Ciberataque a SMS. Los atacantes lograron interceptar en tiempo real más de 30.000 mensajes de textos y permitieron la apropiación masiva de cuentas.
En el caso de Sondeos Global, el ataque no solo fue efectivo, sino que pasó desapercibido durante semanas, permitiendo la apropiación masiva de cuentas sin necesidad de que las víctimas hicieran clic en enlaces o instalarán malware.
Un grupo de investigadores especializados detectaron incluso bots que automatizaban la interceptación de estos códigos y facilitaban el acceso a cuentas personales, especialmente de Telegram. Lo más preocupante es que muchas de las víctimas aplicaban buenas prácticas de seguridad: no tenían dispositivos infectados ni utilizaban contraseñas débiles, lo que demuestra que la falla estaba en el canal de comunicación mismo.
Como conclusión, queda claro que el uso de SMS como segundo factor de autenticación debe considerarse obsoleto y peligroso. Existen métodos mucho más seguros y fáciles de usar, como las aplicaciones de autenticación (Google Authenticator, Microsoft Authenticator, IBM Verify, etc.), dispositivos físicos de seguridad tipo FIDO o la utilización de passkeys basadas en biometría implementadas en dispositivos de confianza.
Todos estos métodos se basan en un concepto fundamental del que el SMS carece, no viajan por la red, sino que se generan en el dispositivo de confianza, usualmente el celular del usuario. De esta forma es imposible interceptar miles de contraseñas de segundo factor de forma centralizada como ocurrió con el ataque a Sondeos Global.
En todos los casos, el mensaje es el mismo: proteger los accesos con un segundo factor sigue siendo fundamental, pero el canal elegido para ese segundo factor debe ser robusto. Hoy, el SMS claramente no lo es.