Los códigos del autenticador no pasan solos al móvil nuevo
Una app autenticadora genera los códigos en el propio teléfono: no hay «nube» de serie que los lleve al móvil nuevo salvo que esa app lo haga por ti. Si no lo compruebas antes, te quedas sin entrar en las cuentas que protege.
En corto: cada app autenticadora decide si hace copia de tus códigos o no. Si no la hace, esos códigos existen solo en ese teléfono. Le pasa más a quien usa una app «sencilla» pensando que es más segura por no depender de ninguna cuenta.
Qué pasa
El código de seis cifras que ves en tu app sale de un secreto que se generó la primera vez que escaneaste el QR de un servicio. Ese secreto vive en el teléfono. Si cambias de móvil y la app no lo ha guardado en ningún sitio más, el secreto se queda en el viejo. El código del móvil nuevo, si lo hay, no coincide con el que espera el servicio.
No todas las apps se comportan igual. Google Authenticator, por ejemplo, hace copia de seguridad automática si tienes la sesión de tu cuenta de Google abierta dentro de la propia app: al entrar con esa cuenta en el móvil nuevo, los códigos aparecen solos. También existe una vía manual, pensada para quien no quiere vincular una cuenta: desde el móvil viejo se exportan las cuentas elegidas a un código QR, y el móvil nuevo las importa escaneándolo. Si proteges muchas cuentas con la misma app, el propio móvil viejo puede necesitar generar más de un código QR para caber todas: hay que escanearlos todos antes de dar el traspaso por terminado. Otras apps (las que guardan copia cifrada en su propia nube) usan su cuenta o contraseña de recuperación; las que no ofrecen ninguna de las dos opciones, simplemente no se mueven, y el secreto de cada cuenta se pierde con el teléfono.
Por qué pasa
Por diseño. El estándar detrás de estos códigos (TOTP) no incluye ningún mecanismo de sincronización: eso lo añade cada app por su cuenta, o no lo añade. Cuantas más apps «minimalistas» sin cuenta ni nube existen, más fácil es elegir una pensando que es la opción más privada y descubrir después que también es la que no tiene red de seguridad. La privacidad de no depender de ninguna cuenta y la comodidad de tener copia tiran en direcciones opuestas: cada app resuelve esa tensión a su manera, y rara vez lo explica con claridad antes de que instales.
A quién le pasa más
A quien usa una app autenticadora distinta en cada cuenta sin fijarse en si hace copia, a quien desinstaló la app del móvil viejo antes de comprobar nada en el nuevo, y a quien compró el móvil nuevo para sustituir uno roto: ahí no hay «viejo» del que copiar nada. También le pasa a quien cambia de número de cuenta de Google (por ejemplo, pasa de una cuenta personal a una de trabajo) sin darse cuenta de que la copia de Google Authenticator estaba ligada a la cuenta anterior, no a la app en sí.
Qué comprobar antes de cambiar
- ¿Sabes si tu app autenticadora hace copia de seguridad en alguna cuenta o solo vive en este teléfono?
- ¿Tienes los códigos de respaldo de cada cuenta importante guardados fuera del móvil?
- ¿Conservas el móvil viejo encendido y con la app hasta confirmar que el nuevo ya tiene los códigos?
- ¿Sabes qué cuentas concretas tienen 2FA por esta app (no solo «las importantes»)?
Si ya te ha pasado
Si ya borraste el móvil viejo o lo perdiste y la app no hizo copia, no hay forma de recuperar ese secreto: tienes que entrar en cada cuenta por su vía de recuperación oficial (código de respaldo, email o teléfono de recuperación, o el proceso de soporte del propio servicio) y volver a activar la verificación en dos pasos desde cero. No hay ningún atajo seguro: desconfía de cualquier página que te pida el código antiguo o tu contraseña para «recuperarlo».
Fuentes oficiales: Google Authenticator: transferir cuentas