Todo lo que vale la pena saber, nada que no lo sea.
Cómo se desarrolla realmente el ataque
El atacante primero recopila suficientes datos personales para superar la verificación de identidad del equipo de retención, a menudo a partir de una filtración de datos o una página de phishing. Luego, contacta al operador alegando la pérdida o el daño de su teléfono y solicitando la portabilidad o una SIM de reemplazo. Una vez completado el intercambio, el teléfono de la víctima pierde silenciosamente la señal y todos SMS y llamadas de voz se redirigen al atacante. Los restablecimientos de contraseña, OTP bancarios y los códigos de recuperación de cuenta se envían en cuestión de minutos. La primera señal que suele recibir la víctima es que su teléfono ha dejado de funcionar, momento en el que el dinero ya se ha transferido.
Por qué sigue valiendo la pena enviar OTP SMS
La lección no es que OTP SMS sea inútil —llega a cualquier teléfono en cualquier mercado sin necesidad de instalar ninguna aplicación, algo que ningún otro método logra—. La lección es que autentica un número de teléfono, no a una persona, y un número puede cambiar de manos. Considérelo como un factor más entre varios para cualquier proceso irreversible, y combínelo con una señal que el atacante no pueda transferir con la SIM.
La defensa: comprueba la línea, no solo el código.
El cambio de SIM deja una huella en los registros del operador. Una consulta de número o HLR devuelve la fecha del último cambio SIM y si el número se ha portado recientemente. Si la SIM de un suscriptor cambió hace cuatro horas y ahora está restableciendo su contraseña, se trata de una autenticación reforzada, no de un inicio de sesión normal. Los proveedores que trabajan directamente con el operador pueden acceder a esta información porque son ellos quienes mantienen la relación con el operador; un revendedor, que se encuentra a varios niveles de distancia, generalmente no puede.
Qué hacer en la práctica
Consulta el estado de intercambio y puerto de la línea antes de enviar una OTP para una acción de alto valor. Aplica un período de espera: muchos bancos rechazan los restablecimientos de contraseña durante 24 a 72 horas después de detectar un intercambio. Ofrece autenticación mediante aplicación o clave como factor principal para tus flujos de mayor riesgo y mantén SMS como alternativa que siga funcionando si alguien pierde su teléfono. Además, alerta al cliente a través de un segundo canal, como el correo electrónico, cuando cambie la SIM asociada a su cuenta.