Proteja el número, pero examine también cada vía de acceso que lo trate como prueba de identidad.
Un intercambio de SIM transfiere el control de su número de teléfono a una SIM o eSIM controlada por un atacante. Si una cuenta de mensajería acepta un SMS como prueba suficiente para registrarse, iniciar sesión o recuperar el acceso, el atacante podría aprovechar esa vía.
El resultado no es idéntico en todos los servicios de mensajería. Un bloqueo de registro adicional, una clave de acceso, una contraseña o un secreto de recuperación independiente pueden cambiar lo que puede hacer el atacante. Apoderarse de un número tampoco descifra automáticamente todas las conversaciones antiguas guardadas en sus dispositivos.
Cómo el control del número se convierte en control de la cuenta
La guía sobre intercambio de SIM de la Comisión Federal de Comercio de Estados Unidos describe cómo los atacantes convencen a un operador para que active el número de una víctima en otra SIM. Los mensajes de verificación y las llamadas entrantes pueden entonces llegar al atacante.
La debilidad relevante es la decisión de la cuenta de confiar en ese número. Un servicio podría utilizarlo para el registro inicial, un paso de verificación adicional o un restablecimiento de contraseña. Son capacidades diferentes. Revise todas, incluidas las opciones alternativas, en lugar de comprobar únicamente la pantalla de inicio de sesión habitual.
Una pérdida repentina del servicio móvil o un aviso inesperado de activación de SIM pueden ser señales de alerta, aunque las interrupciones y los problemas normales de la cuenta pueden parecer similares. Confírmelo con el operador mediante un canal oficial conocido.
Separar la suplantación del acceso al historial de mensajes
Un dispositivo recién registrado y controlado por un atacante podría suplantarle o recibir futuras comunicaciones, según las reglas de la aplicación. Para acceder al historial antiguo hace falta una explicación adicional: una copia legible en el servidor, acceso a una copia de seguridad cifrada y a su clave, un dispositivo vinculado o una copia local.
| Activo | ¿El control del número por sí solo lo proporciona necesariamente? |
|---|---|
| Códigos de verificación SMS entrantes | Potencialmente, una vez transferido el número |
| Registro o restablecimiento de la cuenta | Solo si el servicio acepta esa vía sin un requisito independiente |
| Sesiones existentes en dispositivos | No automáticamente; importan las reglas de gestión de sesiones |
| Historial antiguo de chats E2EE | No automáticamente; el atacante aún necesita una copia accesible y las claves necesarias |
| Mensajes futuros dirigidos a una identidad recién aceptada | Un riesgo que depende de la verificación de identidad y del comportamiento de la cuenta |
Las alertas de cambio de clave y la comprobación independiente de la identidad de un contacto pueden ayudar a detectar un nuevo extremo inesperado. No deben descartarse simplemente porque el número conocido siga siendo el mismo.
Qué aporta SRP y qué no puede prometer
SRP autentica el conocimiento de una contraseña sin enviarla en el intercambio previsto. Si el inicio de sesión exige realmente una contraseña independiente y ninguna alternativa por SMS permite eludirla, robar el número por sí solo no satisface ese requisito.
SRP no define por sí mismo la política de números de teléfono, el proceso de restablecimiento ni los procedimientos de soporte de la aplicación. No convierte una contraseña débil en una fuerte ni impide que código de phishing lea el texto introducido en una página maliciosa. El verificador del servidor también sigue siendo sensible: la sección 3.3 del RFC 5054 describe cómo adivinar contraseñas tras robar el verificador.
Las claves de acceso y las llaves de seguridad son otras posibles formas de reducir la dependencia de los SMS, cuando el servicio las admite. La explicación sobre claves de acceso de FIDO Alliance describe las credenciales de clave pública y la resistencia al phishing. La vía real de recuperación de la cuenta sigue necesitando una revisión, sea cual sea el método habitual de acceso.
La separación documentada por Livara
La página de seguridad de Livara describe el acceso mediante SRP por separado de su copia cifrada de la identidad. La versión 7 sella el material de identidad antes de subirlo con una clave de recuperación distinta y restaura la identidad, no el historial de chats. El modelo de amenazas indica que una contraseña robada por sí sola no permite restaurar esas claves de cifrado.
Estos límites ayudan a distinguir autenticación y descifrado. No justifican prometer que se hayan auditado todas las vías de apropiación de cuentas ni que un incidente del operador no pueda tener efectos. Revise las opciones actuales de inicio de sesión y recuperación en el cliente; no deduzca comportamientos no documentados a partir del nombre de un protocolo.
El establecimiento poscuántico de claves aborda un problema distinto: ataques futuros contra tráfico cifrado capturado. No impide que un operador traslade un número ni que una cuenta confíe en un SMS interceptado.
Reducir el riesgo antes de un incidente
- Proteja la cuenta del operador móvil con un PIN o una contraseña distintos y los controles de portabilidad disponibles.
- Prefiera una autenticación fuerte sin SMS cuando se admita y conserve las opciones de recuperación de forma segura.
- Revise si la recuperación de la cuenta recurre silenciosamente al número de teléfono.
- Mantenga contraseñas únicas y proteja la cuenta de correo utilizada para la recuperación.
- Aprenda cómo muestra el servicio los dispositivos vinculados, los cambios de registro y los cambios de claves de sus contactos.
Si sospecha que se han apoderado de su número
- Contacte de inmediato con el operador por un canal verificado y solicite una investigación y la recuperación del número.
- Desde un dispositivo fiable, proteja las cuentas afectadas y revise las sesiones desconocidas. Recuperar el número no termina necesariamente una sesión existente del atacante.
- Compruebe si se han modificado los ajustes de recuperación y restablezca las credenciales comprometidas mediante los procedimientos oficiales.
- Avise a los contactos importantes por otra vía fiable si es posible una suplantación. Vuelva a verificar las identidades criptográficas que hayan cambiado.
- Conserve los avisos y las marcas de tiempo relevantes para el soporte o una denuncia. Nunca envíe un código de un solo uso, una contraseña o una frase de recuperación a quien ofrezca «arreglar» el problema por mensaje.
La protección útil consiste en un diseño de cuenta que no permita que un factor robado eluda todos los demás controles, junto con un plan claro de recuperación y respuesta sobre las sesiones.
