Tecnología Electrónica

¿Qué es la verificación telefónica? Cómo los códigos SMS y de voz protegen tus cuentas

Verificación telefónica es un factor de autenticación basado en posesión: demuestra que controlas un número de teléfono específico en este momento. Es la columna vertebral de la Autenticación de Dos Factores (2FA) y la recuperación de cuentas para miles de millones de cuentas.

El flujo

  1. El usuario ingresa el número de teléfono (formato E.164: +15551234567).
  2. El sistema genera un Código de un solo uso (OTP): 4–8 dígitos (SMS) o dígitos hablados (Voz). Con tiempo limitado (típicamente 5–15 min).
  3. Canal de entrega:
    • SMS (A2P): Vía agregador (Twilio, Vonage, Sinch, Plivo) → SMSC del operador → dispositivo.
    • Voz (TTS/IVR): Llamada automatizada que lee el código. Respaldo para líneas fijas, mala entrega de SMS, accesibilidad.
  4. El usuario ingresa el código en la app/formulario web.
  5. El servidor valida: el código coincide, no expiró, no se reprodujo (limitado en velocidad). Éxito → sesión elevada / cuenta creada / restablecimiento de contraseña permitido.

Por qué funciona (y dónde falla)

FortalezaDebilidad
Algo que TIENES (posesión)Fraude de intercambio de SIM / porteo: atacante mueve tu número a su SIM
Ubicuo (todo teléfono)Ataques de señalización SS7 / Diameter interceptan SMS en tránsito
Baja fricción para usuariosSMS no cifrado; insiders del operador pueden leer
Funciona sin conexión (voz)Números VoIP (Google Voice, TextNow) a menudo rechazados por bancos
Trazabilidad regulatoriaCosto por SMS/voz (los estafadores queman presupuestos)

Mejoras modernas

  • Flash Call / Autenticación silenciosa: La app dispara una llamada perdida a tu número; el servidor ve coincidencia de CLIP (Presentación de Identidad de Línea de Llamada) — sin entrada de código. Usado por WhatsApp, Telegram, Truecaller.
  • Verificación RCS: Rich Communication Services reemplaza SMS; remitente verificado, cifrado, marca.
  • Number Verify (Identidad móvil): La red móvil confirma "la IP de esta sesión coincide con el MSISDN del suscriptor" vía Mobile Connect / OpenID Connect. Sin interacción del usuario.
  • Passkeys (FIDO2/WebAuthn): Reemplazan el OTP telefónico por completo. Clave criptográfica vinculada a biometría del dispositivo. Resistente al phishing.

Mejores prácticas para desarrolladores

  • Limitar velocidad: máximo 3 solicitudes/hora por IP/número.
  • Hashear OTPs en BD (bcrypt/Argon2) — nunca registrar texto plano.
  • Expirar en 5–10 min. Invalidar al usar.
  • Ofrecer Voz + SMS. Detectar VoIP (Twilio Lookup, Numverify) y advertir.
  • Registrar eventos de verificación (rastro de auditoría).
  • Migrar a Passkeys para cuentas de alto valor.

Para usuarios

• Activa Bloqueo de número / Congelación de porteo con tu operador (previene intercambio de SIM).
• Usa App de autenticador (TOTP) o Passkeys donde se ofrezca — más fuerte que SMS.
• Nunca compartas OTPs. Las empresas legítimas nunca los piden.

>

<

Teléfonos móviles