La respuesta breve
Un código de verificación es una llave, no un recordatorio de contraseña. Existe para que la persona que inicia sesión pueda demostrar que es el titular de la cuenta. Cuando alguien a quien tú no has contactado te pide que compartas ese código, la petición va dirigida a entrar en tu cuenta, por muy amable u oficial que suene quien llama.
Los códigos de verificación de cuenta están pensados para el proceso de autenticación del propio titular. Fuente
Ese único hecho resuelve la mayor parte de la decisión. Nunca necesitas entregar un código de acceso a quien llama, porque el código no es para quien llama. Es para la pantalla de inicio de sesión que tienes delante.
Tres situaciones que parecen iguales pero no lo son
La confusión suele venir de mezclar tres momentos distintos: un inicio de sesión que tú empezaste, un código que otra persona quiere y una comprobación de quién llama realmente. Cada uno exige una acción diferente.
| Situación | Qué está pasando | Qué hacer |
|---|---|---|
| Abriste un inicio de sesión o una app y llega un código para terminarlo | Tú eres quien inicia sesión y el código completa tu propia acción | Introduce el código en la pantalla que abriste. No lo reenvíes a nadie más |
| Un desconocido te pide que leas o envíes un código | Otra persona intenta completar un inicio de sesión como si fueras tú | No lo compartas. Corta la comunicación |
| Quieres confirmar que quien llama es genuino | Necesitas un canal en el que ya confíes, no el número de quien llama | Cuelga y contacta con la organización a través de un canal conocido |
La fila central es la que más importa. El código solo es útil para alguien que intenta iniciar sesión, así que una petición del mismo es una petición de acceso.
Los estafadores pueden hacerse pasar por una organización de confianza y pedir el código para obtener acceso a la cuenta. Fuente
Por qué el número de quien llama no lo resuelve
Quien llama puede decir que es de un banco, del equipo de soporte de una plataforma o de cualquier organización con la que trates. La identificación de llamada, un número de referencia o un tono tranquilo no demuestran quién está al otro lado. Lo seguro es dejar de usar el canal que controla quien llama y pasar a uno que hayas elegido tú.
La FTC recomienda poner fin al contacto no solicitado y llamar a la organización de forma independiente usando un extracto o un contacto de la app en el que confíes, no el número que te haya dado quien llama. Fuente
Esta es la parte que la gente se salta. Colgar no basta si después llamas al número que te dio quien llama, porque eso te devuelve a la misma persona. Usa una vía de contacto que ya tuvieras: un extracto, una app, un contacto guardado o una página oficial a la que accedas tú mismo.
Una lista de comprobación para seguir en el momento
- Pausa la conversación. No confirmes, niegues ni leas nada mientras quien llama sigue hablando.
- Pregúntate quién inició el inicio de sesión. Si no abriste un inicio de sesión, no debería estar llegando ningún código a nadie.
- Corta el contacto no solicitado. No le debes una explicación a un desconocido.
- No uses el número de quien llama. Busca la organización a través de un canal en el que ya confíes.
- Contacta tú mismo con la organización y pregunta si hay algún problema real con tu cuenta.
- Si llega un código que no pediste, trátalo como una señal de que alguien intentó iniciar sesión y plantéalo por ese canal de confianza.
El paso 6 merece separarse del resto. Un código que no pediste no es prueba de una brecha, pero es motivo para comprobar a través de una vía que tú controles y no a través de quien llama.
Caminos equivocados que debes evitar
- «Solo confirmo los primeros dígitos». Un código parcial sigue siendo parte de la llave. No compartas ninguna parte.
- «Llamé al número que me dieron y me confirmaron que era real». Ese número lleva de vuelta a la misma persona. No prueba nada.
- «Quien llamaba ya sabía mi nombre, así que debe ser genuino». Conocer detalles sobre ti no es prueba de identidad, ni es motivo para compartir un código.
- «Lo comparto ahora y cambio la contraseña después». En cuanto otra persona completa un inicio de sesión, la situación ya ha cambiado. Detente antes de compartir, no después.
Ninguno de estos caminos requiere que sepas cómo funcionan los menús de una plataforma concreta. La decisión se toma antes de que importe ningún menú: el código es para el titular de la cuenta, y un desconocido que llama no es el titular de la cuenta.
Lo que esta guía no cubre
Algunas organizaciones usan sus propios procesos de confirmación cuando eres tú quien contacta primero. No son lo mismo que un código de acceso que llega para un inicio de sesión que tú no empezaste, y esta guía no trata cada paso de confirmación de soporte como un código de acceso. La regla aquí es estrecha a propósito: un código para iniciar sesión se queda con quien inicia sesión.
Esta página tampoco cubre la limpieza de una cuenta después de un susto, el cambio de ajustes ni la comprobación de si un perfil es real. Esas son tareas aparte.
Un siguiente paso útil
La llamada suele venir con una historia: un mensaje, un perfil de redes sociales o una cuenta de soporte que dice ser oficial. Si quieres examinar esa afirmación en lugar de la llamada telefónica, la siguiente tarea es comprobar si una cuenta de soporte es genuina. Nuestra guía sobre cómo comprobar cuentas falsas de soporte en redes sociales explica esa cuestión por separado.
Una búsqueda de nombre de usuario puede ser un punto de partida cuando estás examinando un perfil que te contactó, pero una coincidencia pública es una pista, no una prueba de quién está detrás. Trátala como algo que hay que verificar, no como una confirmación.