5 cosas que no sabías sobre la seguridad del inicio de sesión por SMS

La autenticación de dos factores (2FA) es una medida de seguridad esencial para cualquier servicio en el que se inicie sesión. Para autenticar los inicios de sesión y las transacciones en aplicaciones móviles, el uso de SMS para verificar los números de teléfono se ha convertido en la norma.
‍

Con este método, se envía al número de teléfono esperado del usuario un mensaje de texto con una OTP (contraseña de un solo uso), y si el usuario introduce la OTP correcta de nuevo en la aplicación, se asume que es el propietario del teléfono.
‍

Pero si tu aplicación móvil utiliza SMS OTP para verificar a tus usuarios, hay algunos aspectos esenciales de seguridad que realmente necesitas saber sobre cómo funciona este sistema entre bastidores. Sigue leyendo...

‍

1. Los SMS no están encriptados

Cuando se transmite información segura en Internet, como contraseñas, los datos suelen cifrarse, es decir, se transforman de su forma original ("texto plano") a una forma codificada ("texto cifrado") a la que sólo pueden acceder las partes autorizadas.
‍

Sin embargo, los SMS funcionan con Signalling System 7, un protocolo de comunicación entre máquinas de 1975 que no se diseñó pensando en la intervención humana. Esto significa que cualquiera que pueda acceder a una red puede ver los mensajes SMS -incluida información sensible como los códigos 2FA- en texto plano.

‍

2. Es posible que nunca se envíen mensajes SMS‍.

Los SMSC (Centros SMS) funcionan mediante la técnica de "almacenamiento y reenvío". Reciben el mensaje del remitente, lo guardan e intentan reenviar una copia al destinatario en el mejor de los casos (más información en aquí).
‍

Además de los obvios problemas de seguridad cuando se trata de información confidencial, como los códigos de restablecimiento de contraseña, esto también significa que, en algunos casos, el mensaje simplemente nunca llega, por lo que sigue siendo necesaria la opción de "reenviar código".

3. Los estafadores pueden suplantar la identidad de su empresa‍.

Seguro que alguna vez has recibido un SMS en el que el remitente es tu banco, tu oficina de correos o tu farmacia, a pesar de no tener los datos de esa empresa guardados en tu teléfono. Esto es posible porque la mayoría de los operadores de redes móviles admiten el uso de remitentes alfanuméricos como origen de los SMS. Conseguido con "software de pasarela de SMS", esto tiene orígenes legítimos: es conveniente para una empresa identificarse cuando envía información importante a los usuarios en masa, ya que los clientes podrían ignorar un número de teléfono aleatorio.
‍

Por desgracia, como suele ocurrir, esta tecnología ha sido utilizada por delincuentes para hacerse pasar por una empresa y robar información. Como hay pocos controles, es posible que recibas un SMS que dice ser de un remitente sin ninguna asociación real. Los atacantes se hacen pasar por bancos y empresas, intentando engañar a los usuarios para que sigan un enlace malicioso o respondan con información personal o financiera.
‍

4. El fraude del intercambio de SIM elude completamente el SMS 2FA‍.

La buena noticia es que la probabilidad de que un atacante irrumpa en la red SS7 para encontrar información 2FA es bastante baja. Pero, por desgracia, cada vez hay más casos de fraude por intercambio de tarjetas SIM, una forma más sofisticada de robar esta información.
‍

En un ataque de intercambio de tarjetas SIM, el estafador sobornará a un empleado de la empresa de telecomunicaciones o utilizará ingeniería social para asumir la identidad del objetivo, diciendo que ha perdido su teléfono y quiere cambiar a una nueva tarjeta SIM.
‍

Esto significa que todos los mensajes y llamadas dirigidos al número de teléfono de la víctima se desvían al atacante, que activa rápidamente la seguridad basada en SMS para acceder a las cuentas financieras y restablecer las contraseñas antes de que la víctima pueda actuar.

‍

5. Ya no es necesario utilizar SMS para la autenticación móvil

Está claro que confiar en los códigos, especialmente a través de un método tan inseguro como el SMS, es un error. Pero otros métodos, como la autenticación biométrica y por hardware o la descarga de aplicaciones externas, no son universales: no puedes esperar que todos tus usuarios los adopten.
‍

Por suerte, ahora existe un método de autenticación móvil que tiene todas las ventajas de los SMS sin ninguno de los problemas de seguridad o UX.
‍

Con una solución IDlayr, lo único que necesita de su usuario es permiso para procesar su número de teléfono. Es muy sencillo: el usuario solo tiene que introducir su número de teléfono móvil y la aplicación se comunica al instante con el MNO (operador de red móvil) para verificar que ese número es el que está vinculado a esa SIM. Se trata de una autenticación invisible y sin fricciones que al usuario le parece mágica, y que además puede mitigar los fraudes por cambio de SIM.