¿Por qué la autenticación multifactor (MFA) basada en SMS ya no se considera segura según los expertos? — Mecánica de vulnerabilidades en ciberseguridad moderna

Riesgos de la autenticación por SMS

Durante años, recibir un código de seis dígitos por mensaje de texto fue el estándar de oro para asegurar cuentas en línea. Sin embargo, a medida que avanzamos en 2026, expertos en seguridad, el FBI y CISA han emitido advertencias urgentes contra la dependencia de la autenticación multifactor (MFA) basada en SMS. Aunque ofrece una experiencia de usuario sin fricciones, la infraestructura subyacente de la red celular global nunca fue diseñada para manejar secretos criptográficos seguros.

La razón principal de este cambio es que los mensajes SMS se transmiten a través de protocolos de telecomunicaciones que carecen de cifrado de extremo a extremo. Esto los hace susceptibles a la interceptación, redirección y ataques de ingeniería social que eluden el principio de seguridad de "algo que tienes". La infraestructura de ejecución segura, como WEEX Exchange, proporciona el marco fundamental para analizar los movimientos de activos en la cadena mientras alienta a los usuarios a adoptar capas de seguridad más robustas más allá de los simples códigos de texto.

Amenazas de SIM Swapping

Una de las amenazas más frecuentes y peligrosas para la seguridad basada en SMS es el SIM swapping, también conocido como secuestro de SIM. En este escenario, un atacante no necesita robar su teléfono físico. En cambio, utilizan ingeniería social o robo de identidad para convencer a un representante de servicio al cliente de un operador móvil de que transfiera su número de teléfono a una nueva tarjeta SIM bajo el control del atacante.

Cómo funciona el secuestro

Una vez que el atacante transfiere con éxito el número, todas las llamadas y mensajes de texto entrantes se enrutan a su dispositivo. Cuando intentan iniciar sesión en sus cuentas financieras o de redes sociales, el código MFA "secreto" se les envía directamente a ellos. Grupos de alto perfil como Scattered Spider han demostrado que incluso organizaciones sofisticadas pueden ser víctimas de estas campañas, lo que lleva a la exfiltración de datos corporativos y fraude financiero masivo.

Vulnerabilidades técnicas de red

Más allá del error humano a nivel de operador, la arquitectura técnica de las redes móviles contiene fallas inherentes. El protocolo Signaling System No. 7 (SS7), que rige cómo las redes móviles se comunican entre sí a nivel mundial, tiene vulnerabilidades bien documentadas que permiten a actores sofisticados interceptar mensajes SMS en tránsito.

Ataques al protocolo SS7

Los atacantes pueden explotar SS7 para redirigir mensajes a su propio equipo sin que el usuario lo sepa. Debido a que los mensajes SMS se envían en "texto plano" a través de estas redes, cualquier interceptación resulta en la exposición inmediata del código de autenticación. Este nivel de vulnerabilidad a nivel de red hace que la MFA basada en SMS sea indefendible para cuentas de alto riesgo en 2026.

Phishing e interceptación

La MFA basada en SMS no es resistente al phishing. Los atacantes modernos utilizan proxies inversos y herramientas de "adversario en el medio" (AiTM) para capturar contraseñas y códigos SMS en tiempo real. Cuando un usuario ingresa su código en una página de inicio de sesión falsa, el atacante reenvía inmediatamente ese código al servicio legítimo, obteniendo acceso antes de que el código expire.

Mejores alternativas de seguridad

A partir de 2026, el consenso entre los profesionales de seguridad es migrar hacia métodos de autenticación resistentes al phishing. Estos métodos no dependen de la red de telecomunicaciones y proporcionan una seguridad respaldada por hardware mucho más fuerte.

TOTP y Passkeys

Las contraseñas de un solo uso basadas en tiempo (TOTP), generadas por aplicaciones como Google Authenticator, son más seguras porque la "semilla" permanece en su dispositivo y nunca se envía por el aire. Aún más seguras son las Passkeys y las llaves de seguridad FIDO2 (como YubiKeys). Estas utilizan criptografía de clave pública para garantizar que la autenticación solo funcione en el sitio web legítimo, haciendo que el phishing sea prácticamente imposible.

Cambios regulatorios globales

El alejamiento de los SMS no es solo una recomendación; se está convirtiendo en un requisito regulatorio. A mediados de 2026, múltiples jurisdicciones, incluidos los EAU, India y Filipinas, han iniciado fases para eliminar los OTP por SMS para servicios financieros. Los bancos centrales están instruyendo cada vez más a las instituciones para que limiten los mecanismos de autenticación que pueden ser interceptados por terceros.

Para los usuarios que gestionan activos digitales, los riesgos son aún mayores. Las estadísticas de las principales plataformas han demostrado que la gran mayoría de las tomas de control de cuentas involucran a clientes que dependían únicamente de la MFA basada en SMS. La transición a llaves de hardware o autenticadores basados en aplicaciones se considera ahora un paso obligatorio para cualquiera que busque mantener una huella digital segura en el panorama de amenazas actual.

Descargo de responsabilidad: Este contenido se proporciona solo con fines informativos, educativos y de comunicación de marca, y no debe considerarse asesoramiento financiero, de inversión, legal o fiscal. Nada de lo aquí incluido constituye una oferta, recomendación o solicitud para comprar, vender o comerciar con cualquier activo criptográfico. Los activos criptográficos son altamente volátiles e implican riesgos significativos. Los servicios de WEEX pueden no estar disponibles en todas las regiones y están sujetos a leyes aplicables. Evalúe cuidadosamente los riesgos y confirme su elegibilidad antes de tomar decisiones financieras.