¿Por qué recibir el código de 2FA por SMS es menos seguro que por Telegram?

Es una situación que genera ansiedad a cualquiera: acabas de comprar algo online o intentas acceder a tu banca y el dependiente o la pantalla te pide un código que llega a tu móvil. Aceptas, pero en la parte trasera de tu mente queda esa duda persistente sobre la seguridad. Es una inquietud válida, especialmente cuando nos enfrentamos a noticias constantes sobre robos de identidad y banca digital.

La respuesta corta es que sí, recibir tu código de autenticación de dos factores (2FA) por SMS es significativamente menos seguro que recibirlo a través de una aplicación como Telegram. No se trata de una percepción subjetiva, sino de una diferencia arquitectónica fundamental en cómo viajan los datos por la red telefónica en comparación con internet. Para entender por qué tu banco sigue insistiendo en SMS a pesar de sus riesgos, debemos desglosar las vulnerabilidades heredadas de la tecnología de los años 70 y cómo la encriptación moderna protege tus mensajes en apps de mensajería.

El problema de fondo: protocolos heredados vs. internet moderno

La razón principal por la que el SMS es un eslabón débil en la cadena de seguridad radica en el protocolo que utiliza la red telefónica móvil, conocido como SS7 (Signaling System No. 7). Este sistema fue diseñado en la década de 1970 para conectar redes de telefonía fija y móvil en todo el mundo, permitiendo cosas como el roaming y la transferencia de llamadas. El error crítico de diseño es que el SS7 fue construido bajo la premisa de que todos los operadores de telecomunicaciones que se conectan a la red son confiables.

En 2026, esta confianza es ingenua. Los atacantes pueden acceder a la red SS7 a través de operadores en jurisdicciones con regulaciones laxas o mediante el alquiler de gateways VoIP. Una vez dentro, pueden redirigir los SMS de una víctima a su propio dispositivo. El proceso es técnico, pero el resultado es simple: tu banco envía el código al número de teléfono que él "cree" que es tuyo, pero la red telefónica entrega ese mensaje al hacker antes de llegar a ti, o incluso sin que tú lo veas. El mensaje viaja en texto plano, sin ningún tipo de cifrado que impida que alguien con acceso a la infraestructura lo lea.

Por el contrario, aplicaciones como Telegram funcionan completamente sobre internet (IP) y no dependen de la señalización telefónica para el transporte del contenido. Cuando un servicio envía un código a través de Telegram, ese mensaje viaja paquetes de datos encriptados. A diferencia de la red telefónica, donde la seguridad se basa en la confianza entre operadores, la seguridad en Telegram se basa en criptografía matemática. Incluso si un atacante interceptara el tráfico de datos entre tu teléfono y el servidor, vería solo un garabato incomprensible sin la clave para descifrarlo.

El SIM Swapping: el ataque social que el SMS no puede frenar

Si la vulnerabilidad técnica del SS7 no fuera suficiente, existe una amenaza mucho más directa y común que afecta desproporcionadamente a los usuarios de SMS: el SIM Swapping. Este ataque no requiere conocimientos avanzados de hacking de redes, sino una buena dosis de ingeniería social.

El escenario funciona así: un criminal obtiene información personal sobre ti (dirección, fecha de nacimiento, últimos cuatro dígitos de tu tarjeta de crédito) a menudo a través de filtraciones de datos o de estas señales de alerta en bots de soporte fraudulentos. Con esos datos, llaman a tu operador telefónico, se hacen pasar por ti y alegan que han perdido su teléfono o que la tarjeta SIM está dañada. Si logran engañar al agente, el operador transfiere tu número de teléfono a la tarjeta SIM del atacante.

En ese preciso instante, el atacante tiene el control total de tu identidad digital basada en el número de teléfono. Todos tus SMS, incluidos los códigos bancarios y los restablecimientos de contraseña de otras cuentas, llegan a su dispositivo. Tú pierdes la señal de repente, pero para cuando te das cuenta, el daño ya está hecho.

Telegram añade una capa extra de defensa aquí. Aunque alguien lograra hacer un SIM Swapping y tomar control de tu número de teléfono, no podrían acceder inmediatamente a tu cuenta de Telegram si tú has configurado una Verificación de Dos Pasos (2FA) dentro de la aplicación. El código de acceso a Telegram no viaja por SMS; es una contraseña que tú memorizas y que está vinculada a tu cuenta, no a tu chip SIM. Por lo tanto, el atacante tendría el número, pero se quedaría bloqueado en la pantalla de inicio de sesión de Telegram pidiendo la contraseña que tú conoces. Esto rompe la cadena de ataque que el SMS facilita por defecto.

La encriptación como barrera de entrada

Otro punto crítico es la naturaleza del cifrado. Para entender esto mejor, es útil pensar en la encriptación E2EE explicada con la analogía de sobres sellados. En el caso del SMS, es como enviar una postal a través del correo ordinario: el cartero, el personal de clasificación y cualquiera que tenga acceso al buzón puede leer el mensaje simplemente mirándolo. En el caso de las aplicaciones de mensajería modernas, el contenido va dentro de una caja fuerte de acero que solo tú puedes abrir.

Telegram utiliza cifrado de cliente a servidor para sus chats normales (nube) y cifrado de extremo a extremo para sus chats secretos. Cuando un servicio bancario te envía un código 2FA por Telegram, ese mensaje se cifra en tu dispositivo antes de salir de la red del banco y viaja protegido a los servidores de Telegram. Un intermediario, como tu proveedor de Wi-Fi en un café o tu proveedor de internet en casa, no puede "oler" los paquetes de datos para robar ese código como podrían hacer si interceptaran un SMS en la red móvil.

Además, las apps de mensajería suelen notificarte activamente sobre sesiones activas. Si alguien intentara acceder a tu cuenta de Telegram desde un dispositivo desconocido, recibirías una alerta inmediata en tu sesión principal. Con SMS, no tienes tal sistema de alerta; si tu operador redirige tus mensajes por error o por un ataque, tú no recibes notificación de esa redirección hasta que pierdes el servicio.

¿Por qué los bancos siguen usando SMS entonces?

Si el SMS es tan inseguro, ¿por qué la mayoría de los bancos en España y Latinoamérica aún lo usan como método predeterminado? La respuesta es molesta pero pragmática: adopción y costos.

A pesar de que estamos en 2026, no todo el mundo tiene un smartphone potente con datos suficientes o sabe manejar aplicaciones de mensajería. El SMS funciona en cualquier "teléfono ladrillo" de 20 euros y en cualquier lugar con cobertura básica, sin necesidad de internet. Para los bancos, el SMS es el "mínimo común denominador" más bajo. Permite ofrecer seguridad 2FA al 99.9% de su clientela sin fricción, ignorando el riesgo del 0.1% que es objetivo de ataques sofisticados.

También existe un problema de integración técnica. Conectar los sistemas bancarios heredados (mainframes de COBOL) para enviar mensajes a través de la API de Telegram requiere desarrollo de software, acuerdos comerciales y gestión de tokens de API de terceros. Enviar un SMS es una integración estándar de telecomunicaciones que existe desde hace décadas. Es pereza institucional combinada con el deseo de no complicar la vida al usuario medio que apenas sabe usar su banca móvil.

Sin embargo, este pensamiento está quedando obsoleto. La llegada de regulaciones más estrictas como PSD2 en Europa ha obligado a muchos a ofrecer opciones más seguras, pero el SMS sigue siendo la opción por defecto por esa inercia.

Un trade-off honesto: ¿Qué deberías hacer?

Aquí viene mi opinión honesta: si te dan a elegir, nunca elijas SMS. Es preferible recibir tus códigos bancarios a través de Telegram, WhatsApp, o mejor aún, a través de una aplicación dedicada de autenticación (como Google Authenticator o Microsoft Authenticator). El SMS debe ser tu último recurso, una "red de seguridad" para cuando no tienes internet, no tu primera línea de defensa.

Si tu banco solo permite SMS, te sugiero presionarlos. Envía una queja, pregunta por sus opciones de 2FA basadas en apps. Mientras tanto, asegúrate de que tu cuenta de teléfono celular tenga una PIN de seguridad extra con tu operador para dificultar el SIM Swapping.

Recibir claves por Telegram es más seguro porque desvincula la recepción del mensaje del número de teléfono físico mediante el uso de credenciales de aplicación y cifrado. Aunque Telegram no es perfecto (ningún sistema lo es), eleva el listón técnico para que un atacante pueda robarte el código. De lo que estamos hablando es de pasar de dejar las llaves de casa debajo de la alfombra (SMS) a tener que forzar una cerradura electrónica (Telegram). Para la mayoría de los criminales que buscan presa fácil, esa pequeña complejidad extra es suficiente para que pasen de largo.

La autenticación biométrica y las claves pasivas (Passkeys) son el futuro, pero hasta que se generalicen, la mensajería encriptada es un puente de seguridad infinitamente superior a los viejos mensajes de texto. La próxima vez que veas la opción de vincular tu cuenta a Telegram para recibir notificaciones de seguridad, hazlo sin dudar. Estás blindando tu identidad digital de una manera que el antiguo sistema de telefonía simplemente no puede ofrecer.