El siguiente artículo te ayudará: Apple: el cambio de autenticación 2FA detiene los ataques de phishing por SMS
A veces son pequeños cambios los que no revelan inmediatamente los profundos cambios que están ocurriendo. Uno de estos casos ahora ocurrió cuando Apple cambió el comportamiento del autocompletado de dos factores (2FA) al recibir códigos SMS. Este cambio quiere garantizar que esta técnica solo funcione en sitios y servicios confiables.
El llenado automático de los códigos enviados por SMS es de gran ayuda en el uso de los servicios ya sea en aplicaciones o en la web, a través del navegador, pero siempre se debe tener cuidado.
Atentos al cambio que está implementando Apple en los SMS
Si ya tiene (y debería tener siempre) la autenticación de dos factores habilitada en su cuenta de Apple, probablemente esté familiarizado con los códigos que recibe por mensaje SMS. Estos códigos permiten al usuario iniciar sesión en su ID de Apple y, si están en un iPhone, iPad o Mac, este código se ingresará automáticamente o aparecerá en la barra de QuickType.
Ahora, Apple ha cambiado los mensajes SMS para garantizar que el autocompletado solo funcione en sitios web reales.
A pesar de ser un cambio “ligero”, la medida evita intentos de phishing con sitios que se parecen a Apple. Apple ahora inserta un identificador en el propio mensaje.
Básicamente Apple hizo lo siguiente:
Antes de que mostrara:
Su código IS de Apple es 123456. No lo comparta con nadie.
En noviembre de 2021, Apple declaró que los códigos aparecerían en este formato:
Su código de ID de Apple es: 123456. No lo comparta con nadie. @apple.com #123456 %apple.com
¿Cuál es el propósito?
Esto significa que cualquier dirección de sitio web que no esté en el cuerpo del SMS no funcionará con la función de autocompletar. En este caso, es el sitio web de Apple, pero otros también pueden aprovechar el mismo cambio para sus propios sitios web y servicios. Es decir, se puede extender a muchos otros servicios.
Si bien nada de esto es infalible y las personas aún pueden ingresar el código manualmente y ser engañadas de esta manera, es un comienzo. Idealmente, nadie debería usar la autenticación de dos factores basada en SMS como primera opción, pero si lo hacen, al menos es mejor que no tener nada.
