Verificación telefónica por SMS: la amenaza oculta a la seguridad móvil

La autenticación de dos factores (2FA) es una medida de seguridad esencial para cualquier servicio en el que te registres. Existen diferentes identidades -y diversos métodos para verificarlas- que se utilizan como segundo factor de autenticación. Para autenticar los inicios de sesión y las transacciones en aplicaciones móviles, la verificación basada en SMS se ha convertido en una norma de facto: recibes un mensaje de texto con una OTP (contraseña de un solo uso), que confirma que eres el propietario del teléfono.
‍

Sin embargo, este método de autenticación móvil no es tan seguro como se cree. Un mensaje SMS no solo puede ser falsificado y provenir de un actor malicioso, sino que también puede ser leído e interceptado por atacantes del tipo man-in-the-middle.

‍

Los SMS son vulnerables por diseño

‍

El SMS funciona con SS7 (Signalling System 7), que permite que distintas redes telefónicas se comuniquen entre sí, transmitiendo llamadas y mensajes de texto. Sin embargo, como protocolo, el SMS funciona por "almacenamiento y reenvío": los mensajes se replican en muchos lugares.
‍

Los SMS se diseñaron originalmente para ser utilizados en las comunicaciones entre máquinas, no entre personas, lo que significa que carecen del cifrado seguro necesario para evitar que los delincuentes lean información confidencial. Los piratas informáticos de sombrero negro pueden infiltrarse -y de hecho lo han hecho- en este sistema global, lo que les permite escuchar llamadas, leer mensajes SMS y rastrear la ubicación de un teléfono.
‍

Esto significa que no sólo se pueden filtrar conversaciones privadas, sino que los hackers de sombrero negro también pueden acceder a la información de 2FA a través de esta red, lo que les permite iniciar sesión en tu nombre en cualquier número de cuentas para las que hayas habilitado 2FA por SMS. Esto no es sólo teórico, ya que las brechas en las redes móviles han estado detrás de importantes filtraciones de seguridad en el pasado.
‍

El intercambio de tarjetas SIM es otra forma de acceder maliciosamente a la identidad de un usuario. Aunque las tarjetas SIM están cifradas de forma segura, los estafadores pueden proporcionar información sobre un objetivo para convencer a las compañías de telecomunicaciones de que ha cambiado a una nueva tarjeta SIM, lo que les permite hacerse con el número de teléfono de la víctima.
‍

‍

‍

¿Existen alternativas?

‍

Aunque muchas personas, incluso desarrolladores, siguen considerando la verificación telefónica basada en SMS como el estándar, ya existen métodos alternativos de autenticación móvil. Algunas aplicaciones y servicios piden una dirección de correo electrónico en su lugar, pero esto sería una regresión, ya que la verificación basada en el correo electrónico está abierta a aún más vías para que los actores maliciosos y terceros intercepten o falsifiquen una contraseña.
‍

Optar por un código a través del buzón de voz también es inseguro, ya que el buzón de voz sólo está protegido por un código PIN, normalmente de cuatro dígitos, al que pueden acceder actores maliciosos telefónicos con la misma facilidad. Por desgracia, cualquier método de autenticación basado en un código de acceso conlleva cierto grado de riesgo. Sin embargo, seguimos confiando en ellos en muchas facetas de nuestra vida, porque las aplicaciones y los proveedores de servicios necesitan una forma automatizada de verificar rápidamente la identidad de un usuario -como individuo y no como spambot- sin poner en riesgo su privacidad.

La 2FA móvil no tiene por qué usar un código

‍

La 2FA no debería implicar tener que esperar a que un segundo código respalde tu contraseña. De hecho, la seguridad moderna ni siquiera debería implicar un nombre de usuario y una contraseña. Parece difícil imaginar que podamos probar nuestra identidad en aplicaciones y servicios sin estos elementos básicos, pero los expertos en seguridad llevan mucho tiempo haciendo hincapié en los fallos de este sistema, por lo que se han desarrollado varios métodos de verificación sin contraseña, que verifican la identidad a través de métodos más sofisticados que son mucho más difíciles de engañar.
‍

Sin embargo, el factor que une a las soluciones biométricas, de hardware y basadas en aplicaciones es que todas ellas requieren añadir pasos adicionales al proceso de autenticación por parte del usuario, ya sea llevar un dispositivo encima, manipular un código QR o confiar su identidad biológica a un servidor, lo que añade fricción y, en última instancia, resta valor a una experiencia de usuario sencilla y optimizada.

‍

¿Y si eliminamos la acción del usuario de la ecuación?

‍