Con el surgimiento de alternativas encriptadas de mensajes SMS, WhatsApp, iMessage y Signal, el sistema de SMS se ha convertido en un "retroceso a una era pasada". 

Pero, irónicamente, ese mismo sistema de SMS también ha ido en aumento como el mecanismo de entrega predeterminado para la mayoría de los códigos de autenticación de dos factores (2FA). 

El problema se considera crítico a la luz del hecho de que se envía un SMS a un número de teléfono sin autenticación del usuario: los esfuerzos de seguridad biométricos o de contraseña aseguran nuestros dispositivos físicos, no nuestros números, están separados. 

Lo que es más, esta explicación por sí sola despeja el camino para el intercambio de SIM, las estafas de ingeniería social para llevar esos códigos de seis dígitos, a malware que captura y extrae capturas de pantalla de los mensajes que se aproximan. Por cada una de esas razones, y algunas más, el consejo actualmente es evitar la 2FA basada en SMS si es factible para el usuario. 

Pero aún así, si el usuario puede vincular 2FA a la seguridad biométrica o de contraseña de un dispositivo conocido, en ese punto esta es una gran mejora. Apple hace esto espléndidamente. Y Google se apresura a hacer que este sea también el predeterminado. 

En una publicación de blog el 16 de junio, Google confirmó que "a partir del 7 de julio haremos que las solicitudes de verificación por teléfono sean el método principal de verificación en dos pasos (2SV) para todos los usuarios elegibles". 

Su plan fundamental es cambiar a los titulares de cuentas de Google a esta configuración, evitando la mayoría, por defecto a un mensaje SMS o llamada de voz. 

Sin embargo, también hay un inconveniente con esto, a la luz del hecho de que todos los dispositivos en los que haya iniciado sesión un usuario recibirán el aviso, y eso requerirá algo de reajuste para las familias que comparten dispositivos. Además, los usuarios que tienen claves de seguridad no verán un cambio.



En el caso de que el mensaje del teléfono no funcione para el usuario, puede recibir un SMS durante el proceso de verificación; sin embargo, Google no recomienda esto. 

Explicando además que este movimiento es progresivamente seguro y más simple, "ya que evita que los usuarios ingresen manualmente un código recibido en otro dispositivo". 

Al tomar la decisión de hacer de esta la "técnica principal" para 2FA, Google dice: "Esperamos ayudar a [los usuarios] a aprovechar la seguridad adicional sin tener que cambiar la configuración manualmente, aunque todavía pueden usar otros métodos de verificación en dos pasos". si lo prefieren. 

Para que un atacante falsifique este sistema, necesitará acceso físico a uno de los dispositivos ya conectados del usuario donde verán el mensaje. Los usuarios también tendrán la opción de auditar y eliminar dispositivos que ya no necesitan para acceder a esta opción de seguridad. 

Además, con el argumento de que el aviso llega a todos los dispositivos autorizados y conectados al mismo tiempo, el usuario sabrá de inmediato si se está intentando abrir su cuenta sin su conocimiento. 

No obstante, con la creciente utilización del acceso de múltiples dispositivos a nuestras diversas plataformas, es una idea extraordinaria utilizar un dispositivo de autenticación para verificar otro inicio de sesión y este paso de Google sin duda ha surgido como uno increíble en la dirección que debería ser seguido por otros también.