16Jul
Los expertos en seguridad recomiendan utilizar la autenticación de dos factores para proteger sus cuentas en línea siempre que sea posible. Muchos servicios predeterminan la verificación de SMS, enviando códigos por mensaje de texto a su teléfono cuando intenta iniciar sesión. Sin embargo, los mensajes SMS tienen muchos problemas de seguridad y son la opción menos segura para la autenticación de dos factores.
Lo primero es lo primero: SMS sigue siendo mejor que ninguna autenticación de dos factores.
Si bien vamos a exponer el caso en contra de los SMS aquí, es importante que primero aclaremos una cosa: Usar SMS es mejor que no usar la autenticación de dos factores.
Cuando no utilizas la autenticación de dos factores, alguien solo necesita tu contraseña para iniciar sesión en tu cuenta. Cuando usa autenticación de dos factores con SMS, alguien tendrá que adquirir su contraseña y obtener acceso a sus mensajes de texto para obtener acceso a su cuenta. SMS es mucho más seguro que nada en absoluto.
Si SMS es su única opción, por favor use SMS.Sin embargo, si desea saber por qué los expertos en seguridad recomiendan evitar los SMS y lo que recomendamos en su lugar, siga leyendo.
SIM Swaps permite a los atacantes robar su número de teléfono
Así es cómo funciona la verificación de SMS: cuando intenta iniciar sesión, el servicio envía un mensaje de texto al número de teléfono móvil que les proporcionó anteriormente. Obtiene ese código en su teléfono e ingresa para iniciar sesión. Ese código solo sirve para un solo uso.
Parece razonablemente seguro. Después de todo, solo usted tiene su número de teléfono y alguien tiene que tener su teléfono para ver el código, ¿verdad? Lamentablemente no.
Si alguien conoce su número de teléfono y puede acceder a información personal como los últimos cuatro dígitos de su número de seguro social, desafortunadamente, esto es fácil de encontrar gracias a las muchas corporaciones y agencias gubernamentales que han filtrado información de sus clientes. Pueden comunicarse con sucompañía telefónica y mueva su número de teléfono a un nuevo teléfono. Esto se conoce como "intercambio de SIM", y es el mismo proceso que realiza cuando compra un nuevo dispositivo y mueve su número de teléfono a él. La persona dice que eres tú, proporciona los datos personales y tu compañía de teléfonos celulares configura su teléfono con tu número de teléfono. Obtendrán los códigos de mensajes SMS enviados a su número de teléfono en su teléfono.
Hemos visto informes de que esto sucedía en el Reino Unido, donde los atacantes robaban el número de teléfono de una víctima y lo usaban para obtener acceso a la cuenta bancaria de la víctima. El estado de Nueva York también ha advertido sobre esta estafa.
En su esencia, este es un ataque de ingeniería social que se basa en engañar a su compañía de telefonía celular.¡Pero su compañía de teléfonos celulares no debería poder proporcionarle a alguien acceso a sus códigos de seguridad en primer lugar! Los mensajes SMS
pueden ser interceptados de muchas maneras
También es posible husmear en los mensajes SMS.Disidentes políticos y periodistas en países represivos querrán tener cuidado, ya que el gobierno podría secuestrar mensajes SMS a medida que se envían a través de la red telefónica. Esto ya sucedió en Irán, donde piratas informáticos iraníes supuestamente comprometieron varias cuentas de mensajería de Telegram al interceptar los mensajes SMS que daban acceso a esas cuentas.
Los atacantes también han abusado de los problemas en SS7, el sistema de conexión utilizado para roaming, para interceptar mensajes SMS en la red y encaminarlos a otro lugar. Hay muchas otras maneras en que los mensajes pueden ser interceptados, incluso mediante el uso de torres falsas de teléfonos celulares. Los mensajes SMS no fueron diseñados para seguridad, y no deberían usarse para eso.
En otras palabras, un atacante sofisticado con un poco de información personal podría secuestrar su número de teléfono para obtener acceso a sus cuentas en línea y luego usar esas cuentas para intentar drenar sus cuentas bancarias, por ejemplo. Es por eso que el Instituto Nacional de Estándares y Tecnología ya no recomienda el uso de mensajes SMS para la autenticación de dos factores.
La alternativa: generar códigos en su dispositivo
Un esquema de autenticación de dos factores que no depende de SMS es superior, ya que la compañía de teléfonos celulares no podrá brindarle a otra persona acceso a sus códigos. La opción más popular para esto es una aplicación como Google Authenticator. Sin embargo, recomendamos Authy, ya que hace todo lo que Google Authenticator hace y más.
Aplicaciones como esta generan códigos en su dispositivo. Incluso si un atacante engañó a su compañía de telefonía celular para que transfiera su número de teléfono a su teléfono, no podrían obtener sus códigos de seguridad. Los datos necesarios para generar esos códigos permanecerían seguros en su teléfono.
No tienes que usar códigos, tampoco. Los servicios como Twitter, Google y Microsoft están probando la autenticación de dos factores basada en la aplicación que le permite iniciar sesión en otro dispositivo autorizando el inicio de sesión en su aplicación en su teléfono.
También hay tokens de hardware físico que puedes usar. Grandes empresas como Google y Dropbox ya han implementado un nuevo estándar para tokens de autenticación de dos factores basados en hardware llamado U2F.Todos estos son más seguros que confiar en su compañía de teléfono celular y en la red telefónica desactualizada.
Si es posible, evite SMS para la autenticación de dos factores. Es mejor que nada y parece conveniente, pero generalmente es el esquema de autenticación de dos factores menos seguro que puede elegir.
Desafortunadamente, algunos servicios te obligan a usar SMS.Si le preocupa esto, puede crear un número de teléfono de Google Voice y dárselo a los servicios que requieren autenticación por SMS.Luego, puede iniciar sesión en su cuenta de Google, que puede proteger con un método de autenticación de dos factores más seguro, y ver los mensajes seguros en el sitio web o aplicación de Google Voice. Simplemente no reenvíes mensajes de Google Voice a tu número de teléfono celular real.
