Verificación en dos pasos en PeriaMed: por qué la cuenta de un perito médico necesita un segundo factor

Una cuenta de PeriaMed no guarda las fotos de las vacaciones. Guarda historias clínicas de personas que no son el perito, informes que se van a presentar ante un tribunal y conversaciones sobre casos abiertos. Si alguien consigue la contraseña (por phishing, por una filtración de otro servicio donde se usaba la misma, por un portátil desatendido), tiene todo eso.

La verificación en dos pasos añade lo que la contraseña no puede dar: algo que el atacante no tiene, aunque sepa la clave. Desde octubre de 2026 está disponible en todos los planes de PeriaMed, también en las cuentas de abogado, y el 1 de julio de 2027 pasará a ser obligatoria para quien entre con correo y contraseña.

Por qué una cuenta con datos de salud merece un segundo factor

Los datos de salud son una categoría especial del art. 9 RGPD, y el perito que los trata es responsable de aplicar «medidas técnicas y organizativas apropiadas» para garantizar su seguridad (art. 32 RGPD). Entre esas medidas, la autenticación robusta es de las más baratas y de las que más diferencia marcan: la mayoría de los accesos no autorizados a cuentas profesionales empiezan por una contraseña reutilizada o adivinada, no por un ataque sofisticado.

Un segundo factor convierte la contraseña robada en un dato inútil por sí solo: para entrar hace falta, además, un código que cambia cada pocos segundos y que solo genera el móvil del perito. Las obligaciones de fondo están en el perito como responsable del tratamiento.

Cómo funciona en PeriaMed

El segundo factor es un código de una app de autenticación: Google Authenticator, Microsoft Authenticator, 1Password o cualquier otra que genere códigos temporales. No hay SMS. Los códigos por mensaje de texto se pueden interceptar duplicando la tarjeta SIM, y en una cuenta con datos de salud no tiene sentido ofrecer una opción que ya se considera débil.

Si entras con Google, no tienes que hacer nada: tu cuenta de Google ya gestiona su propia verificación y PeriaMed se apoya en ella. La verificación en dos pasos de PeriaMed es para las cuentas que entran con correo y contraseña.

Activarla en tres pasos

Se hace una vez, desde Ajustes → Seguridad, con un asistente que guía el proceso:

1. Instala una app de autenticación en el móvil. Si ya usas una para el banco o el correo, sirve la misma.
2. Escanea el código QR que muestra PeriaMed desde la app. PeriaMed queda añadido a la lista de cuentas de la app.
3. Confirma con un código: escribe en PeriaMed las seis cifras que la app muestra en ese momento. Si coinciden, la verificación queda activada.

A partir de ahí, iniciar sesión pide la contraseña y, después, el código que la app muestre en ese instante.

«Confiar en este dispositivo»

Introducir un código cada vez que se abre la aplicación sería un incordio que acabaría con la verificación desactivada. Por eso, al escribir el código aparece la casilla «Confiar en este dispositivo». Marcada, en ese ordenador o móvil no se vuelve a pedir el segundo factor en los siguientes inicios de sesión.

Lo que sí lo pide es cualquier dispositivo nuevo o desconocido. Y ese es exactamente el escenario que la verificación protege: alguien que ha conseguido la contraseña e intenta entrar desde su propio equipo. Conviene no marcar la casilla en un ordenador compartido o ajeno.

Qué hacer si se pierde el móvil

El punto débil de cualquier segundo factor es perder el dispositivo que lo genera. En PeriaMed la recuperación pasa por soporte: se escribe desde el correo de la cuenta, el equipo comprueba la identidad del titular y restablece la verificación para configurarla de nuevo en otro móvil.

Es importante saberlo de antemano: no hay códigos impresos ni de un solo uso que guardar en un cajón. La recuperación es siempre a través de soporte, y por eso conviene que el correo de la cuenta sea uno al que se tenga acceso desde fuera del móvil.

Si el cambio de teléfono es planificado, lo más sencillo es desactivar la verificación desde Ajustes → Seguridad en el móvil antiguo y volver a activarla en el nuevo, sin pasar por soporte.

Lo demás que ha cambiado en Seguridad

La verificación en dos pasos llega con otras tres medidas del mismo bloque:

• Cambio de contraseña desde Ajustes → Seguridad, sin pasar por el flujo de «he olvidado mi contraseña».
• Contraseñas nuevas de 12 caracteres como mínimo. La longitud es lo que más encarece un ataque por fuerza bruta.
• Análisis antivirus automático de cada documento que se sube, antes de que se use en ningún caso: lo que sube el perito y lo que suben los abogados por los enlaces de subida o la bolsa de encargos.

Las medidas de seguridad de la plataforma, incluida esta, están descritas en privacidad y RGPD.

La fecha: 1 de julio de 2027

Hasta entonces, la verificación en dos pasos es opcional y recomendada. A partir del 1 de julio de 2027, será obligatoria para todas las cuentas que entran con correo y contraseña, de cualquier plan, incluidas las de abogado. Las cuentas que entran con Google quedan fuera porque ya tienen la suya. Pero el argumento para activarla hoy no es la fecha: es lo que hay dentro de la cuenta.

Conclusión

Una contraseña protege una cuenta hasta que deja de ser secreta. En una cuenta que guarda historias clínicas e informes ajenos, el segundo factor es la medida más eficaz por el esfuerzo que cuesta: tres pasos, una vez, y el dispositivo habitual no vuelve a pedirlo. Activarla antes del 1 de julio de 2027 es obligatorio; activarla esta semana es, sencillamente, sensato.

Si aún no tienes cuenta, puedes empezar gratis, sin tarjeta, y activar la verificación desde el primer día.

Referencias

• Unión Europea. Reglamento (UE) 2016/679, General de Protección de Datos. DOUE L 119. (Art. 9: categorías especiales de datos; art. 32: seguridad del tratamiento.)