Por qué el SMS no es seguro y el salto a Passkeys

El mensaje de texto (SMS) viaja por la red celular de tu operadora telefónica. En el ataque conocido como duplicado fraudulento de SIM, un estafador engaña al servicio de atención al cliente de tu compañía (usando datos personales filtrados o documentación falsa) para que transfiera tu número de teléfono a un nuevo chip que tiene en sus manos. En ese instante tu móvil muestra «Sin servicio», y todos los códigos bancarios y de recuperación por SMS le llegan a él.

Las aplicaciones autenticadoras utilizan un estándar matemático seguro. Cuando vinculas tu cuenta, se comparte una semilla secreta una sola vez mediante un código QR. A partir de ahí, la app y el servidor calculan de forma matemática un código de 6 dígitos que cambia cada 30 segundos usando la hora del reloj. No viaja ningún SMS por el aire, no necesitas cobertura de red y un duplicado de SIM no le sirve de nada al atacante.

Muchas personas le temen al segundo paso pensando: «¿y qué pasa si pierdo el teléfono o se cae al agua?». Cada vez que activas una app autenticadora, el servicio te entrega una lista de códigos de respaldo (o recuperación de un solo uso). Estos códigos son tu llave de emergencia: debes copiarlos en papel y guardarlos en un lugar seguro y privado de tu casa, o en un gestor cifrado. Si tu teléfono desaparece, con uno de esos códigos entras y configuras tu nuevo móvil.

Las llaves de acceso o Passkeys representan la mayor evolución en seguridad cotidiana. En lugar de escribir contraseñas que cualquiera puede copiar o robar con páginas falsas, tu dispositivo utiliza criptografía: tú autorizas el acceso con tu huella digital, rostro o PIN del teléfono. Lo más potente es que son inmunes al engaño: tu navegador web solo entrega la firma digital al sitio web real (por ejemplo, google.com). Si caes en una página falsa idéntica, el sistema se niega a autenticarte porque el dominio no coincide.