Por qué un número con dueño verificado sigue recibiendo los códigos

Qué es lo que el servicio está preguntando en realidad

Un número de teléfono en una cuenta es una promesa: aquí hay una persona real, y se la va a poder localizar en este número cuando cambie de computadora o se le olvide la contraseña. Los servicios ya aprendieron cuáles números cumplen esa promesa y cuáles no.

Por qué los servicios filtran los números VoIP y los rentados

Los números de internet son baratos y se crean rápido, así que aparecen donde aparecen las cuentas falsas. Twilio, que manda los códigos de muchísimas empresas, se lo dice así a sus clientes: “VoIP numbers are often correlated with bots and don't have the same assurance that you're interacting with a real and unique user”, o sea que los números VoIP suelen estar asociados a bots y no dan la misma garantía de que del otro lado haya un usuario real y único (Twilio).

Las guías de seguridad apuntan a lo mismo. Las de identidad digital del NIST, en su versión anterior, decían que los métodos “that do not prove possession of a specific device, such as voice-over-IP (VOIP) or email, SHALL NOT be used”: los que no prueban la posesión de un aparato concreto, como el VoIP o el correo, no se deben usar (NIST). La versión vigente le pide a quien verifica que “SHOULD consider risk indicators (e.g., device swap, SIM change, number porting, other abnormal behavior)”, que tome en cuenta señales de riesgo como el cambio de aparato, el cambio de chip, el traslado del número y otros comportamientos anómalos (NIST).

Los números rentados y los compartidos tienen otro problema: la reutilización. Un número que cambia de manos cada semana recibe los códigos de quien lo tuvo antes, y termina pegado a cuentas que nadie piensa conservar. Los servicios no publican sus reglas antifraude, así que no podemos decir qué revisa cada uno. Pero un número con una fila de desconocidos detrás es justo lo contrario de esa promesa. Cómo funcionan las revisiones de tipo de línea.

Qué pasa con los números reciclados

Hasta los números de celular normales cambian de dueño. La FCC lo pone en números: “Approximately 35 million numbers are disconnected and made available for reassignment to new consumers each year”, unos 35 millones de números se dan de baja cada año y quedan disponibles para reasignarse a consumidores nuevos, y fijó “a minimum aging period of 45 days”, un plazo mínimo de 45 días antes de que un número dado de baja pase a otra persona (FCC). Para los números residenciales la regla tiene piso y techo: “may be aged for no less than 45 days and no more than 90 days”, no menos de 45 días ni más de 90 (eCFR).

En 2021, los investigadores de Princeton Kevin Lee y Arvind Narayanan tomaron una muestra de los números que dos operadores grandes le ofrecían a sus clientes nuevos (Princeton):

• Princeton, sobre las cuentas

  “171 of 259 numbers we sampled were vulnerable to account hijackings at six popular websites”

  De los 259 números de nuestra muestra, 171 permitían secuestrar cuentas en seis sitios conocidos.

  https://recyclednumbers.cs.princeton.edu/

• Princeton, sobre los códigos

  “still receiving sensitive communication meant for previous owners, such as authentication passcodes”

  Seguían recibiendo comunicaciones sensibles dirigidas a sus dueños anteriores, como claves de autenticación.

  https://blog.citp.princeton.edu/2021/05/03/phone-number-recycling-creates-serious-security-and-privacy-risks-to-millions-of-people/

Ese segundo hallazgo fueron 19 de los 200 números que vigilaron, en una sola semana (Princeton CITP). A quien cambia de número le recomendaban “park the number”, dejarlo estacionado como una segunda línea barata. La lección para cualquiera que dependa de los códigos por mensaje: importa menos el número que quién lo tiene, y por cuánto tiempo.

Por qué Cleat le pide a cada dueño de línea que verifique su identidad

No podemos controlar cómo califica los números cada servicio. Sí podemos controlar quién está detrás de los nuestros. Por eso una línea Cleat no le enseña sus mensajes a nadie hasta que la persona que la tiene verifica su identidad. Una línea, una persona conocida, mientras dure la suscripción.

• Nada de una fila de desconocidos. La línea no anda pasando de mano en mano por semana ni se comparte con el público, así que su historial es el de una sola persona.
• Nadie verifica por otro. Podemos rechazar, pausar o quitar el acceso cuando una revisión falla, parece fraudulenta o se hizo a nombre de alguien más. Nuestras reglas.
• Límites claros de uso. Nuestros Términos prohíben el fraude, hacerse pasar por otra persona, recibir mensajes ajenos y revender líneas.

Y los límites honestos de todo esto:

• El servicio nunca ve tu identificación. Ve un número de celular de Estados Unidos. La verificación mantiene limpios nuestros números con el tiempo; no te da un pase.
• No es una garantía. Casi todos los servicios que rechazan el VoIP aceptan una línea móvil real. Ningún proveedor puede prometerte que todos los servicios aceptan todos los números.
• Tu número pudo tener dueño antes. Como casi cualquier número de Estados Unidos, el de Cleat sale del inventario disponible. No podemos prometerte que nunca se usó.
• Los nuestros también se reciclan. Si se termina el cobro, guardamos tu número 30 días, luego lo liberamos, y más adelante puede quedar en manos de otra persona. Mueve tus cuentas antes.

Qué guardamos y qué no

Tu documento de identidad y tu selfie van a nuestro proveedor de verificación de identidad, que los revisa. Cleat recibe el resultado y una referencia de la revisión, no copias de tu identificación ni de tu selfie. No guardamos imágenes de identificaciones. Con la opción de solo documento, una persona de Cleat lee el resultado del proveedor en vivo antes de aprobarlo: tipo de documento, país que lo emitió y fecha de vencimiento. Ese proveedor trata los datos como encargado nuestro; nuestro Aviso de privacidad lo nombra.

De la línea guardamos lo que hace falta para operarla: los mensajes que recibe (remitente, texto, hora y el código que detectemos), las transcripciones de las llamadas que le entran, los datos de tu cuenta y tus preferencias. Los mensajes solo los ven los miembros de tu espacio de trabajo. El resto, incluido cuánto tiempo lo guardamos, está en el Aviso de privacidad.

Qué significa esto si vas a contratar una línea

1. 01Verificas una sola vez, en unos dos minutos, con una identificación oficial y una selfie. ¿Prefieres no tomarte la selfie? Elige solo documento y lo revisa una persona.
2. 02Puedes pagar primero. Tus mensajes esperan hasta que verifiques.
3. 03La línea va a tu nombre, así que contrátala para ti o para tu empresa, no para alguien más. Si un cliente quiere una cuenta a su propio nombre, la línea debería ser suya.
4. 04Tus compañeros no verifican. Aceptan una invitación y ven los códigos. Cleat para equipos.
5. 05Conserva la línea mientras haya cuentas que dependan de ella. Esa es la lección de Princeton llevada a la práctica. El plan anual cuesta USD 249.90, dos meses gratis; mira el precio.

Si prefieres no enseñarle una identificación a nadie, Cleat no es el producto para ti. Google Voice comparado con Cleat repasa una opción gratuita y lo que se pierde a cambio.