Los códigos de verificación basados en SMS llevan mucho tiempo presentando graves fallos de seguridad. Los métodos de explotación maliciosos típicos incluyen el secuestro de reemplazo de la tarjeta SIM o el secuestro de pseudoestación base. Estos métodos pueden utilizar el código de verificación recibido para iniciar sesión en la cuenta después de controlar un número de teléfono móvil específico.
En la actualidad, algunas plataformas están abandonando gradualmente los códigos de verificación por SMS y utilizando métodos de verificación más seguros, como Passkey, TOTP (código de verificación único basado en el tiempo) y MFA (autenticación multifactor).
Ahora Google también se está preparando para adoptar el método de verificación MFA para reemplazar el código de verificación por SMS en los buzones de correo de Gmail. En el futuro, la verificación por SMS ya no será compatible al iniciar sesión en Gmail. Los usuarios deben utilizar la aplicación de Google para escanear el código de autenticación.
Un portavoz oficial de Google dijo:
Ya no queremos enviar mensajes de texto para autenticación, como tampoco queremos usar claves de acceso en lugar de contraseñas. Existen muchos problemas de seguridad con los códigos de verificación por SMS. Los códigos de verificación por SMS pueden ser objeto de phishing, las personas no siempre tienen acceso al dispositivo que recibe el código de verificación y los códigos de verificación por SMS dependen de las medidas de seguridad del operador del usuario.
Si los estafadores pueden obtener fácilmente el número de teléfono de alguien a través del operador (como en el caso anterior en el que robaron la cuenta SEC), la seguridad de los mensajes de texto no existe. El uso de códigos QR para la autenticación escaneada puede reducir el impacto del abuso desenfrenado de mensajes de texto en todo el mundo.
En cuanto a los beneficios de utilizar el escaneo de códigos QR para la autenticación, Google dijo: Esto puede reducir el riesgo de phishing de que los usuarios de Gmail sean engañados para que compartan códigos de seguridad con piratas informáticos. Después de todo, los usuarios deben escanear activamente el código durante la verificación, por lo que no hay ningún código de verificación digital para compartir.
Google también afirmó que los códigos de verificación por SMS son una gran fuente de riesgo para los usuarios y se complace en presentar un método innovador para reducir el alcance de los ataques y proteger a los usuarios de actividades maliciosas.