![](\"https:\/\/pbs.twimg.com\/media\/GnTY9L2aUAA6KOS?format=jpg&name=large\")
<\/div>\n“El hackeo afect\u00f3 a clientes de Argentina y Uruguay, con tr\u00e1fico de m\u00faltiples clientes con contenido del tipo OTP, marketing, gaming y otros”<\/i>, agrega el reporte. OTP es un tipo de clave que se usa una sola vez (One Time Password<\/i>), como segundo factor, para entrar a una cuenta una vez que se introduce la contrase\u00f1a. Los SMS funcionan como veh\u00edculo de estos OTP.<\/p>\n
Estos mensajes se utilizan como m\u00e9todo para notificar usuarios: desde un delivery hasta el env\u00edo de c\u00f3digos para entrar a Gmail o Instagram. La vulnerabilidad de este sistema permite a los estafadores tomar control de otras cuentas para realizar estafas.<\/p>\n
“Desde febrero empezamos a detectar una serie de robos de cuentas por parte de distintos atacantes que estaban interceptando estos c\u00f3digos de seguridad que llegan por mensaje de texto, de empresas como Mercado Libre, Google, Facebook, Instagram y Apple”<\/i>,\u00a0dijo Pablo Sabbatella<\/a>, especialista en seguridad cripto de Opsek.<\/p>\n “Empezamos a investigar el tema junto con Opsek, The Red Guild y SEAL y llegamos a la conclusi\u00f3n de que los hackeos no se deb\u00edan a los dispositivos de los usuarios sino al gateway encargado de enviar los SMS de autenticaci\u00f3n en Argentina: hab\u00eda un proveedor comprometido. Lo reportamos el mi\u00e9rcoles 26 y el viernes 28 de marzo las empresas afectadas informaron que hab\u00edan detectado la filtraci\u00f3n y asegurado sus sistemas”<\/i>, agreg\u00f3.<\/p>\n Cabe destacar que estos incidentes no requer\u00edan la interacci\u00f3n de las v\u00edctimas e incluso afectaron a personas que utilizaban las mejores pr\u00e1cticas b\u00e1sicas de seguridad operativa (opsec).<\/p>\n Clar\u00edn pudo corroborar<\/a>\u00a0que los principales proveedores de telecomunicaciones de Argentina conocen el caso y est\u00e1n alerta para impedir que los atacantes contin\u00faen explotando este acceso no autorizado al env\u00edo de SMS.<\/p>\n El gateway es un servicio que diferentes proveedores usan para enviar SMS: a ese rubro se dedica Sondeos Global, la empresa afectada.<\/p>\n Los mensajes de texto todav\u00eda se utilizan como segundo factor de autenticaci\u00f3n y m\u00e9todo de reseteo de contrase\u00f1as.<\/b>\u00a0Cuando un usuario quiere entrar a una plataforma, sea de Google, Apple o Mercado Libre, el proceso de autenticaci\u00f3n suele exigir un segundo factor. Esto es por motivos de seguridad: si un atacante sabe nuestra contrase\u00f1a, no es suficiente para robarnos la cuenta (account takeover, como se conoce a esta pr\u00e1ctica).<\/p>\n “Un SMS gateway ofrece la posibilidad de gestionar env\u00edos de SMS por parte de las empresas que requieran este servicio de mensajer\u00eda hacia sus clientes. El proveedor del SMS gateway se encarga del env\u00edo hacia los operadores de telefon\u00eda m\u00f3vil. Es decir, es un intermediario entre la empresa que quiere comunicar (Google, por ejemplo) y el cliente de la compa\u00f1\u00eda que debe recibir el mensaje”<\/i>, explic\u00f3 a Clar\u00edn Ileana Barrionuevo, especialista en seguridad inform\u00e1tica.<\/p>\n “El env\u00edo de SMS se usa en estos casos para recuperar o restablecer contrase\u00f1as en las plataformas, en donde el cliente recibe el mensaje de texto que posee un c\u00f3digo (OTP) para ser utilizado como un doble factor o c\u00f3digo de verificaci\u00f3n, o bien recibe una contrase\u00f1a temporal; tambi\u00e9n para inicios de sesi\u00f3n r\u00e1pidos”<\/i>, agrega.<\/p>\n En este caso, la empresa explic\u00f3 en su reporte interno que los atacantes lograron comprometer el servidor SMPP.\u00a0“Es un protocolo que establece las reglas de intercambio de SMS: por un lado est\u00e1 el cliente, que puede ser una aplicaci\u00f3n; por el otro, el servidor, que corresponde al operador m\u00f3vil, la empresa que da internet. Si un atacante vulnera el SMPP, puede conseguir acceso a todo el detalle de lo que ocurre en esa comunicaci\u00f3n”<\/i>, advierte Barrionuevo.<\/p>\n <\/p>\n Gracias a un investigaci\u00f3n llevada adelante por Pablo Sabbatella y un grupo de investigadores, se pudo conocer c\u00f3mo el robo de algunas cuentas de Telegram termin\u00f3 desenmascarando el hackeo de una gran parte de los SMS enviados por las principales tecnol\u00f3gicas del mundo (Apple, Binance, Google, Microsoft, Whatsapp, Instagram, Facebook, Paypal, Mercadolibre, Telegram, Mi Argentina y m\u00e1s) a sus clientes en Argentina, Uruguay y Chile.<\/p>\n NOTA:<\/b>\u00a0Pablo public\u00f3 la historia como se dio todo y agradece\u00a0@theredguild<\/a>\u00a0y su metodologia de trabajo super ordenada,\u00a0@_SEAL_Org<\/a>\u00a0que ayud\u00f3 a coordinar las comunicaciones, “Kentucky” que, de forma an\u00f3nima, coordin\u00f3 la comunicaci\u00f3n con otros profesionales. Tambi\u00e9n destaca al periodista Juan Brodersen (aka\u00a0@juanbrodersen<\/a>),\u00a0del diario Clar\u00edn, con quien coordinaron publicar todo de forma responsable y cuando fuera seguro hacerlo.<\/p>\n A principios de febrero empezaron a recibir los primeros reportes de usuarios argentinos a los que les hab\u00edan hackeado o intentado hackear su cuenta de Telegram, interceptando los c\u00f3digos de autorizaci\u00f3n que Telegram env\u00eda por SMS y a trav\u00e9s de la aplicaci\u00f3n. Si nunca hab\u00edan instalado Telegram o no ten\u00edan el 2FA, los hackeaban.<\/p>\n La\u00a0segunda semana de marzo estos casos se intensificaron<\/a>\u00a0y empezaron a ser masivos. Despu\u00e9s de entrevistar a las v\u00edctimas llegaron a la conclusi\u00f3n de que no se deb\u00eda a dispositivos comprometidos (macOS, Windows, Android, iPhone) ni a una empresa telef\u00f3nica en particular, sino que hab\u00eda algo m\u00e1s y la sospecha paso a ser el gateway de env\u00edo de SMS a los usuarios.<\/p>\n El 21 de marzo publicaron una alerta e invitaron a todos los afectados a contactarlos y el 26 de marzo se contacta otro investigador que termina de confirma el hecho: uno de los proveedores de env\u00edo de SMS en Latinoam\u00e9rica estaba hackeado y estaban accediendo a todos los mensajes enviados.<\/p>\n Cuando una empresa como Apple, por ejemplo, env\u00eda un mensaje de texto con un c\u00f3digo de seguridad, el mensaje no le llega directo al usuario, sino que pasa por varios puntos y lo hace siempre en texto plano SIN encriptarse. El flujo ser\u00eda algo as\u00ed: “Apple” se lo env\u00eda a “Twilio”, que luego se lo env\u00eda a un Tier 2, ese se lo env\u00eda a un Tier 3, ese lo env\u00eda a la telef\u00f3nica y al final lo recibe el usuario. O sea que cada vez que te mandan un mensaje pasa por muchos servidores y sin encriptarse (es muy probable que alguien lo acceda en el medio).<\/p>\n Un empleado de una de estas empresas fue infectado por un malware, quiz\u00e1s por bajar algo crackeado o abrir un archivo infectado, este malware le instal\u00f3 un InfoStealer y este programa le rob\u00f3 las contrase\u00f1as que ten\u00eda guardadas. Luego en la darkweb alguien accedi\u00f3 a ese usuario y contrase\u00f1a, accedi\u00f3 al servidor y se encontr\u00f3 con un tesoro: por ese servidor pasaban decenas de miles de mensajes de texto con c\u00f3digos.<\/p>\n Tras un an\u00e1lisis m\u00e1s profundo de las pruebas (incluyendo capturas de pantalla, registros y filtraciones de datos) y con la ayuda de colegas del sector, las sospechas se confirmaron. Un bot de Telegram interceptaba sistem\u00e1ticamente mensajes SMS que conten\u00edan los c\u00f3digos MFA.\u00a0El an\u00e1lisis tambi\u00e9n verific\u00f3 la autenticidad de los registros, lo que indica que la vulnerabilidad hab\u00eda permanecido inadvertida durante varias semanas.<\/p>\n A partir de ese momento se pudo notificar a todas las empresas, organizaciones que de alguna forma estaban siendo afectadas para intentar solucionar el problema lo antes posible.<\/p>\n Desde el mi\u00e9rcoles 26 en adelante se le dedicaron a ayudar a la empresa afectada (que termin\u00f3 no siendo la \u00fanica) y a detectar por donde hab\u00edan entrado. Luego, durante el fin de semana, se puedo detectar el servidor comprometido y lograron darlo de baja.<\/p>\n Dado que muchas empresas utilizan los mismos proveedores de pasarelas de SMS, los atacantes interceptaron con \u00e9xito mensajes SMS de MFA de numerosos servicios destacados, como Google, Microsoft, Apple, Telegram, Facebook, Mercadolibre, Amazon, Binance, Betfun, Instagram, TikTok, Temu y Signal, as\u00ed como de servicios regionales como Mercado Pago, Mi Argentina (Argentina), Banco Formosa (Argentina) y TRANSVIP (Chile). Bas\u00e1ndose en investigaciones internas, informaci\u00f3n p\u00fablica y datos filtrados, se cree que al menos 50 servicios se vieron afectados.<\/p>\n Adem\u00e1s, los mensajes interceptados inclu\u00edan datos altamente sensibles como credenciales, datos personales y c\u00f3digos MFA, lo que explica c\u00f3mo se produjeron las apropiaciones de cuentas de Telegram sin interacci\u00f3n del usuario.<\/p>\n Las cuentas personales, tanto de WhatsApp como de correo o de aplicaciones bancarias, son muy codiciadas por los atacantes para cometer estafas. En general, una vez que se toma el control, los cibercriminales se hacen pasar por conocidos para pedir dinero o cometer todo tipo de ataques de ingenier\u00eda social.<\/p>\n En enero del a\u00f1o pasado,\u00a0usuarios de la aplicaci\u00f3n Payoneer sufrieron en Argentina el vaciamiento<\/a>\u00a0de sus cuentas durante un fin de semana, cuando la popular app de pagos tuvo un problema con un gateway similar al de Sondeos. Mediante el interceptado de los SMS, hackers robaron accesos y transfirieron el dinero a cuentas propias.<\/p>\n Por este motivo,\u00a0siempre hay que tener un segundo factor de autenticaci\u00f3n activado,<\/b>\u00a0esto es, un paso m\u00e1s adem\u00e1s de la contrase\u00f1a para poder iniciar sesi\u00f3n, pero\u00a0este m\u00e9todo nunca tiene que ser el SMS<\/b>, que es conocido en el ambiente de la ciberseguridad por ser inseguro.<\/p>\n Uno de los ataques m\u00e1s conocidos en el \u00e1mbito de la ciberseguridad es el “SIM swapping”, que consiste en duplicar la tarjeta SIM del tel\u00e9fono para suplantar la identidad de la v\u00edctima.\u00a0“M\u00e1s all\u00e1 del SIM swapping, los SMS no est\u00e1n cifrados, lo que facilita interceptarlos. Siempre es mejor usar aplicaciones como Google o Microsoft Authenticator, que se descargan de las tiendas oficiales de Google y Apple y son s\u00faper f\u00e1ciles de usar, adem\u00e1s de m\u00e1s seguros”<\/i>, explica a Clar\u00edn Arturo Busleiman, especialista en ciberseguridad de Buanzo Consulting.<\/p>\nQu\u00e9 es un gateway y c\u00f3mo fue vulnerado en el ataque<\/h3>\n
![](\"https:\/\/www.clarin.com\/redaccionfiler\/clarin\/infografia\/2025\/sociedad\/03\/gateway-dk.svg\")
<\/center> <\/p>\nInvestigaci\u00f3n t\u00e9cnica<\/h3>\n
\u00bfQu\u00e9 se supone que pas\u00f3?<\/h3>\n
![](\"https:\/\/pbs.twimg.com\/media\/GnTYy5Zb0AEkHr1.png\")
<\/center>Se pudo verificar que estos de mensajes de texto eran reales y adem\u00e1s ya se hab\u00edan creado bots para hackear cuentas de Telegram y otras plataformas de forma autom\u00e1tica. Estas herramientas estaban siendo utilizadas para vulnerar cuentas de forma masiva.<\/b><\/p>\nC\u00f3mo evitar el robo de cuentas<\/h3>\n