña y las preguntas secretas porque estas estan comprometidas. Y si tenias una contraseña fuerte deberias revisar tu ordenador por si tienes troyanos o lo que sea (o si usas la misma contraseña en diferentes sitios, deja de hacerlo pero ya).

Los avisos de Epic es porque a los muy inutiles les robaron datos de un porron de cuentas y nos toco cambiarlas a todo dios. Google que yo sepa no tuvo un robo masivo de datos, salvo 5 millones de cuentas que aparecieron porque los passwords eran los mismos que se utilizaban en otros sitios que si fueron comprometidos.

Yo jamas he tenido ningun problema, ni conozco a nadie con problemas de que le hayan intentado entrar en la cuenta de Google (salvo obviamente casos de peña con contraseñas facilmente deducibles o que usen la misma contraseña en tropecientos sitios y alguno se viese comprometido).

@jimi Google no te avisa de nada, solo te dice (Has iniciado recientemente sesión desde Windows 10, la IP 0.0.0.0 en Rusia a las 11:31?, Si eres tu puedes estar tranquilo, si no has sido tu, pulsa aquí para restablecer tu contraseña.) Es que aunque te avise ya se te han colado y aunque siempre inicio sesión desde el mismo PC e IP google no bloquea nada. En cambio Epic y Ubi te avisan de intentos fallidos y si inicias sesión te sale la notificación en Google autenticador para que pongas el código. Igualmente teniendo ahora el Xiaomi Redmi note 7 doy la seguridad por nula, sabiendo que tres de las apps que tiene instaladas están diseñadas con la idea de obtener y enviar todos los datos del smartphone a la empresa.

No uso la misma contraseña para todo e inmediatamente la cambio si pasa, si uso la misma para ciertos sitios que me da igual si pasa algo pero otros ya no uso lo mismo, siempre voy usando contraseñas HEX que es lo más complicado de sacar. Hay la web esa que te dice si mail y pass están comprometidas y mail si, de mucho, contraseñas unas cuantas si están comprometidas pero ya no las uso, de hecho en diciembre me llego un mail cuyo titulo era mi Nombre y una de las contraseñas que usaba y el mensaje era que tenia un vídeo de mi mirando porno y que si no pagaba unos 900€ en bitcoins mandarían el video a mis contactos... Se que es falso pero la contraseña que usaba ya está allí comprometida. Las preguntas de seguridad ni idea, pongo un texto y me olvido siempre que he puesto xD, así que pongo cosas aleatorias siempre, total cuando pongo cambiar no me pide que había escrito en un inicio, solo que ponga el nombre de profesor, mascota o que se yo.

Todo lo que sea más seguridad mejor

Yo estoy super contento con la llave FIDO. Baratísima y super util!

Al que le robaron cosas teniendo la autenticación en dos pasos activa es seguramente por los permisos condecidos a aplicaciones de terceros...

mmiiqquueell escribió:@jimi Google no te avisa de nada, solo te dice (Has iniciado recientemente sesión desde Windows 10, la IP 0.0.0.0 en Rusia a las 11:31?, Si eres tu puedes estar tranquilo, si no has sido tu, pulsa aquí para restablecer tu contraseña.) Es que aunque te avise ya se te han colado y aunque siempre inicio sesión desde el mismo PC e IP google no bloquea nada. En cambio Epic y Ubi te avisan de intentos fallidos y si inicias sesión te sale la notificación en Google autenticador para que pongas el código. Igualmente teniendo ahora el Xiaomi Redmi note 7 doy la seguridad por nula, sabiendo que tres de las apps que tiene instaladas están diseñadas con la idea de obtener y enviar todos los datos del smartphone a la empresa.

No uso la misma contraseña para todo e inmediatamente la cambio si pasa, si uso la misma para ciertos sitios que me da igual si pasa algo pero otros ya no uso lo mismo, siempre voy usando contraseñas HEX que es lo más complicado de sacar. Hay la web esa que te dice si mail y pass están comprometidas y mail si, de mucho, contraseñas unas cuantas si están comprometidas pero ya no las uso, de hecho en diciembre me llego un mail cuyo titulo era mi Nombre y una de las contraseñas que usaba y el mensaje era que tenia un vídeo de mi mirando porno y que si no pagaba unos 900€ en bitcoins mandarían el video a mis contactos... Se que es falso pero la contraseña que usaba ya está allí comprometida. Las preguntas de seguridad ni idea, pongo un texto y me olvido siempre que he puesto xD, así que pongo cosas aleatorias siempre, total cuando pongo cambiar no me pide que había escrito en un inicio, solo que ponga el nombre de profesor, mascota o que se yo.

Sin ánimo de ofender. Todo lo que has ido contando es de lo más surrealista que he leído en tiempo xD

Algo estás haciendo mal. Ya sea apps en el móvil. Algún bicho en el PC, wifi del vecino etc. Pero todo lo que cuentas no es ni remotamente normal.

Un saludo

@MrElliot Es totalmente normal si te metes en sitios donde no debes. Hace años me metía en páginas llenas de virus y demás, pero de eso hace años, por ello mi mail está comprometido y todos los sitios que uso con ese mail son factibles a hackear probando y re probando diferentes contraseñas, si encima el sistema tiene agujeros de seguridad pues más fácil lo tienen. Por ello me estoy planteando eliminar el mail y hacerme uno nuevo completamente limpio.


He visto casos extremos como en una empresa donde trabajaban con el servidor lleno de virus y les daba totalmente igual, si algún virus borraba algo, copia de seguridad y a seguir. Todas las cuentas de usuarios estaban comprometidas y ojo, tenían números de cuentas bancarias y tarjetas de crédito así que... (si, hable con el jefe pero decía que no pasaba nada...) y debo decir que por obligación (trabajos) en esa empresa debía iniciar sesión en google y outlook por lo que no es de extrañar que estén afectadas las cuentas.

La de Facebook después de lo ocurrido no me extraña nada. La de Epic por el Fortnite, aunque no lo he jugado en la vida el hackeo era por el juego. Supongo que la de Uplay más de lo mismo por algún juego que tenga Ubisoft o que se yo. En Steam me han intentado acceder pero de estos que son Chats de amigos donde te dice "Hey amigo, mira está captura que he hecho URL", es totalmente falso y si le das al link ya la has cagado. El compañero al que le hackearon el Steam me aviso que ignorara todo lo que me llegara por su parte, pudo solucionarlo hablando con VALVe pero tardo meses ya que VALVe no es nada flexible en estos temas.

Por eso, nunca inicies sesión en lugares que no debas si no quieres verte en apuros.

Si funcionase sería un puntazo. Tengo un dispositivo con 7.0 o posterior, bluetooth en el PC, en el dispositivo y he añadido el dispositivo como llave de seguridad, y no funciona ni por Bluetooth ni por cable. Sabe alguien a qué puede deberse? xd

Esto es para decir, Alexa abreme la puerta o Hola Galaxy