Key Takeways
En diciembre de 2024, la oficina del senador Ron Wyden envió una carta pública a la Casa Blanca instando a la administración a poner fin a la autenticación de dos factores basada en SMS para cuentas sensibles, citando lo que su personal denominó "décadas de explotación documentada del protocolo de señalización SS7". Una semana después, la Agencia de Ciberseguridad y Seguridad de Infraestructuras emitió CISA una guía que reafirma que SS7 y Diameter siguen siendo superficies de ataque activas para cualquier empresa estadounidense que dependa de los SMS para la autenticación. Doce meses antes, el informe anual de seguridad de señalización de Positive Technologies reveló que la mayoría de las redes móviles auditadas en todo el mundo todavía permiten al menos una clase de ataque de redirección SS7. El titular de los tres: el API de OTP por SMS para EE. UU. despliegue del que depende su empresa todavía tiene que asumir que la interceptación tipo SS7 está dentro del alcance, y la arquitectura de defensa debe tenerlo en cuenta.
Este informe de liderazgo de pensamiento para 2026, dirigido a arquitectos de seguridad, equipos de fraude, ingenieros de plataformas bancarias y líderes de producto de EE. UU., cubre lo que SS7 es y no es realmente, por qué es importante específicamente para la API de OTP por SMS para EE. UU. en 2026, la diferencia entre la interceptación SS7 y el intercambio de SIM (comúnmente confundidos), los casos de interceptación reales que enmarcan el modelo de amenaza, el marco de defensa de NIST + FCC + CISA + GSMA, los controles del lado de la red que cambian significativamente el riesgo, los controles del lado de la aplicación que toda empresa estadounidense debería estar ejecutando hoy, y las perspectivas para 2027-2030 a medida que el roaming 5G independiente y GSMA Open Gateway reconfiguran la superficie de amenaza de la capa de señalización.
Para un contexto más amplio, consulte nuestro Centro de servicios de verificación de OTP por SMS para EE. UU., nuestro guía de protección contra fraude por intercambio de SIM en EE. UU., nuestro comparativa de los mejores proveedores de verificación de OTP por SMS en EE. UU., y nuestro guía de respaldo de OTP multicanal.
Respuesta Rápida (AEO)
Los ataques SS7 contra las implementaciones de la API de OTP por SMS para EE. UU. son reales, continuos y poco reportados. La defensa en 2026 es por capas: (1) enrutar a través de un CPaaS que opere un firewall de señalización SS7 / Diameter documentado y publique sus métricas de bloqueo de tráfico abusivo, (2) incluir la consulta de señal de intercambio de SIM en la llamada de envío de OTP para que las interceptaciones tipo intercambio de SIM (el "primo" más común de la redirección SS7) se detecten en el momento de la emisión, (3) mantener la OTP por SMS en NIST SP 800-63B AAL2 como un autenticador restringido permitido para flujos rutinarios y escalar a un equivalente AAL3 (FIDO2 / WebAuthn / TOTP en elemento seguro) para cualquier transacción de alto valor o irrevocable, (4) configurar un respaldo multicanal a través de su propia cuenta de WhatsApp Business para que un único compromiso del lado del operador no impida a los clientes autenticarse, y (5) capturar metadatos de auditoría por verificación que sobrevivan a una investigación regulatoria posterior al incidente. La API de OTP por SMS para EE. UU. no está obsoleta en 2026, pero tratarla como un único punto de fallo sí lo está.
Qué es SS7 en realidad, en 80 segundos
SS7 —Sistema de Señalización N.º 7— es la familia de protocolos de señalización de telecomunicaciones que ha gestionado el establecimiento de llamadas, el enrutamiento de SMS, la itinerancia (roaming) y la portabilidad numérica entre operadores móviles desde la década de 1980. Fue diseñado en una era en la que las únicas entidades capaces de enviar mensajes SS7 eran operadores con licencia que confiaban entre sí por defecto. Por diseño, no existe autenticación criptográfica de los mensajes SS7. Una vez que un atacante obtiene acceso a SS7 —a través de un empleado corrupto de un operador, una conexión SS7 arrendada de un pequeño operador extranjero, una femtocelda comprometida o un operador de registro mal protegido—, puede emitir comandos que parecen idénticos al tráfico legítimo entre operadores.
Los dos patrones de ataque SS7 que importan para el API de OTP por SMS para EE. UU. modelo de amenaza:
- Redirección de SMS - el atacante envía un mensaje de Actualización de Ubicación a través de SS7 que le indica a la red de origen que el teléfono de la víctima ha realizado roaming al "operador" del atacante. Los SMS entrantes —incluidos los OTP por SMS— se enrutan entonces al atacante en lugar de al teléfono real de la víctima. El teléfono de la víctima a menudo no muestra ningún cambio en la intensidad de la señal porque el ataque solo afecta el lado del enrutamiento de SMS.
- Rastreo de ubicación e interceptación de llamadas - los mensajes SS7 relacionados permiten la consulta de ubicación en tiempo real y la redirección de llamadas. Esto es menos relevante para la defensa de OTP por SMS, pero sí lo es para un modelado de amenazas más amplio en torno a objetivos individuales de alto valor.
SS7 se suponía que sería reemplazado por Diameter en la era 4G. Diameter tiene características de autenticación más robustas en su especificación, pero la realidad de la interconexión entre operadores es que SS7 y Diameter coexisten, y Diameter tiene sus propias clases de exploits documentadas. La arquitectura 5G independiente (standalone) se mueve hacia interfaces basadas en servicios HTTP/2 con pasarelas SCP y SEPP, pero el roaming comercial 5G standalone todavía está en fase de expansión en 2026, y la traducción de señalización intergeneracional introduce sus propias superficies de ataque.
Interceptación SS7 vs. Intercambio de SIM: La distinción que toda empresa estadounidense debería entender bien
Los dos patrones de ataque se confunden comúnmente en la prensa de seguridad, pero son operacionalmente diferentes, y los controles de defensa también lo son.
- Interceptación SS7 ocurre en la capa de señalización del operador. La SIM real de la víctima no se toca. No ha habido ninguna portabilidad de número. El ataque se manifiesta como OTP por SMS que simplemente no llegan al teléfono de la víctima durante un período de minutos a horas. Las consultas de señal de intercambio de SIM (el control más implementado en la industria) no detectan la interceptación SS7, porque nada ha cambiado a nivel de la SIM.
- Intercambio de SIM ocurre en la capa de atención al cliente o de portabilidad del operador. El atacante convence al operador para que mueva el número de la víctima a una nueva tarjeta SIM bajo el control del atacante. El teléfono real de la víctima pierde el servicio. Las consultas de señal de intercambio de SIM sí detectan este patrón al informar la marca de tiempo del cambio de línea reciente.
La realidad de 2026: El intercambio de SIM es mucho más común en los datos de pérdidas por fraude en EE. UU. porque requiere menos habilidad técnica (ingeniería social o ayuda interna a nivel de tienda de operador) que la interceptación SS7 (acceso técnico a la conectividad SS7). Pero la interceptación SS7 es más difícil de detectar a posteriori, razón por la cual los objetivos de alto valor (ejecutivos, poseedores de criptomonedas, personas políticamente expuestas) son desproporcionadamente las víctimas cuando ocurre una interceptación SS7. La defensa para el API de OTP por SMS para EE. UU. debe manejar ambos. Consulte nuestra guía de Protección contra el Fraude por Intercambio de SIM en EE. UU. para el lado del intercambio de SIM; este artículo se centra en SS7.
Ataques SS7 en el Mundo Real que Dieron Forma al Modelo de Amenaza
Tres casos sirven de base para lo que los reguladores, arquitectos de seguridad y equipos de fraude empresarial consideran ahora la amenaza base de SS7.
2014 - Tobias Engel y la prueba de concepto del Chaos Computer Club
En el 31C3 en Hamburgo, el investigador de seguridad Tobias Engel demostró el rastreo de ubicación SS7 y la interceptación de SMS contra suscriptores móviles activos utilizando nada más que acceso comercial a SS7. La presentación marcó la primera demostración pública ampliamente difundida de que los ataques SS7 no eran teóricos.
2016 - Karsten Nohl y la demostración de 60 Minutes en Capitol Hill
El investigador de seguridad Karsten Nohl, trabajando con el programa 60 Minutes de CBS News, interceptó mensajes SMS y rastreó la ubicación de un congresista estadounidense en funciones (Ted Lieu) en vivo ante la cámara. El segmento impulsó el tema de SS7 a la conversación política principal de EE. UU. El Grupo de Trabajo 10 del CSRIC IV de la FCC ya había publicado una guía sobre la vulnerabilidad de SS7, pero la demostración de 60 Minutes fue lo que llevó la conversación de "especialistas" a "audiencias del Senado".
2017 - el vaciado de cuentas bancarias mediante SMS-OTP de O2-Telefónica Alemania
Un reportaje en el Suddeutsche Zeitung documentó el primer caso ampliamente confirmado de redirección SS7 utilizada para vaciar cuentas bancarias en la práctica. Los delincuentes habían obtenido las credenciales bancarias de las víctimas mediante phishing y luego utilizaron el acceso SS7 para redirigir los SMS OTP que el banco alemán enviaba en el momento de la confirmación de la transacción. La pérdida por fraude ascendió a cientos de miles de euros entre múltiples víctimas, pero el caso fue más importante por lo que confirmó: los ataques SS7 ya no eran demostraciones. Eran operativos.
Desde entonces, patrones similares han surgido periódicamente en EE. UU., Reino Unido (Metro Bank 2019) y en la banca europea. La mayoría de los casos no se atribuyen públicamente porque los bancos llegan a acuerdos sin revelar información y las fuerzas del orden no confirman públicamente los detalles de las investigaciones. Sin embargo, la carta del Senador Wyden a la Casa Blanca en 2024 citó informes de agencias federales sobre la continua actividad de interceptación relacionada con SS7 dirigida a funcionarios estadounidenses, ejecutivos y cuentas financieras de alto saldo.
Lo que NIST, FCC, CISA y GSMA Dicen sobre SS7 en 2026
El marco regulatorio y de estándares del riesgo SS7 para la API de SMS OTP para EE. UU. implementación se cristalizó entre 2017 y 2025 a través de cuatro organismos de referencia.
NIST
NIST SP 800-63B clasifica la autenticación fuera de banda basada en SMS como un "autenticador restringido". Sigue estando permitida en el Nivel de Garantía de Autenticador 2, con ciertas salvedades. La revisión SP 800-63-4 de 2024-2025 (en borrador en el momento de la redacción) endurece aún más el lenguaje sobre los autenticadores restringidos, pero no desaprueba el SMS por completo, reconociendo la realidad operativa de que la API de OTP por SMS para EE. UU. sigue siendo el segundo factor más implementado en la banca de consumo, el comercio electrónico, los portales de pacientes de atención médica y la incorporación de trabajadores de la economía colaborativa.
FCC
La Comisión Federal de Comunicaciones's Communications Security, Reliability, and Interoperability Council Working Group 10 publicó hallazgos sobre vulnerabilidades de SS7 ya en 2017. El Aviso de Consulta de la FCC de 2024 sobre la seguridad de la red de señalización solicitó a los operadores informes sobre la implementación de firewalls SS7, el monitoreo del tráfico de señalización entrante sospechoso y la cadencia de informes de incidentes. Los operadores estadounidenses —Verizon, AT&T, T-Mobile— han publicado distintos niveles de cobertura de firewalls SS7; los datos de la FCC de 2025 sugieren una implementación amplia pero desigual.
CISA
El marco de la advertencia de CISA de 2024 posiciona la explotación de SS7 y Diameter como riesgos continuos para los operadores de infraestructura crítica de EE. UU., las instituciones financieras reguladas y los objetivos individuales de alto valor. La recomendación de CISA: defensa en capas, no asumir que el firewall de señalización del operador lo detecta todo y tratar cualquier flujo que dependa únicamente de SMS para la autenticación como un riesgo elevado.
GSMA
Las Directrices de Seguridad SS7 FS.11 de la GSMA y el marco de Monitoreo de Seguridad de Interconexión SS7 FS.19 definen lo que un firewall de señalización del operador "bien gestionado" debería bloquear. Las arquitecturas de referencia son públicas; la cuestión es si la implementación real de cada operador coincide con la referencia.
La defensa en capas que la API de OTP por SMS para EE. UU. necesita en 2026
Considerar SS7 dentro del alcance cambia la arquitectura de cinco maneras concretas.
1. Elija un CPaaS que opere y documente un firewall de señalización
La primera defensa contra la redirección SS7 se encuentra en la capa del enrutador de señalización del operador y del CPaaS. Un proveedor serio de API de OTP por SMS para EE. UU. debería poder articular (a) qué producto de firewall de señalización opera, (b) qué categorías de ataques SS7 bloquea según GSMA FS.11, (c) la alimentación de monitoreo e inteligencia de amenazas que consume, y (d) las métricas de bloqueo de tráfico abusivo que está dispuesto a compartir bajo NDA. Si un proveedor no puede responder a estas preguntas, la capa SS7 no forma parte de su modelo de amenazas.
2. Incluya la consulta de señales de intercambio de SIM en cada flujo sensible
La interceptación de SS7 es más difícil de detectar que el intercambio de SIM, pero la consulta de señales de intercambio de SIM incluida sigue detectando el patrón de intercambio de SIM más común en el momento del problema y contribuye a una línea base de telemetría real. Para flujos de alto valor —transferencias bancarias, retiros de criptomonedas, restablecimientos de contraseñas en cuentas con saldos elevados, cambios de método de pago en cuentas de trabajadores de la economía colaborativa—, la consulta de intercambio de SIM al enviar el OTP es ahora la línea base. Consulte nuestra guía de Protección contra el Fraude por Intercambio de SIM en EE. UU..
3. Utilice la API de OTP por SMS para EE. UU. en el límite AAL2 correcto y escale en el límite AAL3 correcto
Verificación de OTP por SMS sigue permitida en AAL2 en 2026. La arquitectura defendible la trata exactamente como eso: un segundo factor en AAL2 para la autenticación rutinaria, combinada con autenticadores criptográficos respaldados por hardware (FIDO2 / WebAuthn / TOTP en elemento seguro / passkeys) para cualquier flujo donde la pérdida sea irrevocable. Para la banca estadounidense, eso significa transferencias por encima del umbral del cliente; para cripto, retiros en cadena; para cuentas de trabajadores de la economía gig, cambios en el método de pago y solicitudes de pago instantáneo superiores a 200 $; para atención médica, prescripción y resurtido de sustancias controladas.
4. Implemente la recuperación multicanal a través de su propia cuenta de WhatsApp Business
La recuperación multicanal ya no es una característica de recuperación de UX, es una característica de arquitectura de seguridad en el modelo de amenaza SS7. Si la entrega de SMS a una víctima específica está siendo interceptada en la capa de señalización del operador, una entrega de WhatsApp desde su propia cuenta verificada de WhatsApp Business llega a la aplicación del cliente en su dispositivo a través de la infraestructura de Meta cifrada con TLS, una ruta sin dependencia de SS7. El patrón de 2026: cada envío de la API de OTP por SMS para EE. UU. incluye WhatsApp a través de su propia cuenta de WhatsApp Business en el preferredMethods array. Consulte la WhatsApp Business Messaging Policy para los requisitos de plantilla de la categoría de autenticación. Consulte nuestra guía de recuperación de OTP multicanal.
5. Capture metadatos de auditoría por verificación que resistan una investigación reguladora
Los registros de auditoría que capturan el canal utilizado, el operador informado, el valor de la señal de intercambio de SIM en el momento del envío, la marca de tiempo del recibo de entrega y la marca de tiempo de finalización de la verificación son lo que permite a un equipo de fraude detectar retroactivamente patrones de interceptación tipo SS7, que a menudo se manifiestan como un grupo de OTP que muestran una entrega exitosa al operador pero ninguna finalización de verificación desde el dispositivo del cliente. El Informe de Investigaciones de Brechas de Datos de Verizon y telemetría similar de la industria encuentran consistentemente que la latencia de detección, no los controles preventivos, es la variable dominante en el tamaño de la pérdida por fraude.
Qué debería bloquear un cortafuegos de señalización operado por CPaaS
Para las conversaciones de adquisición y revisión de seguridad con proveedores de API de SMS OTP para EE. UU., estas son las categorías de ataque GSMA FS.11 que el cortafuegos de señalización debería bloquear:
- Categoría 1 (ataques GSMA definidos públicamente) - redirección básica de Actualización de Ubicación y SRI-SM. Cualquier proveedor serio los bloquea.
- Categoría 2 (tráfico de roaming transfronterizo que se dirige a suscriptores nacionales) - los patrones más sofisticados donde los mensajes SS7 llegan de puntos de origen de señalización extranjeros inesperados contra suscriptores estadounidenses que no están en roaming.
- Categoría 3 (abuso interno del operador) - la categoría más difícil, requiere monitoreo de la señalización intrarred y correlación con la actividad de servicio al cliente.
El enrutamiento SMS subyacente de VerifyNow USA opera cobertura de cortafuegos de señalización SS7 / Diameter alineada con las categorías 1 y 2 de GSMA FS.11 y comparte métricas de monitoreo con clientes empresariales bajo NDA. Vea nuestra mejor proveedores de verificación de SMS OTP en EE. UU. comparación para el marco de adquisición.
Perspectivas 2027-2030: 5G Standalone, GSMA Open Gateway y el fin del monocultivo de SMS OTP
Tres tendencias reconfigurarán el modelo de amenazas de la API de SMS OTP para EE. UU. en los próximos cuatro años.
El roaming 5G standalone finalmente escala
Los operadores estadounidenses están implementando 5G standalone entre 2025 y 2027. La pila de señalización se traslada a interfaces basadas en servicios HTTP/2 con pasarelas SCP y SEPP. Esto elimina los patrones clásicos de SS7, pero introduce nuevas clases de ataque contra la capa de señalización 5G (errores de implementación de HTTP/2, exploits del protocolo PFCP, las nuevas pasarelas de traducción entre 5G SBI y SS7/Diameter heredados para destinos no 5G). La superficie de amenaza no desaparece; se desplaza.
GSMA Open Gateway monetiza la capa de señalización del operador como API
La iniciativa Open Gateway expone la detección de intercambio de SIM, la verificación de la ubicación del dispositivo y la validación de números como API de grado de operador que los proveedores de CPaaS y las empresas pueden llamar directamente. Esto hace que la detección de intercambio de SIM sea más barata y universal, pero también mercantiliza una parte de la postura de seguridad de la API de SMS OTP para EE. UU. Los proveedores de CPaaS que ganen en 2027 serán aquellos que combinen las primitivas de Open Gateway con su propio cortafuegos de señalización + respaldo multicanal + marco de auditoría en un producto coherente.
El monocultivo de SMS-OTP finalmente termina para flujos de alto valor
La adopción de las claves de acceso (passkeys) se está acelerando en las aplicaciones de consumo. Las claves de hardware FIDO2 son estándar en los equipos de seguridad empresarial. Las plantillas de la categoría de autenticación de WhatsApp han madurado hasta convertirse en un canal regulado y de marca para omitir SMS. La arquitectura 2027-2030 para la banca, criptomonedas y atención médica de EE. UU.: la API de SMS OTP para EE. UU. se mantiene para la autenticación rutinaria AAL2, combinada con claves de acceso / FIDO2 para una elevación de nivel equivalente a AAL3, con WhatsApp a través de marca propia como respaldo multicanal. La era de "la OTP por SMS es el único segundo factor que ofrecemos" está llegando a su fin.
Una API de OTP por SMS consciente de SS7 para integración en EE. UU.: Patrón de código
La llamada de envío de OTP con detección de intercambio de SIM, respaldo multicanal a través de tu propia cuenta de WhatsApp Business y los metadatos de auditoría que un equipo de fraude necesitará después de un incidente:
// /api/auth/verify (Node.js)
import { MessageCentralClient } from '@messagecentral/verifynow';
const client = new MessageCentralClient({
apiKey: process.env.MC_API_KEY,
region: 'usa'
});
export async function challenge({
userId, phone, flowType, riskScore
}) {
const swap = await client.lookup.simSwap({ phone });
if (swap.lastSwapHours < 24 && isHighValueFlow(flowType)) {
return {
blocked: true,
reason: 'sim_swap_recent',
escalate: 'in_app_push_or_passkey'
};
}
const result = await client.verification.send({
to: phone,
preferredMethods: ['SMS', 'WHATSAPP', 'VOICE', 'EMAIL'],
whatsappBusinessAccount: process.env.WABA_ID,
whatsappTemplateName: 'authentication_template',
fallbackTimeoutSeconds: 8,
auditMetadata: {
userId, flowType, riskScore,
simSwapHours: swap.lastSwapHours,
carrierReported: swap.carrier,
sessionContext: 'auth_v2'
}
});
return {
verificationId: result.id,
channel: result.channel,
auditEventId: result.auditEventId,
requiresStepUp: isHighValueFlow(flowType) || riskScore > 0.7
};
}
function isHighValueFlow(flowType) {
return [
'wire_approval', 'crypto_withdrawal',
'payout_method_change', 'password_reset_high_balance'
].includes(flowType);
}
Para patrones de código más amplios, consulta nuestro tutorial de la API de verificación OTP por SMS.
Preguntas de adquisición para hacer a tu proveedor de API OTP por SMS en EE. UU.
Las cinco preguntas que distinguen a los proveedores que han considerado SS7 de los que no:
- ¿Qué producto de firewall de señalización SS7 / Diameter operan y qué categorías de ataque GSMA FS.11 bloquea?
- ¿Incluyen la consulta de señales de intercambio de SIM sin costo adicional, o es un complemento con un cargo por OTP?
- ¿Pueden compartir métricas de bloqueo de abuso de señalización bajo un acuerdo de confidencialidad?
- ¿Cómo es su respuesta a incidentes si una de las cuentas de sus clientes experimenta un patrón de interceptación tipo SS7? ¿A quién notifican y en qué plazo?
- ¿Admiten la contingencia multicanal a través de la cuenta de WhatsApp Business propia del cliente, y el envío por WhatsApp está sujeto a la misma retención de registros de auditoría que el envío por SMS?
Para una comparación proveedor por proveedor, consulta nuestro VerifyNow vs Twilio Verify, VerifyNow vs. Vonage Verify, y VerifyNow vs. MessageBird Verify comparaciones, además de la guía consolidada guía alternativa de Twilio Verify.
Preguntas frecuentes
¿Sigue siendo seguro usar la API de SMS OTP para EE. UU. en 2026?
La API de SMS OTP para EE. UU. sigue estando permitida en NIST SP 800-63B AAL2 como autenticador restringido y sigue siendo el segundo factor más implementado en la banca de consumo, el comercio electrónico, la atención médica y las aplicaciones de la economía colaborativa de EE. UU. La arquitectura defendible en 2026 lo trata como un segundo factor en AAL2 para flujos rutinarios y escala a un equivalente AAL3 (FIDO2 / WebAuthn / passkey / TOTP en elemento seguro) para cualquier transacción irrevocable o de alto valor. Combínelo con la consulta de señales de intercambio de SIM, un firewall de señalización SS7 / Diameter operado por un CPaaS y un respaldo multicanal a través de su propia cuenta de WhatsApp Business.
¿En qué se diferencia un ataque SS7 del fraude de intercambio de SIM?
La interceptación SS7 ocurre en la capa de señalización del operador con la SIM real de la víctima intacta; las consultas de señales de intercambio de SIM no lo detectan. El intercambio de SIM ocurre en la capa de portabilidad del operador con el número de la víctima movido físicamente a una nueva SIM; las consultas de señales de intercambio de SIM sí lo detectan. Ambos resultan en la interceptación de SMS OTP, pero los controles de defensa son diferentes. La arquitectura de 2026 maneja ambos.
¿Mi CPaaS ya bloquea los ataques SS7 contra el tráfico de mi API de SMS OTP para EE. UU.?
Quizás. Los proveedores serios de CPaaS empresariales operan firewalls de señalización SS7 / Diameter alineados con las categorías 1 y 2 de GSMA FS.11. Los proveedores más pequeños o de bajo presupuesto a menudo no lo hacen. La pregunta clave para la adquisición es: qué producto de firewall, qué categorías bloqueadas, qué métricas de monitoreo se pueden compartir bajo NDA. Si el proveedor no puede responder, la capa SS7 no forma parte de su modelo de amenazas.
¿Qué ataques SS7 reales han afectado a empresas estadounidenses?
El vaciamiento de cuentas bancarias de O2-Telefónica Alemania en 2017 sigue siendo el caso público mejor documentado de redirección de SS7 utilizada para interceptar OTPs por SMS y completar transacciones fraudulentas. Le siguieron el caso de Metro Bank del Reino Unido en 2019 y las interceptaciones periódicas dirigidas en EE. UU. contra individuos de alto valor (ejecutivos, poseedores de criptomonedas, personas políticamente expuestas). La mayoría de los incidentes en EE. UU. se resuelven sin divulgación pública, pero la carta del Senador Wyden a la Casa Blanca de diciembre de 2024 citó informes de agencias federales sobre la actividad continua de interceptación de SS7 dirigida a funcionarios y cuentas financieras de EE. UU.
¿Qué aspecto tendrá el modelo de amenazas de la API de OTP por SMS para EE. UU. en 2027-2030?
Tres tendencias: (1) La itinerancia 5G independiente escala y desplaza la superficie de amenaza de señalización del SS7 clásico a los exploits de señalización 5G basados en HTTP/2, (2) GSMA Open Gateway expone la detección de intercambio de SIM y la validación de números como APIs de operador que mercantilizan una parte de la postura de seguridad, (3) la adopción de passkey / FIDO2 pone fin al monocultivo de OTP por SMS para flujos de alto valor, mientras que la API de OTP por SMS para EE. UU. permanece para la autenticación AAL2 rutinaria.
¿Debería migrar todos los flujos de la API de OTP por SMS para EE. UU. a WhatsApp o a passkey en su lugar?
No todos. La arquitectura correcta es por capas: SMS OTP API for USA en AAL2 para inicio de sesión rutinario, restablecimiento de contraseña, creación de cuenta y verificación por parte del cliente; passkey o FIDO2 en el equivalente a AAL3 para transferencias irrevocables, prescripción de acciones, cambios en el método de pago; WhatsApp a través de su propia cuenta de WhatsApp Business como respaldo multicanal cuando falla la entrega de SMS o se activa una señal de intercambio de SIM.
¿Cómo detecto ataques de interceptación SS7 en curso contra mi tráfico de la API de OTP por SMS para EE. UU.?
La latencia de detección es la variable dominante. El patrón del registro de auditoría: un grupo de OTPs que muestran una entrega exitosa al operador pero ninguna finalización de verificación desde el dispositivo del cliente, junto con informes posteriores de clientes que dicen "Nunca recibí el OTP." Realice una agregación diaria de este patrón, alerte en los umbrales y combine con las etiquetas de los tickets de servicio al cliente sobre problemas de autenticación.
¿Está siendo retirada progresivamente la API de OTP por SMS para EE. UU. por los reguladores de EE. UU.?
No. NIST SP 800-63B sigue permitiendo los SMS como autenticador restringido en AAL2. El borrador SP 800-63-4 de 2024-2025 endurece las advertencias pero no lo desaprueba. La FCC y CISA enmarcan el riesgo de SS7 como un problema de defensa por capas en lugar de un problema de desaprobación de OTP por SMS.
Comience con una API de OTP por SMS para EE. UU. con conciencia de SS7
Para las empresas estadounidenses en 2026, el camino de menor riesgo en la capa de señalización es un proveedor que opera un firewall SS7 / Diameter documentado, incluye la consulta de señales de intercambio de SIM, admite un respaldo multicanal a través de su propia cuenta de WhatsApp Business y captura metadatos de auditoría por verificación que puede defender en una investigación regulatoria. Message Central VerifyNow USA ofrece los cuatro bajo una única plataforma de API de OTP por SMS para EE. UU.
Regístrese en VerifyNow USA para implementar una API de OTP por SMS para EE. UU. que considera SS7 como parte de su alcance.
Para más contexto, consulte nuestro Centro de Servicio de Verificación de OTP por SMS para EE. UU., la mejor comparación de proveedores de verificación OTP por SMS en EE. UU., la guía de protección contra fraude por intercambio de SIM en EE. UU., la guía de respaldo OTP multicanal, la guía de precios de verificación OTP por SMS en EE. UU., la guía de protección contra el bombardeo de SMS, la guía de SMS OTP 10DLC, y nuestra guía de API de SMS OTP para Fintech en EE. UU..
