Multifactor y 2FA en bancos mexicanos: por qué SMS ya no basta

La autenticación de dos factores (2FA) añade una segunda barrera después de tu contraseña. En banca mexicana es obligatoria en la mayoría de operaciones sensibles, pero no todos los 2FA son iguales. El SMS —el método más extendido— es cómodo pero vulnerable a SIM swap, interceptación y ingeniería social. Si tu única defensa extra es un código por mensaje, tu cuenta está más expuesta de lo que crees.

Métodos de 2FA de más débil a más fuerte

1. SMS / llamada de voz: conveniente, pero interceptable con SIM swap o malware que lee notificaciones.
2. Correo electrónico: mejor que nada, pero vulnerable si tu correo también tiene contraseña débil.
3. App token (TOTP): genera códigos en tu teléfono sin depender de la red celular (Google Authenticator, app del banco).
4. Push con confirmación en app: el banco envía notificación que debes aprobar en la app oficial.
5. Biometría + dispositivo registrado: huella o rostro en un equipo previamente vinculado.
6. Llave de seguridad hardware (FIDO2): dispositivo físico USB/NFC; la opción más resistente a phishing.

Por qué los bancos aún usan SMS

SMS es universal: funciona en cualquier teléfono, no requiere smartphone avanzado ni capacitación. Para segmentos masivos sigue siendo la opción por defecto. Pero los reguladores y la industria empujan hacia métodos más robustos conforme crece el fraude por portabilidad y phishing.

2FA con SMS es como poner una segunda cerradura en una puerta con ventana rota: ayuda, pero no donde atacan.

Qué puedes hacer hoy como usuario

• Revisa en la configuración de tu banca móvil si puedes migrar de SMS a app token o notificación push.
• Registra solo dispositivos personales; elimina equipos viejos o desconocidos.
• Activa el NIP de portabilidad en tu operador mientras sigas recibiendo SMS bancarios.
• No reenvíes códigos a nadie; ningún soporte legítimo los pide.
• Considera llave hardware si manejas montos altos o cuentas empresariales.

2FA en empresas: más allá del usuario individual

La banca corporativa exige controles adicionales: tokens físicos por usuario, doble aprobación para transferencias, listas blancas de beneficiarios y horarios permitidos de operación. Capacitar a tesorería sobre por qué SMS es insuficiente evita que un solo SIM swap comprometa nómina o pagos a proveedores.

El futuro: passkeys y autenticación sin contraseña

Algunos bancos globales ya adoptan passkeys (FIDO2) que eliminan contraseñas tradicionales. En México la adopción es gradual, pero conviene estar listo: cuando tu banco ofrezca llaves de acceso, actívalas. Reducen phishing porque no hay contraseña que robar.

Comparativa rápida para decidir

Si solo puedes hacer un cambio hoy, migra de SMS a app token del banco. Es el salto con mejor relación esfuerzo-seguridad. Si manejas cuentas empresariales con montos altos, combina token app con doble aprobación humana para transferencias. La llave hardware tiene sentido para directores financieros y cuentas de tesorería central.

Evita usar el mismo teléfono para recibir SMS bancarios y para apps de mensajería donde recibes enlaces sospechosos. Separar dispositivos o perfiles reduce riesgo de malware que intercepte ambos canales.

• Usuario personal: app token + PIN de portabilidad.
• Contador o tesorero: app token + confirmación telefónica en pagos grandes.
• Empresa: token físico + lista blanca de CLABE + doble firma.

En Devson Labs asesoramos a empresas en selección e implementación de autenticación multifactor para sistemas internos y procesos de pago. Hablemos si quieres subir el nivel de seguridad sin frenar la operación.