La CNBV flexibiliza la autenticación bancaria y vuelve a apostar por una tecnología vulnerable como el SMS
Imagen: AdadiaCarbon | https://www.deviantart.com/adadiacarbon
- Mientras el mundo financiero avanza hacia autenticación resistente al phishing y mecanismos criptográficos, la regulación mexicana vuelve a abrir la puerta a los mensajes de texto como mecanismo de seguridad bancaria.
Por Víctor Ruiz, fundador de SILIKN, CyberOps Associate (CCNA CyberOps), CompTIA Security+ ce Certification, Instructor Certificado en Ciberseguridad (CSCT™), NIST Cybersecurity Framework 2.0 Certified Expert (CSFE), (ISC)² Certified in Cybersecurity℠ (CC), EC-Council Ethical Hacking Essentials (EHE) Certified, EC-Council Certified Cybersecurity Technician (CCT), Ethical Hacking Certified Associate (EHCA), Cisco Ethical Hacker & Cisco Cybersecurity Analyst, Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro y Líder del Capítulo Querétaro de la Fundación OWASP.
México está digitalizando su sistema financiero, pero una reciente decisión regulatoria plantea una pregunta incómoda: ¿estamos construyendo la banca digital del futuro con herramientas de seguridad del pasado?
El 2 de septiembre de 2026 entró en vigor una modificación de la regulación de la Comisión Nacional Bancaria y de Valores (CNBV) que permite utilizar códigos enviados mediante SMS como Factor de Autenticación Categoría 3 para determinados servicios financieros digitales realizados mediante comisionistas de base tecnológica.
La intención de la autoridad es entendible: ampliar las opciones disponibles para los usuarios y facilitar el acceso a servicios financieros digitales. El problema es que la facilidad de uso no debería confundirse con seguridad.
El SMS nació como un mecanismo para enviar mensajes de texto a través de las redes celulares. No fue diseñado para convertirse en una infraestructura de confianza para proteger operaciones financieras. Sin embargo, en un momento en el que los ataques digitales son cada vez más sofisticados, México vuelve a incorporar este canal como una alternativa para entregar códigos de autenticación.
No estamos hablando de una tecnología desconocida o de una amenaza hipotética. Durante años, especialistas en seguridad han señalado las limitaciones del SMS como mecanismo de autenticación. SIM swapping, smishing, malware móvil y ataques relacionados con las redes de telecomunicaciones pueden convertir un código aparentemente seguro en una oportunidad para los delincuentes.
El problema empieza con el número telefónico
Uno de los riesgos más relevantes es el SIM swapping. Mediante ingeniería social, fraude o vulnerabilidades en los procesos de los operadores de telecomunicaciones, un atacante puede conseguir que un número telefónico sea transferido a una tarjeta SIM bajo su control.
El usuario puede quedarse sin servicio mientras el atacante comienza a recibir llamadas y mensajes destinados al propietario legítimo.
Si ese número está registrado en el banco, el delincuente podría recibir también los códigos de autenticación enviados mediante SMS.
Esto no significa que un SIM swapping permita automáticamente vaciar una cuenta bancaria. Dependiendo de los controles de cada institución, el atacante puede necesitar otros datos o factores de autenticación. Pero sí significa que una de las barreras de seguridad del sistema puede quedar bajo el control de un tercero.
¿Tiene sentido que una operación financiera dependa de que nuestro número telefónico siga bajo nuestro control?
El segundo problema: enseñar al usuario a confiar en el SMS
Existe otro riesgo menos técnico, pero potencialmente mucho más masivo: el smishing.
Los delincuentes llevan años enviando mensajes falsos haciéndose pasar por bancos. El objetivo es llevar a las víctimas a páginas fraudulentas para robar contraseñas, datos bancarios o códigos de autenticación.
Ahora imaginemos que el usuario recibe regularmente mensajes legítimos de su banco con códigos para validar operaciones.
El delincuente solamente necesita aprovechar ese comportamiento.
Un mensaje como “detectamos una transferencia, confirme su operación” puede resultar mucho más creíble cuando el usuario ya está acostumbrado a que su banco se comunique con él mediante SMS.
La tecnología puede facilitar el ataque, pero la confianza del usuario puede convertirse en el verdadero objetivo.
SMS no es sinónimo de seguridad
Otro argumento que debe ponerse sobre la mesa es la infraestructura sobre la cual funciona el SMS.
Los mecanismos de autenticación modernos están avanzando hacia sistemas basados en criptografía, dispositivos vinculados y credenciales resistentes al phishing. El SMS, en cambio, depende de una infraestructura de telecomunicaciones que fue concebida décadas atrás y que no ofrece las mismas garantías de seguridad que las tecnologías modernas.
Esto no significa que cada SMS pueda ser interceptado fácilmente. Tampoco significa que todos los códigos enviados por SMS sean inseguros.
Significa algo más sencillo: existen alternativas tecnológicas diseñadas específicamente para resolver problemas que el SMS nunca fue creado para solucionar.
Y si esas alternativas existen, la pregunta es inevitable: ¿por qué no estamos avanzando hacia ellas?
El teléfono también puede ser el enemigo
El riesgo tampoco termina en las redes celulares. Un teléfono comprometido por malware puede convertirse en un punto de captura de los códigos de autenticación. Determinados tipos de malware móvil pueden obtener acceso a los mensajes recibidos y utilizar los códigos dentro de ataques automatizados o en tiempo real.
La situación adquiere especial relevancia en mercados donde conviven dispositivos con diferentes niveles de actualización y seguridad.
A esto se suma un escenario mucho más cotidiano: la pantalla bloqueada.
Millones de usuarios permiten que las notificaciones muestren el contenido de los SMS sin desbloquear el teléfono. Un código bancario puede quedar visible para cualquier persona que tenga acceso físico al dispositivo.
Puede parecer un riesgo menor, pero la seguridad financiera debe contemplar precisamente esa combinación de tecnología, comportamiento humano y vulnerabilidades cotidianas.
Inclusión financiera sí; seguridad de segunda categoría, no
La defensa de la medida es sencilla: el SMS es barato, accesible y prácticamente universal. No todos los usuarios tienen teléfonos de última generación, ni todos utilizan aplicaciones bancarias con mecanismos avanzados de autenticación.
Pero aquí existe un falso dilema. La inclusión financiera no debería significar ofrecer mecanismos de seguridad inferiores a quienes tienen menos recursos tecnológicos.
Si queremos llevar a más personas al sistema financiero digital, debemos llevarlas también a un ecosistema digital seguro.
México debería estar aprovechando este proceso regulatorio para impulsar la adopción de tecnologías de autenticación resistentes al phishing, credenciales criptográficas, dispositivos vinculados y mecanismos capaces de verificar de manera robusta que quien autoriza una operación es realmente el titular.
La transformación digital no consiste únicamente en hacer que una operación pueda realizarse desde un teléfono. Consiste en garantizar que esa operación pueda realizarse con confianza.
El Gobierno debe mirar hacia adelante
La responsabilidad no corresponde únicamente a los bancos. La CNBV establece las reglas del juego y, por tanto, tiene una responsabilidad directa en la dirección tecnológica que adopta el sistema financiero mexicano.
Permitir SMS como mecanismo de autenticación puede resolver un problema de accesibilidad en el corto plazo, pero no debería convertirse en la visión de seguridad para la banca digital de los próximos años.
El contexto mundial tampoco permite ser complacientes. Los ciberdelincuentes utilizan inteligencia artificial para perfeccionar campañas de phishing, automatizar ingeniería social, desarrollar malware y aumentar la escala de sus ataques. Las instituciones financieras son objetivos prioritarios porque concentran algo especialmente atractivo para los criminales: dinero y datos.
En este escenario, la regulación debería incentivar la innovación en seguridad, no simplemente recuperar tecnologías conocidas porque resultan fáciles de implementar.
México necesita una estrategia de ciberseguridad de futuro
La discusión sobre el SMS es, en realidad, mucho más profunda. La pregunta no es si un código enviado por mensaje de texto puede funcionar. Puede funcionar.
La pregunta es si debemos conformarnos con que funcione cuando existen tecnologías capaces de proporcionar mayores garantías.
México tiene la oportunidad de construir una infraestructura financiera digital moderna, segura y preparada para las amenazas que vienen. Para ello, autoridades, bancos, empresas tecnológicas y operadores de telecomunicaciones deben trabajar conjuntamente para elevar, y no reducir, el estándar de seguridad.
La inclusión financiera es indispensable. La digitalización también. Pero digitalizar sin seguridad no es transformación: es trasladar los riesgos del mundo físico al mundo digital.
El Gobierno de México y los reguladores tienen ahora la oportunidad de demostrar que la innovación financiera no significa únicamente abrir más puertas al sistema bancario, sino asegurarse de que esas puertas tengan cerraduras acordes con las amenazas del siglo XXI.
Porque en una economía digital, nuestro número telefónico no debería convertirse en la llave maestra de nuestro patrimonio.
Para más información, visite: https://www.silikn.net/