BBVA, poca seguridad para acceder a las cuentas.

BBVA sigue accediendo con el DNI y una clave de 6 caracteres​

La entrada a la cuenta de BBVA se protege con dos datos: el NIF del titular y una contraseña de seis caracteres alfanuméricos. Eso es todo. La seguridad de acceso a la banca online de BBVA se sostiene sobre esa combinación, la misma que hace una década, y quienes la usan a diario lo describen sin rodeos: pobre para una entidad de su tamaño. La clave del asunto no es operar, es entrar.

¿Qué seguridad exige BBVA para acceder a la cuenta?​

El acceso al canal online de BBVA se resuelve con el NIF del usuario y una contraseña de seis caracteres alfanuméricos. No es un caso aislado en la banca española, pero sí especialmente llamativo por el volumen de la entidad. En otros bancos el patrón es idéntico o peor: Openbank pide el DNI y cuatro números, y en Banco Sabadell el acceso funciona con cuatro dígitos, como un PIN.

El NIF no es secreto. Está en cualquier base de datos filtrada, en una nómina o en un contrato. Así que el único factor real de protección es esa clave corta. A partir de ahí, todo depende de que nadie haya reutilizado la contraseña ni haya picado en una web falsa.

¿Cuánto tarda en descifrarse una contraseña de 6 caracteres?​

Si un atacante consigue la base de datos de usuarios y contraseñas, la clave de seis caracteres deja de ser un obstáculo. El análisis técnico que circula es tajante: con los hash en la mano, un ataque de diccionario o de fuerza bruta las deja al descubierto. Hay quien arriesga incluso una semana para el conjunto completo de la clientela, y admite que probablemente sea menos. Un alfanumérico de seis caracteres es MUY débil, en palabras del propio análisis. La única barrera que quedaría sería la doble autenticación y ahí empieza la siguiente grieta.

La contraseña «cifrada de forma irreversible» que el banco pide a trozos​

BBVA asegura en su web que nunca guarda las contraseñas en claro y que estas se cifran de forma irreversible. Pero la misma página explica que, cuando el cliente llama al Contact Center, se le pedirán dos posiciones aleatorias de su clave, nunca la clave completa. La pregunta se cae por su propio peso: ¿cómo se validan dos posiciones sueltas de una contraseña que, en teoría, no está almacenada legible? Para responder hace falta poder reconstruirla.

A ese desajuste se suma el retrato interno que dejan quienes han trabajado con la entidad: parte de las comunicaciones al cliente —correos, PDFs, avisos— se ha hecho históricamente con herramientas antiguas y plantillas reescritas a mano cada vez que había que cambiar algo. Y sobre la subcontratación pesan dos lecturas opuestas: hay quien sostiene que encadenar filiales y consultoras multiplica los accesos a datos sensibles, mientras que enfrente se argumenta que un empleado propio con privilegios conoce todavía mejor los puntos débiles.

Dos estafas de miles de euros y un banco que se desentiende​

Los casos concretos que salpican el asunto son de dinero real. A una clienta le robaron unos 4.000 euros; acabó en juicio porque el banco no quiso responder de primeras. A otro cliente le estafaron 3.000 euros mediante un SMS y la entidad, según su testimonio, se lavó las manos. Otros relatos hablan de mensajes que suplantan a BBVA y se cuelan en la misma conversación que los SMS auténticos, hasta el punto de que ya no se distingue cuál es cuál. Un participante menciona, además, un tirón de orejas de la Agencia Española de Protección de Datos a la entidad.

El SMS, el duplicado de la SIM y el agujero del doble factor​

El segundo frente es la autenticación para operar. Hay relatos de transferencias hechas desde la app que no piden PIN ni confirmación adicional; el doble factor, cuando aparece, llega por SMS. Y el SMS es interceptable según el relato más repetido: basta con llamar a la operadora, hacerse pasar por el titular —que ya tiene datos de la víctima si accedió antes a su cuenta— y pedir un duplicado de la SIM a otra dirección. Cuando el dueño reacciona, ha perdido la cobertura y la cuenta va cayendo. La defensa que se comparte es poner un PIN en la operadora. Es lo que separa un susto de un vaciado.

FIDO2: autenticarse sin móvil ni SMS​

La alternativa técnica existe desde hace tiempo: las llaves de seguridad FIDO2 y WebAuthn. Permiten autenticarse metiendo una llave física, escribiendo un PIN y tocando el dispositivo, sin depender del móvil, de la SIM ni de un código por mensaje. Se apunta además a que las clásicas tarjetas de coordenadas incumplen la normativa europea de autenticación reforzada, PSD2, porque son fáciles de clonar con una simple foto. La banca, sin embargo, sigue anclada en el par usuario-contraseña y en el código por SMS.

¿Qué tendría que pasar para que un banco como BBVA cambiara un sistema de acceso que arrastra una década? De momento, los casos siguen cayendo del lado del cliente. La pregunta no es si la banca puede permitirse una seguridad mejor, sino por qué no la ha implementado ya.