Según informes de personas con acceso privilegiado dentro de Google, la empresa está preparándose para dejar de utilizar códigos SMS como método de autenticación multifactor (MFA) en su servicio Gmail. Esta decisión se toma tras un incremento global de ataques cibernéticos que aprovechan las debilidades de los sistemas basados en SMS.
La transición a códigos QR
El 23 de febrero, Forbes informó que fuentes internas revelaron que Google había decidido reemplazar la autenticación por SMS con códigos QR. El portavoz de la empresa explicó que esta medida forma parte del esfuerzo para alejarse de métodos tradicionales de verificación, como las contraseñas.
La nueva metodología permitirá a los usuarios escanear un código QR con su dispositivo móvil. Esta alternativa busca reducir la posibilidad de que los atacantes intercepten códigos de acceso único (OTP) mediante estafas o ataques de intercambio de SIM.
Debilidades del SMS en MFA
La principal debilidad de la autenticación por SMS es que los atacantes pueden interceptar el código OTP y usarlo para acceder a las cuentas. Esto puede lograrse mediante estafas de ingeniería social o tomando control del número de teléfono de la víctima.
El portavoz destacó que, aunque la verificación por SMS es útil para evitar abusos maliciosos, ha sido explotada en algunas estafas como el intercambio de SIM y el bombeo de tráfico. Además, se mencionó que los códigos SMS son vulnerables al phishing, a ataques de interceptación en tiempo real y a otros métodos de manipulación.
El riesgo del qishing
Aunque la transición a códigos QR reduce ciertos riesgos, no está exenta de problemas. El phishing mediante código QR, conocido como «qishing», es un vector de ataque cada vez más común. En una campaña observada por Trend Micro, se descubrió que los actores maliciosos distribuían códigos QR falsos disfrazados de métodos de autenticación para engañar a las víctimas.
Fecha estimada del cambio
Google no ha establecido una fecha específica para la transición, pero mencionó que los usuarios deben estar atentos a las actualizaciones en el «futuro cercano». La empresa espera que esta medida mejore la seguridad de sus servicios al eliminar ciertos puntos débiles.