Mensajes de pago y códigos por SMS

La mensajería de pago envía mensajes a un número corto con tarifa especial. Cada mensaje cuesta dinero, y quien cobra es quien opera ese número. Los cuatro rastros están en lugares distintos: en el paquete, los accesos para enviar mensajes; en el aparato, una app sin pantalla de uso visible; en la factura, cargos periódicos al mismo número corto con un concepto que el usuario no reconoce; y en el operador, el titular del número corto.

La señal que de verdad lo delata es el contraste entre lo que la app dice hacer y lo que consta en la factura. Una app de concursos que no tiene concursos y cobra cada semana no encaja.

El impacto de la mensajería de pago se mide en dinero concreto, y la cifra sirve para dos cosas: dimensionar la reclamación al operador y decidir si el caso se trata como fraude o como un incidente menor. El archivo del operador mezcla cargos de dos líneas y de dos números cortos, y hay un cargo que no pertenece a la historia: una donación legítima. Se suma solo lo que pertenece a la conducta.

Un código de un solo uso por SMS se emite y se valida. El registro del banco anota, para cada código, el dispositivo habitual de la cuenta y el dispositivo que lo validó. Normalmente son el mismo. Un código validado en segundos desde un aparato distinto del habitual es una señal que merece mirarse: alguien tuvo acceso al código casi al mismo tiempo que su dueño.

El registro dice que el código llegó a la línea del cliente, y que a los cinco segundos se validó desde otro aparato. El archivo de cambios de SIM dice que ninguna línea cambió de tarjeta. Con esas dos cosas, la explicación del cambio de SIM pierde fuerza, y gana la de que el código se leyó en el propio teléfono, por una app con acceso a los mensajes o a las notificaciones. Es una hipótesis razonada, no una prueba: se confirma mirando el aparato.

Y deja una lección sobre el factor mismo: un código que llega por SMS al teléfono que también tiene el troyano ya no es un segundo factor independiente.