Steam Guard impide eficazmente una cosa concreta: alguien que solo tenga su contraseña no puede iniciar sesión desde un dispositivo nuevo, porque Steam también pide un código que llega a su correo electrónico o a su teléfono. El autenticador móvil de Steam Guard añade una segunda función: confirmar intercambios y anuncios del mercado en su teléfono. Lo que Steam Guard no puede impedir es que usted apruebe un inicio de sesión o un intercambio preparado por un estafador, ni detener a un atacante que ya controle su correo electrónico o un equipo en el que haya iniciado sesión.
Qué es Steam Guard, explicado de forma sencilla
Steam Guard es una segunda capa de protección que se añade a su contraseña. Soporte de Steam describe dos formas de utilizarlo: códigos enviados por correo electrónico, o códigos y aprobaciones desde la aplicación Steam Mobile, mediante lo que Steam llama el autenticador móvil de Steam Guard. En ambos casos, la comprobación se activa cuando alguien inicia sesión desde un dispositivo que Steam no reconoce. Steam recuerda los equipos o navegadores que ya han superado la comprobación, por eso no le pide un código todos los días.
Steam Guard por correo electrónico suele estar activado de forma predeterminada una vez que se ha verificado su dirección de correo electrónico y se ha reiniciado Steam dos veces. El autenticador móvil debe añadirlo usted, y Steam permite un solo autenticador por cuenta a la vez.
Códigos por correo electrónico frente al autenticador móvil
Códigos por correo electrónico
Con Steam Guard por correo electrónico, un inicio de sesión desde un dispositivo nuevo provoca el envío de un código a la dirección vinculada a su cuenta. Solo funciona el código más reciente. La protección depende por completo de la seguridad de esa bandeja de entrada: si alguien puede leer su correo electrónico, también puede leer sus códigos de Steam Guard. Soporte de Steam señala que una cuenta de correo electrónico comprometida es una de las vías habituales por las que se roban cuentas protegidas por Steam Guard.
El autenticador móvil
La aplicación genera un código que cambia cada 30 segundos y solo se puede utilizar una vez. Con el autenticador activado, Steam ofrece tres formas de confirmar un inicio de sesión: escanear un código QR con la aplicación, aprobar una notificación en su teléfono o introducir el código que aparece en "Mostrar el código de Steam Guard". La pantalla de aprobación mediante QR muestra un mapa y la ubicación aproximada del dispositivo que está iniciando sesión, una comprobación útil antes de tocar cualquier opción.
Con el autenticador activado, un inicio de sesión desde un dispositivo nuevo requiere su teléfono, en lugar de un código de su bandeja de entrada. El correo electrónico sigue siendo importante, porque Steam incluye el correo comprometido entre las principales vías de robo de cuentas y porque está vinculado al restablecimiento de contraseñas. La contrapartida es que perder el teléfono se convierte en el riesgo principal, por eso es importante el código de recuperación que Steam muestra durante la configuración. Si ya le ha ocurrido, encontrará los pasos para recuperar el acceso en qué hacer tras perder el teléfono que tiene Steam Guard.
Confirmaciones de intercambios y del mercado: la parte que suele pasarse por alto
El autenticador hace más que proteger el acceso. Los intercambios y los anuncios del mercado de la comunidad se confirman en la aplicación Steam Mobile, por lo que alguien que acceda a su cuenta todavía tendrá que superar la comprobación en su teléfono antes de que salgan los artículos.
Sin el autenticador, Soporte de Steam indica que los artículos que salen de la cuenta pueden quedar retenidos hasta 15 días, lo que da al titular tiempo para cancelar un intercambio que no haya realizado. Encontrará más información en por qué Steam retiene los intercambios después de un cambio de seguridad.
Qué se puede y qué no se puede hacer con una contraseña robada
- Sin Steam Guard: la contraseña es la única barrera. Quien la tenga puede iniciar sesión desde cualquier lugar.
- Steam Guard por correo electrónico: una contraseña por sí sola no basta en un dispositivo nuevo, salvo que el atacante también tenga acceso a su correo electrónico o utilice un equipo que usted ya haya autorizado.
- Autenticador móvil: una contraseña por sí sola no basta para iniciar sesión en un dispositivo nuevo ni para confirmar intercambios, salvo que usted apruebe la solicitud.
Un código de Steam Guard que usted no haya solicitado debe tomarse en serio. Los códigos para dispositivos nuevos se generan cuando alguien introduce la contraseña correcta, por lo que recibir un código inesperado suele significar que alguien conoce su contraseña. Cámbiela y nunca comparta el código con nadie.
Qué no puede impedir Steam Guard
Todas las protecciones anteriores parten de que es usted quien aprueba la solicitud y revisa lo que está aprobando. La mayoría de los robos de cuentas ocurren en ese momento.
- Aprobar un inicio de sesión mediante suplantación de identidad (phishing). Una página falsa de inicio de sesión o una solicitud para escanear un código QR que usted no haya iniciado pueden proporcionar al atacante un inicio de sesión válido que usted mismo haya aprobado. Steam Guard ha hecho lo que se le indicó. La pantalla de aprobación mediante QR muestra un mapa y la ubicación aproximada del dispositivo que inicia sesión, y esa es su última comprobación.
- Redirección de intercambios y uso indebido de claves de API. Soporte de Steam describe una estafa en la que alguien que ya tiene acceso a su cuenta cancela un intercambio que usted ha preparado y lo vuelve a enviar a una cuenta de apariencia similar, con la esperanza de que lo confirme en su teléfono sin leer los detalles. Steam lo llama redirección de intercambios; algunos usuarios lo llaman "estafa de la API". Steam señala que la clave no es estrictamente necesaria para esto, por lo que revocarla es solo una parte de la solución. Encontrará los detalles en cómo funciona la estafa de la clave de API de Steam y cómo revocar una clave.
- Un correo electrónico o un equipo comprometidos. Soporte de Steam menciona el software malicioso en un equipo ya autorizado y una cuenta de correo electrónico comprometida como formas de eludir Steam Guard. Un dispositivo que Steam recuerda no pide un código nuevo.
- Ingeniería social. Soporte de Steam nunca le pedirá su contraseña ni sus códigos de Steam Guard, y Valve indica que nunca debe facilitar a nadie un código SMS de recuperación o eliminación. Steam Guard no puede distinguir entre un código que usted introduce en Steam y uno que le comunica a un desconocido en un chat.
Las propias páginas de Valve explican esto en las preguntas frecuentes sobre Steam Guard y las preguntas frecuentes sobre el autenticador móvil de Soporte de Steam.
Qué hacer a continuación
Si solo tiene Steam Guard por correo electrónico, considere pasarse al autenticador móvil de Steam Guard y anotar el código de recuperación en papel. Después, proteja la dirección de correo electrónico vinculada a Steam, porque sigue siendo la vía para restablecer contraseñas. Acostúmbrese a leer la pantalla de aprobación, ya muestre la ubicación de un inicio de sesión o la otra parte de un intercambio y la lista de artículos, antes de pulsar la opción de confirmar. Para revisar todos los ajustes de una vez, siga la lista de comprobación de seguridad de la cuenta de Steam. Los menús y las opciones cambian con el tiempo, así que compruebe los ajustes actuales de su cuenta a medida que avance.