El SMS protege tu número, no tu cuenta
En 2021 el FBI recibió 1.611 denuncias por fraude de duplicado de SIM con pérdidas superiores a US$68 millones, según su propio aviso público recogido por TechTarget. Entre 2018 y 2020 las denuncias habían sido 320 y las pérdidas rondaban los US$12 millones. La curva sube rápido y explica por qué las autoridades dejaron de tratar el código por SMS como un segundo factor aceptable.
Para un founder la lectura es directa: si el correo de tu startup, el gestor de contraseñas del equipo o la cuenta bancaria de la empresa dependen de un SMS, su seguridad es tan fuerte como el protocolo de identificación de una operadora telefónica. Ese es justo el eslabón que los atacantes atacan.
¿Por qué el SMS ya no es un segundo factor seguro?
El código va al número, no al aparato, y el número se puede duplicar. Es el SIM swapping: alguien se hace pasar por ti ante tu operadora, consigue una SIM nueva con tu número y desde ese momento los códigos que te corresponden le llegan a él. Tu móvil sigue encendido y sin novedades mientras el atacante inicia la recuperación de contraseña.
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 díasINCIBE lo explica en su blog para ciudadanos: el atacante busca precisamente el código de un solo uso que el banco envía por SMS. Para pedir el duplicado necesita tus datos personales —nombre, DNI, fecha de nacimiento, dirección de facturación o los últimos dígitos de tu cuenta—, que consigue con phishing, tiendas falsas, encuestas virales, filtraciones de servicios o lo que publicas en redes. La señal de alarma que señala el instituto es concreta: quedarte sin cobertura donde normalmente la tienes, sin motivo aparente.
Tampoco es una hipótesis de laboratorio. La Agencia Española de Protección de Datos multó con 70.000 euros a la operadora Digi en julio de 2023 por entregar un duplicado de SIM a un tercero que no era el titular de la línea, y después desestimó su recurso. Según la resolución, el 26 de octubre de 2022 la línea estuvo activa de forma irregular entre las 16:30 y las 17:44; en esas horas, según Xataka Móvil, los estafadores hicieron varias transferencias desde la cuenta de la víctima.
Y hay un segundo riesgo más silencioso: el NIST recoge entre sus amenazas que una aplicación maliciosa instalada en el propio móvil lea el código del SMS, una de las capacidades típicas del spyware y de otros tipos de malware.
El fraude ya opera como industria
Los casos individuales son solo la punta. CrowdfundInsider reportó que una operación coordinada por Europol, con investigadores de Austria, Estonia y Letonia, desmanteló una red de cybercrime as a service dedicada al duplicado de SIM: se incautaron cinco servidores, 1.200 dispositivos SIM box y 40.000 tarjetas SIM activas, adquiridas en unos 80 países y alquiladas a otras organizaciones criminales.
La escala da vértigo: a la red se le atribuyeron más de 1.700 casos de ciberfraude en Austria y 1.500 en Letonia, con pérdidas totales de millones de euros —solo en Austria se estimaron en 4,5 millones— y más de 49 millones de cuentas online creadas para facilitar las estafas. Entre los activos incautados había criptomonedas por un valor aproximado de entre 266.000 y más de 333.000 euros.
El mecanismo era siempre el mismo, según explicó Ron Kerbs, CEO de Kidas, a CrowdfundInsider: secuestrar el número, recibir los códigos de un solo uso y vaciar cuentas de exchanges y carteras digitales. Lo relevante para quien construye una fintech o un marketplace es dónde aterriza el daño: el duplicado empieza en la operadora, pero el golpe financiero lo recibe la empresa que sigue confiando el segundo factor al SMS. La recomendación del especialista es migrar a llaves compatibles con FIDO, biometría o apps autenticadoras, y sumar monitoreo de comportamiento para detectar una transacción alta justo después de un cambio de dispositivo o un reinicio de contraseña.
¿Qué dicen el NIST y la CISA sobre el SMS?
Que se puede seguir usando, pero como opción de riesgo y con alternativa obligatoria. La referencia es la SP 800-63B-4 del NIST, publicada en versión final en julio de 2025. En ella, la autenticación por red telefónica (SMS o llamada de voz) es el único «autenticador restringido»: quien lo acepte debe asumir sus riesgos explícitamente, ofrecer al menos una alternativa no restringida, avisar al usuario y tener un plan de migración por si deja de ser aceptable. El propio NIST recomienda vigilar señales como un cambio de SIM o una portabilidad antes de enviar un código.
La CISA fue más directa en su guía de buenas prácticas para comunicaciones móviles de diciembre de 2024: «No uses el SMS como segundo factor de autenticación». Conviene leerla en contexto: está dirigida a personas «altamente expuestas», como altos cargos políticos y de Gobierno, aunque la agencia sostiene que sus consejos sirven para cualquiera.
El sector privado ya se movió. Microsoft está retirando los códigos por SMS en las cuentas personales y describe ese método como «una de las principales fuentes de fraude», según recogió GadgetReview. Las pantallas de acceso ahora priorizan rostro, huella o PIN, y el cambio afecta a Outlook, Xbox, OneDrive y el inicio de sesión de Windows. Apple y Google empujan en la misma dirección con passkeys.
La escalera de alternativas, de menos a más segura
Peldaño 1: app autenticadora. Genera códigos de seis dígitos en el propio móvil y elimina el problema del duplicado de SIM, porque el código vive en el aparato y no en la línea. Su límite, según la CISA: «son mejores que el SMS, pero siguen siendo vulnerables al phishing». Si una web falsa te pide el código y lo escribes, el atacante lo usa al instante.
Peldaño 2: passkeys. Una passkey (llave de acceso) es una credencial basada en los estándares de la FIDO Alliance que se guarda en tu móvil, tu ordenador o una llave de seguridad, y que desbloqueas igual que el teléfono: huella, cara, PIN o patrón. Sustituyen la contraseña por un par de claves criptográficas, resisten el phishing por diseño y no dejan ningún secreto compartido que robar. La FIDO Alliance cita una encuesta independiente que encargó en 2024: el 53 % de las personas había activado passkeys en al menos una cuenta y el 22 % en todas las que podía. Es un dato de la propia organización que las promueve, así que conviene tomarlo como tendencia, no como foto exacta.
Peldaño 3: llave física FIDO2. Es el nivel máximo. La CISA afirma que la autenticación FIDO es «la forma más fuerte de MFA» y que resiste las técnicas para saltarse el segundo factor. El NIST lo traduce a requisitos: su nivel de seguridad más alto, AAL3, exige un autenticador resistente al phishing con clave privada no exportable, y por eso excluye las passkeys sincronizadas. Para la mayoría de la gente, una llave física —mejor dos, una de reserva— solo tiene sentido en dos o tres cuentas críticas: el correo principal, la cuenta de Google o Apple y el gestor de contraseñas.
¿Qué significa esto para tu startup?
Una startup típica tiene tres activos que duelen si caen: el correo corporativo, el repositorio de código y el gestor de contraseñas. Si cualquiera de los tres se protege con SMS, el atacante no necesita romper tu seguridad: solo convencer a una operadora.
Tres movimientos concretos:
- Haz inventario y migra por criticidad. Lista todas las cuentas con 2FA activo y marca cuáles usan SMS. Empieza por el correo y el gestor de contraseñas —desde ahí se resetea casi todo lo demás— y súbelas a app autenticadora o passkey. El SMS se queda como último recurso, no como cerrojo principal.
- Blinda la línea de los fundadores. Pide a la operadora un PIN o clave para operaciones sensibles, como duplicados o portabilidades; la CISA lo recomienda y la resolución de la AEPD recoge que la propia Digi propuso a la víctima establecer una palabra clave para futuros duplicados. Si te quedas sin cobertura de repente, llama a la operadora en ese momento y, si ves cargos extraños, a tu banco. En España, el 017 orienta gratis.
- Si tu producto usa SMS como 2FA, es deuda técnica. Ofrecer solo SMS a tus usuarios te convierte en el punto de entrada del fraude que describen las investigaciones. Añade TOTP (app autenticadora) y passkeys, y reserva el SMS para recuperación de cuenta, con aviso al usuario cada vez que se use ese canal.
Una advertencia honesta: en muchos bancos españoles el SMS sigue siendo el método para confirmar pagos y no siempre se puede cambiar. Ahí la defensa pasa por blindar la línea y vigilar la cobertura. El problema ya no es técnico, es de inercia: existen alternativas mejores y más cómodas, y mantener el SMS como cerrojo principal de una cuenta importante es, a estas alturas, una decisión que trabaja a favor del atacante.
Fuentes
- Por qué el SMS ya no es un segundo factor seguro y qué usar en su lugar (fuente original)
- Cybercrime as a Service: SIM Swap Scam Shuttered in Europe
- Microsoft Wants You To Use Passkeys, Pulls The Plug on SMS Codes
- How to solve 2 MFA challenges: SIM swapping and MFA fatigue
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días
