La amenaza oculta tras los enlaces de autenticación SMS
Puede que ya te haya pasado. Te registras en una web, introduces tu número de teléfono y recibes un mensaje con un enlace para acceder a tu cuenta. Parece cómodo, ¿verdad? Pues resulta que esta práctica, cada vez más común, está poniendo en riesgo tu privacidad y seguridad en internet de formas que ni imaginas.
El problema de los enlaces mágicos que no tienen nada de mágicos
Una investigación reciente ha destapado algo preocupante: más de 175 servicios digitales están comprometiendo seriamente los datos personales de millones de usuarios mediante enlaces de autenticación enviados por SMS. Y no, no hablamos de webs oscuras o servicios de dudosa reputación, sino de plataformas que usamos a diario para buscar seguros, empleo o contratar servicios.
La comodidad tiene un precio. Al evitar el tradicional usuario y contraseña, estas empresas nos envían enlaces o códigos por mensaje de texto que, en teoría, solo nosotros podemos recibir. El problema es que la implementación de esta tecnología deja mucho que desear en términos de ciberseguridad.
Vulnerabilidades que dan miedo
Los investigadores descubrieron más de 700 puntos finales que enviaban estos mensajes con graves problemas de seguridad. Entre las vulnerabilidades más preocupantes:
-
Tokens fácilmente manipulables: Imagina que recibes un enlace que termina en «token=ABC123». Un atacante podría simplemente cambiar ese código a «ABC124» y acceder a la cuenta de otro usuario. Así de simple.
-
Combinaciones limitadas: Algunos servicios usan tokens tan cortos o predecibles que resulta sencillo probar todas las combinaciones posibles hasta dar con una válida.
-
Acceso permanente: Muchos de estos enlaces no caducan nunca. Un mensaje que recibiste hace años podría seguir funcionando, aumentando las posibilidades de acceso no autorizado.
-
Sin verificaciones adicionales: Una vez que alguien tiene el enlace, puede acceder a la información personal sin ninguna otra comprobación. Es como dejar la puerta de casa abierta con un cartel que diga «pasa y sírvete».
Un vistazo a los datos comprometidos
Lo que me parece más alarmante es el tipo de información que queda expuesta. No estamos hablando solo de tu nombre o correo electrónico. Los investigadores encontraron que, a través de estos enlaces vulnerables, se podía acceder a:
- Números de la seguridad social
- Fechas de nacimiento
- Números de cuentas bancarias
- Puntajes crediticios
- Solicitudes de seguros parcialmente completadas
Y todo esto con un simple clic en un enlace mal diseñado. ¿Lo peor? De los 150 proveedores de servicios que los investigadores lograron contactar, solo 18 respondieron y apenas 7 han solucionado el problema.
Por qué las empresas siguen usando este sistema
Te preguntarás por qué, si es tan inseguro, las empresas siguen utilizando este método. La respuesta es simple: porque es cómodo (para ellos).
- Reduce la fricción: Los usuarios no tienen que recordar otra contraseña más.
- Evita almacenar credenciales: No tienen que preocuparse por proteger bases de datos de contraseñas.
- Es barato de implementar: Comparado con sistemas más robustos, es una solución de bajo coste.
Pero esta comodidad tiene un precio que pagamos nosotros, los usuarios, con nuestra privacidad y seguridad.
Los enlaces mágicos no son intrínsecamente malos
Es importante aclarar que no todos los enlaces de autenticación son inseguros. De hecho, cuando están bien implementados, pueden ser una opción válida. El problema es que muchos servicios los implementan mal, muy mal.
Un enlace de autenticación seguro debería:
- Caducar en poco tiempo (idealmente en minutos, no días)
- Dejar de funcionar tras el primer uso
- Utilizar tokens criptográficamente seguros y suficientemente largos
- Requerir algún factor adicional de verificación
Sitios como DuckDuckGo o 404 Media utilizan correctamente este sistema, con enlaces que expiran en 24 horas o contraseñas de un solo uso.
¿Qué podemos hacer para protegernos?
Como usuarios, tenemos pocas opciones. Muhammad Danish, autor principal del estudio, señala que la responsabilidad recae principalmente en los proveedores de servicios. Sin embargo, podemos:
-
Ser críticos: Si un servicio te pide datos sensibles y solo usa SMS para autenticarte, plantéate si realmente necesitas usarlo.
-
Reportar problemas: Si detectas que un servicio usa enlaces poco seguros, repórtalo.
-
Borrar tus datos: En casos extremos, considera eliminar tu información de servicios que no ofrezcan garantías suficientes.
-
Usar autenticación de dos factores: Cuando sea posible, activa la verificación en dos pasos mediante apps específicas, no SMS.
Lo cierto es que esta práctica está muy extendida y no parece que vaya a cambiar pronto. Los investigadores solo pudieron analizar una pequeña fracción del problema, utilizando números temporales en gateways públicos de SMS. La realidad podría ser mucho peor.
El futuro de la autenticación
Mientras las empresas sigan priorizando la comodidad sobre la seguridad, este tipo de vulnerabilidades seguirán existiendo. Como ya comentamos en secciones anteriores sobre identidad digital, necesitamos un equilibrio entre usabilidad y protección.
Los enlaces mágicos por SMS no son adecuados para servicios que manejan información sensible, como bancos o correos electrónicos con grandes volúmenes de datos personales. Estos requieren mecanismos de recuperación de cuentas más robustos y sistemas de autenticación multifactor.
La verdad es que me sorprende que en 2026 sigamos viendo estas prácticas tan extendidas. Los mensajes SMS se envían sin cifrar y, como se ha demostrado en el pasado, existen bases de datos públicas con millones de mensajes que contienen enlaces de autenticación y detalles privados.
El panorama no es alentador, pero estar informado es el primer paso para protegerse. La próxima vez que recibas un enlace por SMS para acceder a un servicio, piénsalo dos veces antes de hacer clic.
