Atacante: Ey, sé que no me conoces, pero hace muchos años yo tenía tu mismo número. Estoy intentando registrarme en una cuenta vieja que sigue vinculada a [este número], pero me dice que va a enviarme un código de verificación. Me gustaría saber si te parece bien que yo solicite el código y ¿tú me lo envíes por mensaje? Si prefieres no hacerlo, no hay problema.

Víctima: Ok.

Atacante: ¡Muchísimas gracias! Acabo de solicitarlo.

Víctima: 209959.

Atacante: Me has salvado la vida. Muchísimas gracias y perdona la molestia.

Víctima: De nada.

Así de fácil.

Lo que acabamos de ver es un ejemplo flagrante de ingeniería social, la práctica de obtener información confidencial mediante la manipulación del usuario. En el contexto de la seguridad informática, el usuario suele ser además el factor más débil del sistema, porque es estúpido y manipulable.

Pero llegar a este caso implica que se han cumplido varias condiciones, como conocer su contraseña principal y su número de teléfono. Además, el código numérico es temporal y suele caducar en unos pocos segundos, por lo que la conversación tiene que ocurrir en tiempo real.

Sin embargo, no es un ejemplo descabellado y puede servir para robar cualquier cosa: una cuenta de Google, de Amazon, de Twitter... En la mayoría de los casos, el mensaje que mandan estas compañías cuando activas la verificación en dos pasos dice algo como “tu código de verificación es 123456”, sin especificar el usuario o el email. No puedes saber si es un código para abrir tu cuenta. Por eso da tanto miedo.

[Rachel Tobac]