El OTP por SMS es mejor que una contraseña sola, pero no es un segundo factor robusto: los códigos se pueden robar mediante SIM swap, interceptación SS7, malware y, sobre todo, phishing. Varios reguladores bancarios han abandonado el OTP por SMS para las operaciones de alto riesgo, mientras que el SMS sigue muy usado para verificar números de teléfono e inicios de sesión de bajo riesgo.
¿Es seguro el OTP por SMS?
El OTP por SMS ofrece una seguridad moderada. Detiene los ataques que solo dependen de una contraseña robada y es fácil para cualquier usuario. Pero se apoya en la red telefónica y en el número del usuario, no en un dispositivo que el usuario controla de forma criptográfica. La guía de identidad digital del NIST, SP 800-63B, clasifica los códigos por SMS y por voz como autenticador "restringido": las organizaciones pueden usarlos, pero deben evaluar el riesgo y ofrecer una alternativa más robusta. En diciembre de 2024, la agencia estadounidense CISA recomendó a las personas especialmente expuestas no usar el SMS como segundo factor en absoluto.
¿Cuáles son los riesgos de seguridad del 2FA por SMS?
- SIM swap. Un delincuente convence o soborna a un operador móvil para que traslade el número de la víctima a una nueva SIM. A partir de ese momento, todos los códigos OTP llegan al atacante. Los operadores lo reducen con controles de identidad más estrictos y PIN de portabilidad, y algunas apps comprueban si la SIM se ha cambiado recientemente antes de enviar códigos sensibles.
- SS7 y ataques de señalización. SS7 es la red de señalización entre operadores, con varias décadas de antigüedad. Con un acceso ilegítimo a ella, un atacante puede desviar los SMS a otra red. Los operadores instalan firewalls de señalización, pero la protección varía de una red a otra.
- Phishing y retransmisión en tiempo real. Es el ataque más común: una web falsa o una llamada engaña al usuario para que escriba o lea en voz alta el código, y el atacante lo usa en segundos. El OTP por SMS no protege nada aquí, porque es el propio usuario quien entrega el código.
- Malware. En un teléfono comprometido, las apps maliciosas con acceso a los SMS o a las notificaciones pueden leer los códigos.
- Reciclaje de números. Los operadores reasignan los números abandonados, así que los códigos pueden llegar a un nuevo titular si su base de usuarios no está actualizada.
- Rutas grises. Los códigos enviados por rutas no autorizadas pasan por terceros que usted no conoce. Consulte los riesgos de las rutas SMS grises.
¿Están eliminando los reguladores el OTP por SMS en la banca?
Sí, en varios mercados, sobre todo para el acceso a la banca online y las transacciones, no para todos los usos. Ejemplos confirmados a octubre de 2026:
| País | Qué ha cambiado |
|---|---|
| Singapur | Tras las medidas de la Monetary Authority of Singapore, los principales bancos minoristas dejaron de usar el OTP por SMS para el inicio de sesión de los clientes con token digital, desde julio de 2024. |
| Malasia | Bank Negara Malaysia pidió a los bancos en septiembre de 2022 que pasaran del OTP por SMS a una autenticación más segura para operaciones de banca online como transferencias y cambios en la cuenta. |
| Emiratos Árabes Unidos | El Banco Central de los EAU ordenó a las entidades financieras abandonar el OTP por SMS y por email para autenticar las transacciones de los clientes, con plazo hasta el 31 de marzo de 2026. |
| India | Las directrices de autenticación del Reserve Bank of India, en vigor desde el 1 de abril de 2026, mantienen la autenticación de dos factores pero admiten más factores (tokens en el dispositivo, biometría, frases de acceso) además del OTP por SMS. Amplían las opciones en lugar de prohibir el SMS. |
Estas normas se dirigen a bancos y proveedores de pago. La mayoría de las demás empresas sigue usando el OTP por SMS, pero la tendencia es clara para las operaciones de alto valor.
2FA por SMS vs app de autenticación: ¿cuál es más segura?
Una app de autenticación (TOTP) es más segura frente al SIM swap y al SS7, porque el código se genera en el dispositivo y nunca viaja por la red telefónica. Aun así es vulnerable al phishing, ya que el usuario puede escribir el código en una web falsa. Las passkeys y las llaves de seguridad físicas (FIDO2/WebAuthn) resisten el phishing, porque el navegador solo inicia sesión en el dominio real.
| Método | SIM swap | Interceptación en la red | Phishing | Facilidad para el usuario |
|---|---|---|---|---|
| OTP por SMS | Vulnerable | Vulnerable | Vulnerable | Muy fácil |
| App de autenticación (TOTP) | Resistente | Resistente | Vulnerable | Requiere configuración |
| Aprobación push en la app del banco | Resistente | Resistente | En parte (con coincidencia de números) | Fácil |
| Passkey o llave de seguridad | Resistente | Resistente | Resistente | Fácil una vez configurada |
Cómo hacer más seguro el OTP por SMS
Si el OTP por SMS se queda en su flujo, algo habitual en el registro y la verificación del número, reduzca el riesgo:
- Indique en el mensaje la finalidad y su marca, y pida a los usuarios que nunca compartan el código. Consulte las buenas prácticas para SMS OTP.
- Use códigos de vida corta (unos minutos) y de un solo uso, con límite de intentos.
- Use rutas directas o bien gestionadas y un sender ID registrado, para que los códigos no pasen por terceros desconocidos. Consulte las rutas SMS directas.
- Compruebe si ha habido un SIM swap o una portabilidad reciente antes de las operaciones de alto riesgo, cuando su proveedor lo ofrezca. Consulte la portabilidad numérica.
- Limite la frecuencia de las solicitudes para frenar el SMS pumping, que es un ataque al coste y no a la cuenta, pero que a menudo golpea el mismo formulario.
- Ofrezca factores más robustos (passkeys, aprobación en la app) y oriente a los usuarios hacia ellos para pagos y cambios en la cuenta.
¿Qué alternativas hay al OTP por SMS?
Las principales alternativas son las passkeys, las apps de autenticación, la aprobación push dentro de la app, los mensajes de autenticación de WhatsApp y el OTP por voz. Las alternativas de mensajería comparten algunas debilidades con el SMS porque dependen del número de teléfono. Consulte WhatsApp vs SMS para OTP y el OTP por voz.
Para los flujos de registro y verificación que mantienen el SMS, VoIPMatcher obtiene rutas SMS A2P de sus carriers y las gestiona. Solicite una ruta SMS segura para OTP.
Preguntas frecuentes
¿Se está eliminando el OTP por SMS?
Para la banca online en varios países, sí, al menos para las operaciones de alto riesgo. Singapur, Malasia y Emiratos Árabes Unidos han empujado a los bancos hacia la autenticación por app y otros métodos más robustos, e India ahora admite más factores además del OTP por SMS. Para verificar números de teléfono y para inicios de sesión generales, el OTP por SMS sigue muy extendido en 2026.
¿Pueden interceptar mi SMS con el OTP?
Es posible, pero poco frecuente para usuarios corrientes. Las vías principales son el SIM swap, en el que un delincuente se apodera del número de teléfono, el abuso de la red de señalización SS7 y el malware en el teléfono. Mucho más a menudo, los atacantes simplemente engañan al usuario para que comparta el código mediante llamadas, mensajes o webs falsas de phishing.
¿Por qué los bancos advierten que nunca se comparta un OTP?
Porque la forma más común de burlar el OTP por SMS es la ingeniería social: los delincuentes se hacen pasar por el banco, una empresa de mensajería o el soporte técnico, piden el código y lo usan en segundos para iniciar sesión o aprobar un pago. Un banco auténtico nunca necesita que usted le lea un código.
¿Cuál es la alternativa más segura al OTP por SMS?
Las passkeys y las llaves de seguridad físicas basadas en FIDO2 y WebAuthn son las opciones comunes más seguras, porque resisten el phishing y no dependen de la red telefónica. En banca se usa mucho la aprobación dentro de la app con vinculación del dispositivo y biometría. Las apps de autenticación son más seguras que el SMS frente al SIM swap, pero siguen expuestas al phishing.
¿El SIM swap afecta también al OTP por WhatsApp y por voz?
Sí. Cualquier método que envía un código a un número de teléfono queda expuesto cuando alguien se apodera del número, incluido el OTP por voz y, en muchos casos, el nuevo registro de WhatsApp en otro dispositivo. Los métodos ligados a un dispositivo o a una clave criptográfica, como las passkeys y las apps de autenticación, no se ven afectados por el SIM swap.
¿Necesita una ruta?
Envíe el destino, el tipo de ruta y la tarifa objetivo. Le respondemos con lo que podemos ofrecer.