Blog Series #1 — SIM swapping: por qué el 2FA no debe quedar en el número de celular
El código de 2FA por SMS va al número, no a ti. Si alguien se queda con el chip, la recuperación de la cuenta llega al aparato equivocado.
El SIM swapping, o cambio de chip, es un ataque en el que alguien convence al operador de emitir un nuevo SIM con tu número. Tu celular pierde la señal. El aparato del atacante pasa a recibir las llamadas y los SMS de ese número.
Eso parece un problema de telefonía. Para quien usa autenticación de dos factores por SMS, se convierte en un problema de cuenta.
El segundo factor debería ser algo que solo tú controlas. Un número de celular no es eso. El número pertenece al operador. La aplicación autenticadora genera el código en tu dispositivo a partir de un secreto que no viaja con el chip.
Qué es el SIM swapping
El atacante no necesita tu teléfono físico. Necesita tu número.
En la práctica, esto suele pasar por el operador: una portabilidad, un “duplicado” del chip, una atención en la que la identidad es frágil. Con el número redirigido, el SMS deja de ser un mensaje para ti y se convierte en un mensaje para quien controla el destino de ese número.
El punto importante no es el teatro del fraude. Es el modelo de confianza. Quien autentica la cuenta está preguntando “¿quién recibe SMS en este número?”, y no “¿quién tiene el dispositivo que registraste?”.
Por qué el SMS no es un segundo factor
La autenticación de dos factores existe para exigir dos cosas distintas: algo que sabes, como la contraseña, y algo que tienes.
El SMS falla en esa segunda parte. El código no vive en tu aparato. Se entrega a una dirección pública, el número, que el operador puede reasignar.
contraseña + SMS al número
│
▼
operador
│
▼
quien tenga el chip
Si la contraseña se filtra, el SMS todavía puede parecer una red de seguridad. En un SIM swapping, esa red cae con ella: el atacante recibe el código de acceso y, peor, el código de recuperación de contraseña.
Muchos servicios tratan el número como canal de emergencia. ¿Olvidaste la contraseña? Enviamos un SMS. En ese diseño, el segundo factor y la recuperación de la cuenta viven en el mismo lugar. Quien se queda con el número se queda con los dos.
La aplicación autenticadora no viaja con el chip
La aplicación autenticadora, el authenticator app, funciona de otro modo. En el momento del registro, el servicio y tu dispositivo comparten un secreto. A partir de ahí, el código de seis dígitos se genera en local, cada 30 segundos, sin pasar por el operador.
servicio + secreto en la app
│
▼
código TOTP
│
▼
solo quien tiene el dispositivo
Cambiar el chip no se lleva ese secreto. El atacante puede recibir SMS en tu número y, aun así, no puede generar el código de la aplicación.
Eso vale para el autenticador en el celular, en el gestor de contraseñas o en una llave de hardware. El criterio es el mismo: el segundo factor tiene que vivir en un secreto o en una llave que tú controlas, no en el enrutamiento de un número.
Hay un cuidado. Si la propia aplicación autenticadora recupera la cuenta por SMS, el problema vuelve por la puerta de atrás. La copia de seguridad del autenticador tiene que estar en otro factor, no en el número que el SIM swapping secuestra.
Qué hacer ahora
Sal del 2FA por SMS en las cuentas que importan: correo, GitHub, nube, banco, gestor de contraseñas. Cámbialo por una aplicación autenticadora. Donde exista, prefiere passkeys o una llave de seguridad.
Quita el número de celular de la recuperación de la cuenta siempre que el servicio lo permita. Si el operador ofrece un PIN de portabilidad o de atención, actívalo. Eso no sustituye al autenticador, pero encarece el cambio del chip.
El orden práctico es simple:
1. autenticador en lugar del SMS
2. contraseña única en el gestor
3. número fuera de la recuperación
El 2FA por SMS sigue siendo mejor que no tener segundo factor. Solo que no es un segundo factor de verdad. El código tiene que quedar en la aplicación autenticadora, no en el número de celular.
Integra DevSecOps en tu flujo de trabajo con runtz
Empieza a detectar riesgos de seguridad. Visita runtz.dev.
