Millones de personas están en riesgo debido al creciente uso de enlaces de autenticación basados en SMS por parte de los servicios en línea, según un estudio reciente. Los investigadores descubrieron que estos enlaces, destinados a simplificar el proceso de inicio de sesión, están haciendo que los usuarios sean vulnerables a estafas, robo de identidad y otros delitos.

El estudio, publicado la semana pasada, identificó más de 700 puntos de acceso que envían dichos textos en nombre de más de 175 servicios. Estos servicios, que van desde proveedores de cotizaciones de seguros hasta sitios de listado de empleos y plataformas de referencia para cuidadores de mascotas y tutores, dependen cada vez más de la autenticación por SMS para evitar las complejidades de los sistemas tradicionales de nombre de usuario y contraseña. En cambio, los usuarios proporcionan su número de teléfono celular durante el registro y reciben enlaces de autenticación o códigos de acceso por mensaje de texto cuando desean iniciar sesión.

Una vulnerabilidad clave identificada en la investigación es el uso de enlaces fácilmente enumerables. Esto significa que los estafadores pueden potencialmente adivinar enlaces válidos simplemente modificando el token de seguridad, que normalmente es una cadena de caracteres al final de la URL. Al alterar sistemáticamente estos tokens, los actores maliciosos pueden obtener acceso no autorizado a las cuentas de usuario.

"La facilidad con la que se pueden manipular estos enlaces representa una amenaza significativa para la privacidad y la seguridad del usuario", afirmó el autor principal del estudio. "Los servicios deben adoptar métodos de autenticación más sólidos para proteger a sus usuarios de posibles daños".

La dependencia de la autenticación basada en SMS ha crecido en los últimos años debido a su conveniencia percibida. Sin embargo, los expertos en seguridad han advertido durante mucho tiempo sobre los riesgos inherentes asociados con este método. Los mensajes SMS no están encriptados y pueden ser interceptados por actores maliciosos. Además, los números de teléfono pueden ser suplantados, lo que permite a los atacantes hacerse pasar por servicios legítimos y enviar enlaces fraudulentos.

Los hallazgos del estudio resaltan la urgente necesidad de que los servicios en línea reevalúen sus prácticas de autenticación y adopten alternativas más seguras, como la autenticación multifactorial utilizando aplicaciones de autenticación o claves de seguridad de hardware. También se aconseja a los consumidores que tengan cuidado al hacer clic en los enlaces recibidos por mensaje de texto y que verifiquen la legitimidad del remitente antes de ingresar cualquier información personal.