Los SMS siguen siendo muy utilizados en la actualidad. A pesar de que su contenido no esté cifrado, suelen ser la vía más común para la verificación en dos pasos para todo tipo de servicios, incluyendo la cuenta de Google o los servicios bancarios. Aunque es mejor usar apps de autenticación como Google Authenticator, el SMS sirve como último resorte. Pero a algunos operadores les da igual, y están introduciendo publicidad en ellos.
No es raro recibir SMS de publicidad directamente en el móvil de todo tipo de empresas que aprovechan nuestros datos para mandarla. Sin embargo, lo que no habíamos visto hasta ahora era que un operador modificase un SMS legítimo para introducir publicidad en él.
Anuncios en SMS reales metidos por los operadores
Así le ha ocurrido a Chris Lacy, desarrollador de aplicaciones como Action Launcher para Android. Este desarrollador fue a loguearse en una de sus múltiples cuentas de Google, para lo cual recibió un SMS en la aplicación de Mensajes de su móvil Android. Sin embargo, al ver que no llegaba el SMS, se fue a la sección de spam, y ahí se encontró el mensaje.
Chris Lacy@chrismlacyUpdate: some Googlers have chimed in and it looks like the ad portion was appended by my carrier to Google’s 2FA message.
https://t.co/4CGUOw3x2v29 de junio, 2021 • 07:18
647
29
El mensaje, visto tal y como aparece en la foto, parece un mensaje enviado por un hacker, ya que se muestra el código de verificación, pero justo después se muestra un anuncio de Avira Phantom VPN Pro, su servicio de VPN con un 30% de descuento. La inclusión de ese anuncio con el correspondiente enlace hace que la app envíe directamente ese SMS a la carpeta de spam.
Trabajadores de Google confirman que es el operador
Algunos usuarios empezaron a especular con que era la propia Google la que estaba haciendo esto, pero varios trabajadores de Google le han dicho que nada más lejos de la realidad: es el operador del usuario, cuyo nombre no ha trascendido, el que está modificando los SMS. El operador puede leer todo el contenido de los SMS, ya que éstos no están cifrados, y con ello también puede modificar su contenido como vemos en este caso.
Google lleva varios años empujando a los operadores para que den el paso a RCS, su sistema de SMS mejorado con el que querían luchar contra las apps de mensajería. RCS tampoco tenía cifrado por defecto, pero las presiones de los usuarios hicieron que Google lo introdujera finalmente el pasado mes de noviembre.
Por desgracia, este sistema sólo se usa entre usuarios que tengan móviles y operadores compatibles con RCS activado, y la mayoría de comunicaciones de empresas con usuarios se sigue haciendo vía SMS. Y este operador no sólo daña la credibilidad de la verificación en dos pasos, sino que hace que ésta no llegue al usuario y le obligue a comprobar la carpeta de spam.
