Verificación por SMS vs aplicaciones autenticadoras: ¿cuál es más segura?

Dos factores, dos modelos de amenaza muy diferentes

Cuando un servicio te pide un segundo factor, te está pidiendo que demuestres dos cosas: que conoces la contraseña y que posees algo más. El "algo más" es lo que difiere entre SMS y una aplicación autenticadora, y las diferencias solo importan cuando miras escenarios de ataque específicos.

SMS le pide al proveedor de mensajería del servicio que envíe un código único a un número de teléfono. La posesión se establece al recibir el código en cualquier dispositivo que controle ese número, lo cual, críticamente, es quien controla la tarjeta SIM o el enrutamiento del número virtual, no necesariamente tú.

Las aplicaciones autenticadoras como Google Authenticator, Authy, Aegis o 2FAS generan códigos localmente en un dispositivo usando un secreto compartido que fue intercambiado durante la inscripción. La posesión se establece al tener el dispositivo que contiene el secreto. El código nunca viaja por la red para llegar a ti: se calcula en tu bolsillo.

Esa única diferencia — códigos-que-llegan-de-una-red versus códigos-calculados-localmente — es la fuente de casi todas las brechas de seguridad entre los dos métodos. Las amenazas contra las que protegen, las amenazas contra las que fallan, y los caminos de recuperación fluyen de ahí.

Cómo se atacan los códigos únicos de SMS

La superficie de ataque de SMS es inusualmente amplia porque el SMS toca varios sistemas antes de llegar a ti.

El intercambio de SIM es el ataque más publicitado y sigue siendo efectivo en 2026. Un atacante usa ingeniería social para convencer a un representante de un operador — o soborna a uno — para transferir tu número a una SIM que controla. Una vez que la SIM es suya, cada SMS que te habría llegado, incluyendo tus códigos de restablecimiento de contraseña, aterriza en su poder. La cobertura de robos de SIM de alto perfil no ha disminuido; la técnica es lo suficientemente rentable para que anillos semiorganizados sigan haciéndola.

La intercepción de SS7 explota debilidades en el protocolo de señalización interoperador que ha conectado las redes telefónicas del mundo desde los años ochenta. Con acceso a una puerta de enlace SS7 — vendida discretamente en intercambios del mercado gris — un atacante puede redirigir el enrutamiento de SMS sin tocar tu SIM. Esto requiere más habilidad que el intercambio de SIM y es más raro fuera de ataques dirigidos, pero ha sido demostrado contra bancos repetidamente.

Personas de adentro del operador y phishing del personal de soporte es una clase relacionada. Las herramientas de soporte al cliente del operador son, desde el punto de vista del operador, software CRM ordinario. Un atacante motivado que hace phishing en la sesión de un agente de soporte puede emitir transferencias, cambiar enrutamiento y leer registros de SMS.

Smishing es el ataque más simple: un atacante te envía un SMS falso que parece una solicitud de verificación legítima, esperando que escribas un código en una página de phishing. Este es el único ataque aquí que las aplicaciones autenticadoras tampoco evitan, ya que los códigos autenticadores también pueden ser robados por phishing si el usuario es engañado.

El hilo común: SMS depende de múltiples sistemas que no controlas, y cualquiera de ellos siendo comprometido es suficiente. Los códigos autenticadores dependen solo de un dispositivo que físicamente tienes.

Donde las aplicaciones autenticadoras fallan

Las aplicaciones autenticadoras no son invulnerables. Tienen sus propios modos de fallo.

El phishing aún funciona. Una página de inicio de sesión falsa bien elaborada puede pedirte tu contraseña y tu código TOTP en tiempo real, y un script detrás de la página envía ambos al servicio real antes de que expire la ventana de 30 segundos. Este es el ataque dominante en cuentas protegidas por autenticador en 2026 y la razón por la cual WebAuthn / passkeys están reemplazando lentamente TOTP.

La pérdida de dispositivo es fatal sin copia de seguridad. Si configuras Google Authenticator en un solo teléfono, pierdes el teléfono y nunca guardaste códigos de recuperación, estás bloqueado en todas tus cuentas. La recuperación depende del equipo de soporte de cada servicio, que a menudo tarda días y requiere prueba de identidad.

Los autenticadores sincronizados en la nube introducen una nueva superficie de ataque. Authy famosamente tuvo una brecha en 2024 que filtró números de teléfono vinculados a cuentas. Las aplicaciones autenticadoras que se sincronizan con iCloud o Google Drive exponen tus semillas a quien pueda comprometer esa cuenta. El compromiso es real: pierdes el dispositivo o pierdes la nube, elige cuál te molesta menos.

Malware en el dispositivo. Un teléfono comprometido puede leer códigos TOTP de una captura de pantalla o grabación de pantalla. Este es un ataque especializado y raro contra usuarios ordinarios, pero para objetivos de alto valor está documentado.

Reutilización de OTP y desviación de hora. Si la hora de un dispositivo se desvía, los códigos no se validan. Si el mismo secreto se inscribe en dos dispositivos y uno es robado, ambos producen códigos válidos hasta que el secreto se revoca.

Comparación lado a lado

Lee esta tabla correctamente: no es "el autenticador gana todas las filas". SMS gana en accesibilidad, recuperación de cuentas y configuración sin trabajo. Para un login casual de foro, SMS está bien. Para tu banco, tu correo electrónico o tu exchange de cripto, la fila que importa es "resistente a intercambio de SIM", y ahí SMS pierde mal.

Cuando SMS 2FA es la opción correcta

Hay casos reales donde SMS 2FA es la mejor opción:

• El usuario no tiene smartphone. Parientes mayores, ciertos lugares de trabajo, cualquiera usando un teléfono básico. SMS es el único segundo factor que pueden usar.
• La recuperación de cuenta es dominante. Para cuentas de bajo valor, el costo de quedar bloqueado (no puedes recuperar un login de sitio de recetas) excede el costo de un ataque (alguien roba tus recetas guardadas).
• El modelo de amenaza es oportunista, no dirigido. Los atacantes aleatorios no hacen intercambio de SIM a personas aleatorias; van por objetivos de alto valor. Si no eres un objetivo de alto valor, SMS detiene ataques oportunistas adecuadamente.
• Estás usando un número virtual. Un número de teléfono virtual usado para una cuenta específica, nunca vinculado a tu identidad real, es significativamente más difícil de intercambiar porque el atacante tiene que identificar primero qué proveedor lo aloja. Esto no elimina el riesgo de SS7, pero eleva considerablemente la barra del ataque más común. Muchos usuarios registran cuentas a través del flujo de activación de SMS precisamente para que la línea de verificación esté desacoplada de su número principal.

El patrón "número virtual para cuentas de bajo riesgo" es cada vez más común: usa SMS 2FA por cuenta con números desechables, y reserva TOTP o claves de hardware para cuentas que contienen dinero o correspondencia.

Cuando las aplicaciones autenticadoras son imprescindibles

Si cualquiera de lo siguiente describe tu cuenta, una aplicación autenticadora (o, mejor, una clave de hardware) es la línea de base correcta:

• La cuenta contiene dinero — banco, corretaje, exchange de cripto, procesador de pagos
• La cuenta contiene correspondencia a largo plazo — correo electrónico, especialmente el correo que respalda otras cuentas
• La cuenta se usa para trabajo — SSO corporativo, control de versiones, infraestructura en la nube
• La cuenta contiene datos regulados — salud, servicios gubernamentales
• La cuenta te expondría personalmente si se filtra — redes sociales primarias, aplicaciones de citas, o cualquier cosa vinculada a tu identidad real

Para estas, el riesgo de intercambio de SIM domina todo lo demás. Empareja el autenticador con WebAuthn / una clave de hardware donde sea soportado. Para exchanges de cripto específicamente, el cálculo es diferente: generalmente necesitas ambos, porque los exchanges requieren SMS como respaldo incluso después de configurar TOTP.

Configuraciones híbridas que realmente funcionan

La configuración práctica más fuerte para la mayoría de los usuarios es en capas:

1. TOTP vía un autenticador respaldado como segundo factor primario. Aegis con respaldos locales encriptados, 2FAS con iCloud, o Authy si aceptas el modelo de confianza de nube.
2. Códigos de recuperación impresos en papel almacenados sin conexión. La mayoría de servicios te dan 8 a 16 códigos en la configuración de TOTP. Trátalos como dinero en efectivo.
3. Un número de SMS virtual en la cuenta, aislado de tu línea principal, solo para servicios que lo requieran como respaldo. El número no necesita ser tu número "real" — solo necesita ser alcanzable. Usa un número de alquiler a largo plazo para estabilidad o un DID dedicado para cuentas en las que inicias sesión frecuentemente.
4. Una clave de hardware (YubiKey, Feitian) encima para cuentas que la soporten. Resistente a phishing de una manera que nada más en esta lista es.

Esta configuración cuesta quizás veinte dólares al año (número de alquiler más clave de hardware opcional) y te protege contra cada ataque realista excepto compromiso de dispositivo completo.

Qué migrar primero si estás comenzando hoy

Si estás leyendo esto y todas tus cuentas son solo SMS, haz esto en orden:

1. Correo electrónico primero. Es la cuenta de recuperación de todo lo demás. Cámbiala a TOTP esta semana.
2. Cuentas financieras segundo. Banco, corretaje, procesadores de pagos. Algunos bancos aún resisten TOTP — presiónalos, o elige un banco que lo ofrezca.
3. Cualquier cosa vinculada a tu identidad real. Redes sociales primarias, portales gubernamentales, salud.
4. Cuentas de valor a largo plazo. Almacenamiento en nube, repositorios de código, cualquier cosa sobre la que perderías trabajo.
5. Todo lo demás. SMS está bien para la cola larga. Si tienes cientos de cuentas, tirar números virtuales es más rápido que inscribir cada uno en TOTP.

El punto de todo esto no es que SMS sea inseguro y las aplicaciones autenticadoras sean seguras. Es que fallan contra amenazas diferentes, y la opción correcta depende de qué estés protegiendo. Para una perspectiva externa sobre las debilidades de SS7 subyacentes, el resumen de Wikipedia de ataques de SS7 es un buen punto de partida.

Elige el segundo factor que coincida con la amenaza. Apila capas donde importa. Y si estás usando SMS en absoluto, al menos hazlo en un número que no sea también tu línea principal — ese cambio único cierra el vector de ataque más fácil sin costo continuo.