Nueva técnica de secuestro móvil mediante llamadas y códigos de verificación
Los ciberdelincuentes han desarrollado una nueva estrategia altamente efectiva para tomar el control de dispositivos móviles mediante ingeniería social y explotación de sistemas de autenticación. Esta técnica combina tácticas psicológicas con vulnerabilidades en los procesos de verificación en dos pasos (2FA), poniendo en riesgo la seguridad de los usuarios.
Mecanismo del ataque
El modus operandi sigue esta secuencia:
- El atacante contacta a la víctima mediante una llamada telefónica, simulando ser un representante de su operador móvil o servicio bancario.
- Durante la llamada, solicita al usuario que comparta un código de verificación SMS que acaba de recibir.
- Con este código, el delincuente puede completar procesos de autenticación para servicios críticos o incluso realizar portabilidades SIM fraudulentas.
- Una vez obtenido el acceso, pueden interceptar comunicaciones, realizar transacciones financieras o bloquear al propietario legítimo del dispositivo.
Técnicas complementarias utilizadas
Para aumentar la efectividad del engaño, los atacantes emplean:
- Spoofing de números telefónicos para simular llamadas legítimas
- Uso de información personal obtenida previamente (doxing) para ganar confianza
- Creación de urgencia artificial (“su cuenta está comprometida”)
- Explotación de vulnerabilidades en procesos de recuperación de cuentas
Medidas de protección
Para mitigar este riesgo, se recomienda:
- Nunca compartir códigos de verificación por teléfono, SMS o correo electrónico
- Utilizar aplicaciones autenticadoras (Google Authenticator, Authy) en lugar de SMS para 2FA
- Configurar alertas de actividad sospechosa con tu operador móvil
- Habilitar protección adicional contra portabilidad SIM (PIN de cuenta)
- Verificar siempre la identidad del interlocutor mediante canales alternativos
Implicaciones técnicas
Este tipo de ataque evidencia vulnerabilidades sistémicas en:
- Procesos de autenticación basados únicamente en SMS
- Protocolos de verificación de identidad en operadoras móviles
- Mecanismos de recuperación de cuentas en servicios digitales
- Falta de educación digital sobre ingeniería social avanzada
Las organizaciones deberían implementar soluciones como FIDO2 o WebAuthn para reducir la dependencia de códigos SMS, mientras que los usuarios deben mantenerse alerta ante cualquier solicitud inusual de información sensible.
