En un ataque SIM Swap, el atacante obtiene el control del número telefónico de la víctima mediante un cambio de tarjeta SIM o una transferencia no autorizada. Si el acceso o la recuperación de la cuenta dependen únicamente de recibir un SMS, ese control puede abrir la puerta a la cuenta. Pero el resultado no es igual en todos los servicios de mensajería: una contraseña adicional, dispositivos autorizados, bloqueos de registro y políticas de recuperación pueden marcar la diferencia.
Considera la toma del número, la toma de la cuenta y la lectura de mensajes antiguos como tres resultados distintos. No supongas que uno implica necesariamente otro sin conocer la arquitectura del servicio.
¿Qué demuestra un código SMS?
Un código SMS suele demostrar que el proceso de inicio de sesión tiene acceso al número correspondiente. No prueba necesariamente que la misma persona de siempre siga controlándolo. La guía de la FTC sobre SIM Swap explica por qué un atacante que controla el número puede recibir códigos de verificación.
Esta debilidad no vuelve inútil toda la autenticación multifactor. Elegir un factor más fuerte, cuando el servicio lo permita, puede reducir la dependencia de la red telefónica. Revisa también la recuperación: si el método de acceso más fuerte puede eludirse mediante una recuperación basada solo en SMS, esa vía sigue siendo importante.
¿Qué diferencia aporta SRP?
SRP es un método de acuerdo de claves y autenticación basado en contraseña que no necesita enviar la propia contraseña durante el intercambio normal. El servidor guarda unos datos llamados verificador. Esto difiere del acceso basado únicamente en un código SMS, pero el nombre SRP por sí solo no determina la política de registro o recuperación de una cuenta.
Tampoco hay que considerar inocuo el verificador. La sección de seguridad del RFC 5054 señala que robarlo puede permitir un ataque de diccionario para adivinar la contraseña. La fortaleza de la contraseña, los controles de intentos de acceso, los parámetros y la implementación correcta siguen importando. Este RFC describe un ejemplo de SRP en TLS, no una auditoría de la implementación de Livara.
Si se toma una cuenta, ¿pueden leerse todos los chats?
| Situación | Pregunta decisiva |
|---|---|
| El atacante solo tiene el número | ¿Se permite acceder o recuperar la cuenta solo mediante SMS? |
| El atacante ha entrado en la cuenta | ¿Un dispositivo nuevo obtiene acceso a las claves y al historial anteriores? |
| El atacante envía un mensaje nuevo | ¿Los contactos ven y comprueban el cambio de identidad o dispositivo? |
| El atacante tiene la frase de recuperación | ¿Qué copias de seguridad y claves permite desbloquear? |
| El atacante tiene el dispositivo desbloqueado | ¿Qué contenido y sesiones activas están a su alcance? |
El cifrado de extremo a extremo protege el trayecto del contenido de los mensajes; no sustituye la política de acceso ni la confianza en la identidad del contacto.
Los límites de lo que afirma Livara
La página de seguridad de Livara describe el acceso mediante nombre de usuario y SRP y la recuperación separada del material de identidad. Este diseño no debe convertirse en una promesa de inmunidad frente a cualquier robo de cuenta. El phishing, el malware, las contraseñas débiles y la divulgación de la frase de recuperación siguen formando parte de la evaluación.
El mismo documento indica que v7 recupera la identidad criptográfica, no el historial de chats. El modelo de amenazas ayuda a no confundir el acceso a la cuenta, a las claves y el acceso físico al dispositivo.
Medidas prácticas para reducir el riesgo
- Establece una contraseña o PIN exclusivo para tu cuenta con el operador y pregunta por las restricciones de transferencia del número. Esto reduce el riesgo, pero no hace imposible una transferencia no autorizada.
- En los servicios compatibles, activa un factor adecuado que no dependa de SMS y guarda los códigos de recuperación de forma segura.
- Utiliza contraseñas únicas; una contraseña compartida puede extender un incidente de un servicio a varias cuentas.
- Si el servicio de la SIM se interrumpe de repente o recibes un aviso de cambio inesperado, consulta al operador mediante una vía oficial y conocida; no toda interrupción significa un ataque.
- Tras recuperar el número, revisa los accesos y cambios de las cuentas asociadas y revoca los accesos desconocidos siguiendo las instrucciones de cada servicio.
El mejor criterio no es el nombre de un método de acceso, sino qué obtiene exactamente un atacante al controlar el número, la contraseña o el dispositivo, y qué barrera independiente permanece.
