Apple quiere evitar que te estafen blindando la seguridad de tu actividad online, ¿sabes cómo?

De un tiempo a esta parte han proliferado las opciones de agregar a nuestras cuentas online una capa mayor de seguridad, además de los consabidos usuario y contraseña tradicionales. A esos métodos se les conoce con el nombre de verificación en dos pasos y necesitan, o bien dar el OK a una petición desde una app de nuestro móvil, o introducir un código generado por un authenticator, o recibir un SMS que es el que certifica que somos nosotros los que nos estamos logueando.

El problema es que los hackers han conseguido saltarse también esa protección, y no porque tengan una forma de leer los SMS que recibimos en nuestro teléfono, sino porque somos nosotros los que se lo damos cuando nos engañan haciéndonos creer que sus notificaciones pertenecen a Google, Apple, WhatsApp o el servicio en el que nos quieran asaltar.

El ataque de phising funciona de la siguiente manera: los piratas conocen nuestro usuario y contraseña, y también nuestro número de teléfono. Entran en la web del servicio que nos quieren piratear, escriben nuestro usuario y contraseña y cuando el sistema les pide el código de verificación en dos pasos que llega por SMS, nos escriben pidiéndonos que lo introduzcamos en una web falsa que coge ese código, lo que les sirve para entrar en nuestra cuenta. De ahí que ahora Apple esté pidiendo una estandarización de esas comunicaciones.

¿Qué pide Apple exactamente?

Apple cree, básicamente, que el código que recibimos por SMS no es suficientemente seguro como para que nos podamos fiar de él, y por eso quiere que se decida un estándar en el mercado (¡quién lo diría, los de Tim Cook pidiendo unificar criterios!), poniendo de acuerdo, de primeras, a las principales empresas tecnológicas como Google, Amazon, etc. Esa unificación significaría tomar todos el mismo camino para asegurar nuestras cuentas en todos los servicios online que utilizamos día a día.

La idea que ha ofrecido Apple a todos es muy sencilla: los SMS de verificación en dos pasos con códigos numéricos están muy bien, pero además deben ir acompañados de la URL donde debe utilizarse. De esta manera esos números no nos servirán por sí solos ya que se tendrán que escribir en la web real y segura correspondiente. De esta forma los hackers no podrán asaltar nuestras cuentas al tener solo una parte de esa combinación. ¿Un ejemplo? Pues mirad:

• 747723 is your WEBSITE authentication code.
• @website.com #747723

La primera línea es la que se correspondería con el mensaje SMS que recibiríamos para acceder a nuestra cuenta, mientras que la segunda sería procesada por la web para extraer automáticamente el código OTP y autocompletarlo, dando a continuación permiso para que se inicie la sesión. Sería una especie de captcha donde el usuario no hace nada y es el site oficial el que certifica que quien está introduciendo la clave SMS es el titular de la cuenta.

De momento, parece que Apple ha convencido ya a Google para que se comience a utilizar en Chrome. Desde Mozilla todavía no han contestado y cuando se cierre esa ronda de conversaciones, podríamos tener novedades al respecto muy pronto. ¿Qué os parece?