Durante más de una década, la máxima tradicional en ciberseguridad fue: «Cualquier 2FA es mejor que no tener 2FA». Aunque esto sigue siendo cierto frente a ataques automatizados masivos o relleno de credenciales básico, la autenticación en dos factores mediante SMS se ha transformado en un punto único de fallo catastrófico. Debido a filtraciones masivas de datos personales en la dark web, sobornos e ingeniería social contra tiendas de operadoras telefónicas, y herramientas automatizadas de proxy inverso con adversario en el medio (AiTM) como Evilginx, el 2FA por SMS proporciona una falsa sensación de seguridad. Este informe técnico desglosa los vectores de interceptación y explica por qué su postura defensiva exige migrar de inmediato a autenticadores TOTP locales y llaves FIDO2.
01. La ilusión de la seguridad por SMS y el legado histórico
A principios de la década de 2000, la verificación mediante SMS se convirtió en el estándar imperante para la seguridad del consumidor digital debido a su ausencia total de fricción. Los usuarios no necesitaban instalar aplicaciones criptográficas dedicadas ni adquirir llaves de hardware. Bastaba con poseer un teléfono móvil para recibir un código de verificación de 4 a 6 dígitos directamente en el bolsillo.
Sin embargo, el protocolo del Servicio de Mensajes Cortos (SMS) fue formalizado originalmente en la década de 1980 bajo la estandarización GSM del Instituto Europeo de Normas de Telecomunicaciones (ETSI). Nunca fue concebido para transportar secretos criptográficos ni para servir como protocolo de autenticación de identidad. Los mensajes SMS carecen de cifrado de extremo a extremo (E2EE), carecen de autenticación de origen y carecen por completo de vinculación criptográfica de canal (Channel Binding) con la sesión activa del navegador del usuario.
Las operadoras de telecomunicaciones enrutan los mensajes de texto en función de la Identidad Internacional del Abonado Móvil (IMSI) registrada actualmente en una torre celular, no en función de la identidad de la persona física que sostiene el terminal. Al confiar en el 2FA por SMS, su identidad digital no está protegida por matemáticas criptográficas, sino por el criterio del representante de atención al cliente peor remunerado de una franquicia telefónica local.
02. Vector de ataque 1: Mecánica del SIM Swapping
El SIM Swapping (también conocido como duplicado fraudulento de SIM o secuestro de línea) es el arma predilecta de actores de amenazas dirigidas que atacan a titulares de criptomonedas, directores corporativos y administradores de sistemas. El atacante no necesita acceso físico al teléfono de la víctima.
Ciclo de vida de un ataque de SIM Swapping:
Los atacantes adquieren registros de filtraciones de datos en la dark web para recopilar el número de documento de identidad (DNI, NIE o SSN), nombre completo, fecha de nacimiento, dirección física y operadora móvil de la víctima.
El ciberdelincuente llama al soporte de la operadora haciéndose pasar por la víctima alegando haber perdido o dañado la tarjeta SIM, superando fácilmente las preguntas de verificación superficiales. Como alternativa, redes de cibercrimen sobornan directamente a empleados de tiendas de telefonía pagando entre 500 y 1.000 dólares por cada duplicado de SIM fraudulento.
La operadora reasigna el identificador MSISDN a la tarjeta SIM del atacante. El teléfono de la víctima pierde cobertura celular de inmediato, mostrando «Sin servicio» o «Solo llamadas de emergencia». La mayoría de víctimas asume que se trata de una caída temporal de la red, desperdiciando la ventana crítica de reacción de 10 a 15 minutos.
Con el número telefónico en su poder, los atacantes solicitan el restablecimiento de contraseñas en Gmail, Microsoft, Telegram, Binance y banca electrónica. Cada código de un solo uso (OTP) por SMS llega directamente al dispositivo del atacante, otorgándole control absoluto de las cuentas.
- Jack Dorsey (Director Ejecutivo de Twitter / X): En agosto de 2019, atacantes engañaron a un establecimiento de AT&T para duplicar la SIM de Dorsey, utilizando su número secuestrado para publicar mensajes ofensivos mediante la pasarela heredada de SMS a tuit (Cloudhopper).
- Cuenta oficial de la SEC de EE.UU. en X (2024): Los ciberdelincuentes realizaron un SIM swap sobre el número móvil de recuperación de la Comisión de Bolsa y Valores de EE.UU. (SEC), publicando un anuncio falso sobre la aprobación de ETFs de Bitcoin al contado que provocó cientos de millones de dólares en liquidaciones forzosas en los mercados globales.
03. Vector de ataque 2: Protocolos celulares y SS7
Mientras que el SIM swapping aprovecha la debilidad humana en operadoras, las vulnerabilidades en el Sistema de Señalización N.º 7 (Signaling System No. 7 / SS7) explotan fallos arquitectónicos estructurales en el enrutamiento telefónico global.
Desarrollado en 1975, el SS7 coordina el establecimiento de llamadas, la traducción de números, la entrega de mensajes SMS y la itinerancia internacional (roaming) entre cientos de compañías de telecomunicaciones en todo el mundo. De forma crítica, el SS7 fue concebido bajo un modelo de confianza ciega: cualquier operador con acceso a la red troncal SS7 se presume legítimo y fidedigno.
Esto permite a agencias de inteligencia hostiles o grupos de cibercrimen avanzado interceptar códigos bancarios y de plataformas de criptomonedas a través de fronteras nacionales sin que la víctima sospeche nada en absoluto. Incluso con la adopción de protocolos Diameter en redes LTE, la compatibilidad hacia atrás con SS7 mantiene abierta esta vulnerabilidad de forma permanente.
04. Vector de ataque 3: Phishing AiTM en tiempo real (Evilginx)
Muchos usuarios suponen de forma errónea: «Si no duplican mi tarjeta SIM física, mis códigos SMS son seguros». Esta premisa se derrumba ante los marcos de trabajo modernos de proxy inverso con adversario en el medio (Adversary-in-the-Middle / AiTM), tales como Evilginx 3.0, Modlishka y Muraena.
El phishing clásico se limitaba a crear formularios de inicio de sesión clonados estáticos. En cambio, los proxies inversos ofensivos actuales operan como intermediarios transparentes en vivo entre la víctima y el servicio legítimo:
Roba contraseñas estáticas. Falla al instante si la cuenta tiene 2FA activado porque el atacante no puede reutilizar el código OTP antes de que expire en 60 segundos.
Enruta el tráfico en tiempo real entre el usuario y el servidor real. Cuando el usuario introduce el código SMS, el proxy lo transmite en vivo, completa la autenticación y sustrae las cookies de sesión y tokens de portador OAuth autenticados.
login.ejemplo.com o en login.ejemp1o.com. Por el contrario, los autenticadores FIDO2/WebAuthn vinculan firmas de clave pública directamente al origen URL del navegador, neutralizando el phishing en tiempo real de forma matemática.
05. Vector de ataque 4: IMSI Catchers y troyanos de interceptación
A nivel de radiofrecuencia local y en el propio dispositivo móvil, los mensajes SMS afrontan vulnerabilidades críticas adicionales:
-
●
Receptores de IMSI (IMSI Catchers / Stingrays) y ataques de degradación a 2G: Falsas estaciones base celulares portátiles transmiten señales de alta potencia que fuerzan a los teléfonos próximos a desconectarse de redes 4G/5G y degradarse a 2G (GSM). Dado que el protocolo GSM no autentica la antena ante el terminal móvil, los atacantes rompen los cifrados obsoletos A5/1 para interceptar y descifrar mensajes SMS en texto claro directamente desde el espectro radioeléctrico.
-
●
Troyanos espía de SMS para Android: Aplicaciones aparentemente legítimas o archivos APK descargados fuera de las tiendas oficiales solicitan permisos especiales como
android.permission.RECEIVE_SMSoBIND_NOTIFICATION_LISTENER_SERVICE. Una vez instaladas, procesos residentes en segundo plano interceptan los códigos tan pronto llegan al teléfono y los reenvían a bots de Telegram o servidores de comando y control en milisegundos.
06. Directrices de depreciación del NIST SP 800-63B
Ante la evidencia abrumadora de estos vectores de ataque, el Instituto Nacional de Estándares y Tecnología de EE.UU. (NIST) restringió formalmente el uso de la autenticación por SMS en su estándar de referencia sobre identidad digital, la Publicación Especial SP 800-63B (Directrices de Identidad Digital: Autenticación y Gestión del Ciclo de Vida):
«La autenticación fuera de banda (OOB) mediante sistemas de red telefónica pública conmutada (PSTN), incluyendo SMS o llamadas de voz, se designa formalmente como RESTRINGIDA. Los sistemas que implementen verificación por SMS deben documentar y asumir explícitamente los riesgos existenciales de duplicado de SIM, suplantación de identidad telefónica, interceptación de señalización y clonación de dispositivos. Para organizaciones que apliquen el Nivel de Garantía de Autenticador 2 (AAL2) o superior, se exige con firmeza el uso de autenticadores multifactor criptográficos (aplicaciones TOTP o llaves de hardware FIDO).»
Autoridades europeas como ENISA y la Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) se han sumado a estas directrices, instando a empresas e instituciones a retirar progresivamente el SMS en todas las infraestructuras críticas.
07. Enfrentamiento arquitectónico: SMS vs TOTP vs FIDO2
¿Por qué las contraseñas de un solo uso basadas en tiempo (RFC 6238 TOTP) resultan estructuralmente superiores a los SMS? La siguiente matriz detalla las diferencias arquitectónicas clave de seguridad:
| Dimensión de Seguridad | Verificación por SMS | Autenticador TOTP (RFC 6238) | Llave FIDO2 / YubiKey |
|---|---|---|---|
| Canal de entrega | Red de operadora celular | Cálculo matemático 100% local en cliente | Elemento seguro en chip de hardware |
| Resistencia al SIM Swapping | Nula (Secuestro inmediato) | Inmune (Independiente del número) | Inmune (Aislado físicamente) |
| Interceptación de señalización SS7 | Vulnerable | Inmune (Cero paquetes en red) | Inmune (Sin tránsito de red) |
| IMSI Catchers / Degradación a 2G | Vulnerable | Inmune | Inmune |
| Proxy Inverso AiTM (Evilginx) | Eludido con facilidad | Moderada (Exige revisar URL) | Inmune (Vinculación de origen) |
| Modo avión / Uso sin conexión | Incompatible | Completamente operativo (Solo reloj) | Completamente operativo |
| Coste de implementación | Tarifas de SMS por operadora | Gratuito y estándar abierto | Llave física (45 € - 80 €) |
08. Hoja de ruta defensiva y migración práctica
No espere a que su móvil se quede de pronto «Sin servicio» para solventar esta vulnerabilidad. Aplique estas tres medidas defensivas hoy mismo:
Inicie sesión en Google, Apple ID, GitHub, Binance, Kraken y sus proveedores de correo corporativo y personal. Configure una aplicación autenticadora (como Aegis, 2FAS o Bitwarden) o una llave de seguridad FIDO2. Siempre que el servicio lo permita, desactive expresamente la recuperación por SMS.
Comuníquese con su operadora de telecomunicaciones (Telefónica / Movistar, Vodafone, Orange, etc.) y solicite la activación de un PIN obligatorio para portabilidades o bloqueo contra duplicados no presenciales. Asimismo, active el PIN de la tarjeta SIM física en los ajustes de iOS o Android para evitar que una tarjeta sustraída pueda insertarse en otro teléfono.
Cada vez que active un autenticador, guarde la clave secreta alfanumérica Base32 en un soporte físico fuera de línea (papel o dispositivo de almacenamiento cifrado en frío) y conserve a buen recaudo los códigos de respaldo de emergencia de un solo uso proporcionados por el servicio.
09. Preguntas frecuentes (FAQ)
P1: ¿No es el 2FA por SMS mejor que no tener ningún factor de autenticación adicional? ▼
Frente a ataques masivos automatizados de bots que prueban contraseñas filtradas, el 2FA por SMS proporciona cierta protección básica. Sin embargo, la paradoja del SMS es que la inmensa mayoría de servicios tratan el número de teléfono como una clave maestra de recuperación absoluta. Si un atacante dirigido realiza un SIM swap, el SMS deja de ser una defensa y se convierte en el vector empleado para restablecer todas sus contraseñas.
P2: ¿Usar una eSIM me protege contra el SIM swapping? ▼
No. La eSIM protege frente al robo físico de la tarjeta de plástico, pero no ofrece ninguna protección contra la ingeniería social dirigida al operador. Si un atacante engaña al servicio de atención de la operadora para reasignar su número, la operadora emitirá un código QR de eSIM electrónica y descargará su línea telefónica en el dispositivo del atacante a través de Internet en cuestión de segundos.
P3: ¿Por qué la mayoría de bancos comerciales siguen imponiendo el SMS en lugar de apps autenticadoras? ▼
Debido a la inercia demográfica y al alto coste de atención técnica. Obligar a millones de clientes sin conocimientos digitales a utilizar aplicaciones autenticadoras colapsaría sus centros de llamadas. En su lugar, las entidades bancarias asumen cientos de millones al año en costes de fraude y compensaciones, apoyándose en modelos de análisis de riesgo silenciosos (como consultar a las operadoras si la tarjeta SIM ha sido sustituida en las últimas 24 horas).
P4: ¿Qué debo hacer de inmediato si mi móvil se queda de repente «Sin servicio»? ▼
Trátelo inmediatamente como un incidente de seguridad de máxima gravedad. Conéctese a una red Wi-Fi, llame a su operadora telefónica desde una línea fija o el teléfono de un conocido y verifique de inmediato si se ha solicitado un duplicado de SIM o portabilidad no autorizada. Simultáneamente, bloquee sus cuentas de intercambio de criptomonedas y cambie las contraseñas de su correo principal desde un ordenador.
P5: ¿Puede un atacante que secuestra mi tarjeta SIM vulnerar los códigos de mi app autenticadora TOTP? ▼
No. Las aplicaciones de autenticación generan códigos localmente mediante una clave secreta criptográfica almacenada dentro del almacén seguro aislado de su dispositivo físico. La red telefónica carece de acceso a esta clave. Aunque un atacante controle su número de teléfono al 100%, será incapaz de calcular sus códigos TOTP.
Prueba tu Clave Secreta 2FA en 2FA-Tool
Elimine los riesgos de interceptación por SMS. Genere códigos TOTP RFC 6238 en la memoria local de su navegador con Web Crypto API. Seguro, privado y sin conexión.
📚 Guías de Seguridad Relacionadas
Mejores prácticas para Binance, exchanges y protección de claves frente a SIM swaps.
Análisis de Aegis, 2FAS, Bitwarden y Google Authenticator para sustituir los SMS.
Cómo funciona el estándar RFC 6238 a nivel matemático y su implementación práctica.
Genere Códigos TOTP Seguros Directamente en su Navegador
Despídase de los riesgos de interceptación por SMS. 2FA-Tool utiliza la Web Crypto API del W3C para calcular códigos RFC 6238 en el entorno aislado de su navegador, manteniendo sus claves en privado y fuera de línea.