La autenticación de SMS de dos factores no lo protegerá si los piratas informáticos pueden interceptar sus mensajes

En aras de la simplicidad, los expertos a menudo describen la autenticación de dos factores (2FA) como un sistema que le permite iniciar sesión en su cuenta solo si proporciona algo que sabe y algo que tiene .

Lo que sabe es obvio: la combinación correcta de nombre de usuario y contraseña. Lo que tienes , sin embargo, es una historia diferente. Con algunas excepciones, en realidad no proporcionas algo que tienes contigo. Por lo general, ingresa un código temporal que de alguna manera aparece en un dispositivo que tiene . ¿Y qué dispositivo tienes contigo en todo momento? Así es, tu teléfono móvil.

SMS y autenticación de dos factores

Enviar por mensaje de texto el código de acceso temporal a su teléfono móvil es una solución obvia. Es rápido, es económico y, por un tiempo, no hubo otras alternativas. Hasta el día de hoy, existen numerosos servicios en línea que ofrecen este tipo de autenticación de dos factores, y muchas personas lo utilizan, pensando que es lo más sensato del mundo.

Los especialistas en seguridad, sin embargo, han tenido sus dudas por un tiempo. La cuestión es que, cuando expresan sus preocupaciones, a menudo son criticados por ser demasiado paranoicos, y hay que decir que de vez en cuando, los escenarios que algunos de ellos describen no son muy plausibles, especialmente en lo que respecta a los usuarios habituales. . Sin embargo, en el caso de los SMS y la autenticación de dos factores, los temores se basan en hechos concretos y fríos sobre la tecnología en cuestión, y no deben descartarse a la ligera.

SS7: la tecnología antigua que todavía utilizamos para enviar y recibir SMS

El Sistema de Señalización No. 7 (SS7) es una colección de protocolos que hemos utilizado para, entre otras cosas, transmitir mensajes de texto desde que salieron los primeros teléfonos móviles. Los protocolos reales se desarrollaron en 1975, y como cualquier tecnología que tiene más de cuarenta años, también han demostrado tener una o dos desventajas.

Desde el punto de vista de la seguridad, las cosas han sido particularmente preocupantes, especialmente durante la última década más o menos. Los expertos han estado hablando sobre las vulnerabilidades de SS7 desde 2008, con los primeros defectos que permiten el seguimiento de las víctimas y con descubrimientos posteriores que permiten a los delincuentes reenviar e interceptar llamadas y mensajes. En teoría, solo los proveedores de telecomunicaciones deberían tener acceso a las redes SS7, pero en realidad, cualquiera puede ir a los mercados subterráneos y comprar herramientas que les permitan navegar por el flujo de información.

Tan pronto como encontraron las primeras vulnerabilidades, los expertos declararon que el SS7 era inadecuado para proteger la privacidad de los usuarios y dijeron que algo más moderno debería reemplazarlo. Aparentemente, sin embargo, los proveedores de telecomunicaciones pensaron que la amenaza no es tan grave y las llamadas de la comunidad de seguridad fueron ignoradas. En 2017, sucedió lo inevitable.

La sucursal alemana de O2-Telefónica, un proveedor europeo de servicios móviles, admitió que a algunos de sus clientes se les agotaron las cuentas bancarias después de que los delincuentes explotaran una falla en la red SS7. Primero, los hackers usaron la ingeniería social para engañar a las víctimas para que instalaran malware en sus computadoras. Armados con nombres de usuario, contraseñas y números de teléfono robados, los delincuentes intentaron iniciar sesión en las cuentas de los usuarios en medio de la noche.. Luego, interceptaron los SMS con los códigos de autenticación de dos factores y desviaron con éxito el dinero.

A raíz del incidente, más personas comenzaron a presionar por una tecnología más nueva para reemplazar SS7, pero el hecho es que, por el momento, simplemente no tenemos una alternativa. Esto, junto con la amenaza del intercambio de SIM , hace que los SMS sean un medio para transferir códigos 2FA menos que perfectos. ¿Esto significa que no debe, bajo ninguna circunstancia, usar la autenticación de dos factores por SMS?

La autenticación de dos factores por SMS es mejor que ninguna autenticación de dos factores

El SMS, especialmente cuando se usa para algo tan sensible como los códigos 2FA, tiene sus fallas. Sin embargo, hay que decir que algunas personas se dejan llevar por las advertencias. De hecho, los ataques SS7 no son solo una posibilidad teórica, sino una realidad, como pueden atestiguar los clientes de O2-Telefónica. Sin embargo, este tipo de crimen solo puede ser perpetrado por grupos sofisticados de piratería que son altamente calificados y altamente motivados. Y, contrariamente a la creencia popular, no hay muchos de los que están alrededor. La mayoría de los ciberdelincuentes que se aprovechan de los usuarios no tienen ni el conocimiento ni los recursos para llevar a cabo tal ataque. Lo mismo ocurre con el intercambio de SIM.

Y en cualquier caso, incluso si tienen la habilidad suficiente para interceptar mensajes de texto, al tener habilitada la autenticación de dos factores, al menos, les está haciendo la vida mucho más difícil. Eso siempre es algo bueno.

Debería saber ahora que hay algunas alternativas. Las aplicaciones de autenticación de dos factores como Google Authenticator generan sus códigos localmente, lo que significa que los delincuentes no pueden interceptarlos. Y si quieres estar aún más seguro, siempre puedes mirar los tokens de autenticación U2F .

Incluso estas opciones no son impecables, pero, especialmente si está protegiendo algo importante como su correo electrónico o su cuenta bancaria en línea, hacen un trabajo mucho mejor que los mensajes de texto. Verifique las opciones de 2FA para todos los servicios que utiliza, y si puede elegir algo más seguro que los mensajes de texto, asegúrese de hacerlo. Incluso si los SMS son la única opción, debe asegurarse de que 2FA esté habilitado.