La CNBV ha publicado una nueva directiva que flexibiliza los requisitos de autenticación para operaciones bancarias, reabriendo la puerta al uso de códigos enviados por mensaje de texto (SMS) como método de verificación. La medida se produce en un contexto donde la mayoría de los mercados avanzados están migrando a factores de autenticación resistentes al phishing, como FIDO2 o tokens basados en criptografía. El anuncio genera preocupación entre los profesionales de ciberseguridad, ya que el SMS sigue siendo una de las técnicas más explotadas por actores maliciosos para interceptar credenciales.

Qué sabemos hasta ahora

Según el comunicado de la CNBV, las instituciones podrán ofrecer SMS OTP (One‑Time Password) como opción de segundo factor siempre que implementen controles compensatorios, como monitoreo de anomalías y límites de transacción. No se especifica un plazo para la eliminación de este método, lo que implica que seguirá vigente en la mayoría de los canales de banca digital en México. La normativa también menciona que los bancos deben informar a sus clientes sobre los riesgos asociados al uso de SMS para autenticación.

El documento no detalla requisitos técnicos específicos, pero indica que los proveedores de servicios de mensajería deberán cumplir con estándares de confidencialidad y disponibilidad. Además, la CNBV exhorta a los bancos a considerar la adopción gradual de tecnologías más robustas, aunque sin imponer una fecha límite para la transición.

"El SMS sigue siendo vulnerable a ataques de interceptación y suplantación, por lo que su uso debe acompañarse de medidas de mitigación" – Víctor Ruiz, fundador de SILIKN.

Análisis técnico

El principal vector de ataque contra el SMS OTP es el SIM swapping, donde el atacante convence a la operadora de telefonía para transferir el número a una tarjeta SIM bajo su control. Una vez en posesión del número, puede recibir los códigos de autenticación y completar transacciones fraudulentas. Otro método es la interceptación de mensajes mediante malware instalado en el dispositivo móvil, capaz de leer SMS entrantes y exfiltrarlos.

Los atacantes también emplean técnicas de phishing para engañar a los usuarios y que ingresen manualmente el código OTP en sitios falsos. En estos casos, el flujo de ataque sigue la cadena: phishing page → solicitud de OTP → captura del código → reutilización en la aplicación legítima. Herramientas como SMSTerminal o scripts de Python que utilizan la API de Twilio pueden automatizar la generación y captura de OTP en entornos de prueba, facilitando la validación de la vulnerabilidad.

Para mitigar estos riesgos, se recomienda implementar detección de comportamiento anómalo (por ejemplo, intentos de autenticación desde ubicaciones geográficas distintas) y combinar el SMS con factores de autenticación basados en criptografía, como claves públicas FIDO2 o tokens basados en HMAC. Además, los bancos deben reforzar la verificación de identidad al solicitar cambios de número o SIM, y educar a los usuarios sobre los peligros del SIM swapping y el phishing de OTP.

Impacto y alcance

La flexibilización de los requisitos de autenticación por parte de la CNBV afecta principalmente a los bancos y a las fintech que operan bajo la supervisión de la autoridad mexicana. Al permitir el uso de métodos alternativos al token físico, se abre la puerta a que más instituciones adopten soluciones basadas en aplicaciones móviles o autenticación basada en biometría, siempre que mantengan el canal de SMS como respaldo.

Los riesgos potenciales se concentran en los actores que dependen exclusivamente del canal de SMS para la verificación de identidad, ya que este medio sigue siendo vulnerable a ataques de intercambio de SIM y phishing. Hasta la fecha, no se han reportado exploits públicos que demuestren un abuso masivo de la nueva flexibilidad, pero la comunidad de seguridad sigue vigilante ante posibles intentos de explotación.

¿Cómo afecta esto a LATAM?

El movimiento regulatorio de México suele servir de referencia para otros países de la región, como Colombia y Argentina, donde los reguladores también están evaluando la combinación de factores de autenticación. Empresas regionales que operan en varios mercados podrían verse obligadas a armonizar sus procesos de autenticación para cumplir con los requisitos más flexibles de la CNBV sin perder la consistencia operativa en sus demás jurisdicciones.

Además, proveedores de soluciones de seguridad y plataformas de banca digital que ya ofrecen integración con SMS y métodos de autenticación alternativos verán una mayor demanda de sus servicios, lo que podría acelerar la adopción de tecnologías similares en el resto de Latinoamérica.

Qué deben hacer los equipos de seguridad

  • Revisar y actualizar las políticas de autenticación para incluir los nuevos métodos permitidos, asegurando que el canal SMS siga activo como factor de respaldo.
  • Implementar monitoreo continuo de intentos de suplantación de identidad y de actividades sospechosas en los flujos de autenticación.
  • Realizar pruebas de penetración enfocadas en vectores de ataque contra SMS, como intercambio de SIM y phishing de mensajes.
  • Capacitar a los usuarios finales y al personal de soporte sobre los riesgos asociados al uso de SMS y las mejores prácticas para reconocer intentos de fraude.
  • Establecer mecanismos de respuesta rápida ante incidentes que involucren la autenticación, incluyendo la revocación inmediata de credenciales comprometidas.
  • Documentar y comunicar claramente a los clientes los cambios en los procesos de autenticación, resaltando los beneficios y las medidas de seguridad adicionales.

Reflexión

¿Estamos dispuestos a sacrificar parte de la rigidez de la seguridad a cambio de una experiencia de usuario más fluida, o el riesgo latente de ataques a través del canal de SMS seguirá erosionando la confianza en la banca digital? La respuesta de los reguladores y de la industria determinará si la flexibilidad se convierte en una ventaja competitiva o en una puerta abierta para los ciberdelincuentes.