Por qué moverse parece un ataque
Los sistemas de login están hechos para detectar una cosa por encima de todo: una sesión que aparece en un lugar al que no podría haber viajado de forma verosímil. El nombre del sector es viaje imposible, y la lógica es simple: entraste desde Milán a las 09:00 y desde São Paulo a las 11:00, y no hay avión que cubra eso.
Viajar de verdad no es imposible, pero dispara casi todas las demás comprobaciones a la vez. En un solo momento cambias tu dirección IP, tu país, tu proveedor de internet, tu zona horaria y a menudo tu configuración de idioma y tu tipo de red. Son cinco o seis cambios simultáneos en una cuenta cuyo historial dice que ninguno de ellos cambia nunca.
No ha fallado nada. Simplemente has producido el mismo patrón que alguien que te ha robado la sesión, y el sistema no puede distinguirlo solo con los datos.
Qué se comprueba realmente
Más o menos por orden de peso.
- Distancia y tiempo entre inicios de sesión. El cálculo del viaje imposible. Un vuelo es aceptable; la teletransportación no — por eso una VPN encendida a mitad de viaje es peor que el viaje mismo.
- Reputación de la red. El wifi de hoteles y aeropuertos lo comparten miles de desconocidos, y algunos de ellos se han portado mal desde la misma dirección. El wifi de las cafeterías es peor.
- Zona horaria frente a IP. Si el reloj de tu portátil sigue diciendo Roma mientras tu dirección dice Bangkok, ese desajuste se comprueba directamente y es fácil de ver.
- Reconocimiento del dispositivo. Lo único que juega a tu favor. Si el navegador parece la misma máquina de siempre, eso cuenta mucho — por eso viajar con tu propio portátil es mucho más llevadero que pedir uno prestado.
- Lo que haces después. Entrar y leer es normal. Entrar y cambiar de inmediato la contraseña, añadir un método de cobro o lanzar gasto es el patrón de un secuestro de cuenta.
Antes de irte
Veinte minutos de preparación evitan casi todo.
- Revisa ahora tus opciones de recuperación. La peor versión de esto es quedarte fuera en el extranjero porque el código de verificación va a un número que no tiene itinerancia. Confirma que tu correo de recuperación funciona y que puedes recibir códigos en el número con el que viajas.
- Activa una app de autenticación para todo lo importante. Los códigos de app funcionan sin conexión y no dependen de tu operador. Ese único cambio soluciona el bloqueo de viaje más frecuente.
- Guarda códigos de respaldo sin conexión. Impresos, o en un gestor de contraseñas al que puedas llegar desde el móvil.
- Entra desde casa el día antes. Una sesión reciente y correcta desde tu sitio habitual le da al sistema un punto de referencia limpio.
- No cambies nada más esa semana. Contraseña nueva más país nuevo más dispositivo nuevo son tres señales a la vez.
Mientras estás allí
Los hábitos importan más que cualquier ajuste.
Usa tu propia conexión cuando puedas. Compartir datos desde el móvil gana con holgura al wifi del hotel — una dirección de operador móvil la comparte gente corriente haciendo cosas corrientes, y una red de hotel la compartes con quien sea que esté en el edificio.
Pon el reloj del portátil en hora local. La zona horaria automática se encarga si la dejas. Dejarlo en la zona de casa crea un desajuste que no cuesta nada evitar.
Sé aburrido el primer día. Entra, lee, cierra. El mantenimiento de la cuenta déjalo para más adelante del viaje, cuando ya haya algo de historial desde el nuevo sitio.
No enciendas y apagues la VPN. Aparecer en tres países en una tarde es peor que aparecer en uno nuevo y quedarte ahí. Si usas VPN en el extranjero, elige una salida y consérvala.
Cuenta con una verificación y tómatela con calma. Una petición de código tras aterrizar es el sistema funcionando como debe. Complétala bien. No respondas cambiando la contraseña, porque eso convierte una comprobación rutinaria en una sospecha de compromiso.
Cuentas que no deberían viajar
Algunas cuentas llevan peor un cambio de sitio que otras, y suelen ser las que menos te puedes permitir perder.
Las cuentas publicitarias, las de vendedor en marketplaces, las de pago y todo lo ligado a una entidad de empresa se evalúan contra un historial de ubicaciones, y un cambio de país repentino puede disparar una revisión que dure más que tu viaje. Una verificación que desde casa resuelves en dos minutos se convierte en un problema de una semana desde una habitación de hotel.
Para esas, la mejor respuesta es no moverlas en absoluto. Si la cuenta siempre ha operado desde un sitio, debería seguir operando desde ahí mientras tú estás fuera — lo que significa que la conexión de la cuenta se queda quieta aunque tú no.
Este es uno de los motivos más prosaicos por los que la gente acaba con proxies por perfil: no para ocultar nada, sino para que una cuenta de empresa no cambie de país cada vez que su dueño se va de vacaciones. El perfil conserva su dirección, su zona horaria y su idioma esté donde esté el portátil, y desde el lado de la plataforma no ha pasado nada.
Si te quedas fuera igualmente
Pasa. El orden de las operaciones importa.
- Inténtalo desde la misma conexión con la que lo disparaste. Cambiar de red a mitad de la recuperación añade otro cambio a un sistema que ya no las tiene todas contigo.
- Usa el método de recuperación que preparaste antes de salir, no uno nuevo. Añadir una vía de recuperación nueva durante un bloqueo es el patrón de un secuestro de cuenta.
- Si hace falta un código por teléfono y tu número no tiene itinerancia, aquí es donde los códigos de respaldo se ganan el sueldo.
- Cuando se pueda, espera. Muchas restricciones provocadas por viajes están limitadas en el tiempo y se levantan solas. Los intentos repetidos las alargan.
- Si se convierte en una restricción de verdad, se aplica la guía general — una apelación cuidada y ninguno de los tres errores.
Y lo que conviene interiorizar para la próxima vez: el viaje no es el problema. El problema es que tu cuenta no sabía que venía.