Las empresas que adoptan SMS para iniciar sesión en cuentas deberían ser culpadas por los ataques de SIM swap

Artículo original ↗ Discusión en Hacker News ↗

Cada vez se culpa más a las empresas que usan SMS para iniciar sesión y recuperar cuentas por el fraude de SIM swap, en el que los atacantes secuestran el número de teléfono de una víctima para restablecer contraseñas y tomar cuentas. Los comentaristas sostienen que el SMS es fundamentalmente débil como factor de autenticación —los números de teléfono son fáciles de obtener mediante ingeniería social, se reasignan y fallan cuando la gente viaja o cambia de operadora—, pero las empresas lo prefieren por su ubicuidad, baja fricción y ventajas secundarias como el filtrado de bots y el seguimiento de usuarios. Alternativas como las apps TOTP, las llaves de hardware, los flujos basados en correo electrónico y las identidades digitales respaldadas por el gobierno se consideran más seguras, pero plantean sus propios problemas de usabilidad, recuperación y ecosistema, lo que lleva a debatir si los reguladores, las telcos o los servicios en línea deben asumir la responsabilidad principal de resolver el problema.

Debilidades de seguridad de la autenticación por SMS

  • El SIM swap se considera el riesgo central: los atacantes hacen ingeniería social a las operadoras para portar números, luego restablecen contraseñas y vacían cuentas. Los usuarios no pueden “bloquear” su número como sí pueden reforzar su correo electrónico.
  • El SMS se describe como una “postal abierta”: puede interceptarse a través de redes SS7 débiles, pasarelas de SMS comprometidas o abuso interno en las operadoras.
  • El reciclaje de números (tras impago, mudanza a otro país, caducidad de prepago) puede entregar el control a una nueva persona, pero muchos servicios siguen tratando el número como un identificador fuerte.
  • Algunos citan estándares (por ejemplo, NIST, las reglas PSD2 de la UE) que prácticamente consideran el SMS inseguro como factor primario o único para acciones sensibles.

Usabilidad y por qué las empresas siguen usando SMS

  • El SMS es casi universal, no requiere instalar una app, y los sistemas operativos móviles rellenan automáticamente los códigos, lo que ofrece una UX con muy poca fricción, especialmente en teléfonos.
  • Muchos usuarios tienen problemas con gestores de contraseñas, apps autenticadoras o llaves de hardware; perder el teléfono o no guardar códigos de respaldo es algo común.
  • Las empresas trasladan la verificación de identidad y la fricción contra bots a las telcos: un número de teléfono es más difícil de criar masivamente que un correo electrónico y se vincula a procesos KYC.

Alternativas: pros, contras y lagunas

  • Correo electrónico: algunos lo consideran “más securizable” (se puede añadir 2FA fuerte), pero la higiene media del correo quizá sea peor que la seguridad media del teléfono.
  • TOTP/apps: ampliamente vistas como más seguras que SMS, pero con mala ergonomía, recuperación confusa y conocimiento general limitado.
  • Llaves de hardware/WebAuthn/passkeys: consideradas la mejor práctica por muchos, aunque costosas, complejas de soportar y arriesgadas si los usuarios las pierden o si los sitios no permiten varias llaves.
  • Las apps bancarias/de identidad y los esquemas nacionales de e-ID son elogiados donde existen, pero otros temen la centralización o el control gubernamental.

Recuperación, bloqueos y viajes

  • Numerosas anécdotas de quedarse fuera de cuentas críticas (banca, correo, redes sociales) al perder un número, viajar al extranjero o no tener cobertura.
  • Algunos desactivan por completo el 2FA por SMS después de no poder iniciar sesión desde redes inusuales; otros describen flujos rotos de “probar de otra manera”.
  • Los cambios de número, las mudanzas internacionales y las zonas muertas rurales o interiores hacen que la recuperación basada en SMS sea especialmente frágil.

Responsabilidad y regulación

  • Un bando culpa a las empresas por construir a sabiendas sobre un eslabón débil y comercializar el SMS como “2FA seguro”.
  • Otro bando culpa a los procesos laxos de portabilidad de las operadoras y sostiene que deberían exigir comprobaciones de identidad más fuertes o retrasos en los cambios de SIM.
  • Una minoría argumenta que la culpa principal sigue recayendo en los criminales, advirtiendo contra penalizar en exceso a empresas “inocentes”.
  • Algunos piden regulación: prohibir el SMS como único factor para cuentas de alto riesgo, exigir mejores mecanismos de recuperación o introducir identidades digitales respaldadas por el gobierno.