El OTP por voz entrega el código de verificación en una llamada automática. Es el complemento natural del SMS: rescata a los usuarios a los que el mensaje no les llegó y alcanza a los que solo tienen un teléfono fijo.
Qué es el OTP por voz
Es una llamada automática en la que una voz lee el código de un solo uso, normalmente dos veces y dígito por dígito. El usuario lo escucha y lo escribe en la app o en el sitio, igual que haría con un OTP por SMS.
No reemplaza al SMS: lo complementa. La mayoría de los usuarios seguirá recibiendo el código por mensaje; la llamada es el plan B.
Cuándo conviene la llamada
- El SMS no llegó después de un tiempo razonable: teléfono con memoria llena, filtros del dispositivo o una demora puntual del operador. Vea por qué no se entrega un SMS.
- El número es fijo. Un SMS a un fijo no llega; una llamada, sí. Validar el número contra el Plan Nacional de Numeración permite elegir el canal correcto desde el primer intento.
- Accesibilidad: para algunas personas es más fácil escuchar el código que leerlo en pantalla.
Cómo combinar SMS y voz sin molestar
El flujo que mejor funciona es escalonado:
- Envíe el código por SMS.
- Si el usuario no lo ingresa en 30 a 60 segundos, muestre la opción “Recibir el código por llamada”.
- Llame solo cuando el usuario lo pida y use el mismo código o uno nuevo con la misma vigencia.
- Limite los intentos por número y por sesión.
Llamar automáticamente sin que el usuario lo pida genera desconfianza y costos innecesarios.
Qué dice NIST sobre SMS y voz
La guía SP 800-63B-4 del NIST clasifica la autenticación fuera de banda por la red telefónica, que incluye SMS y voz, como un autenticador “restringido”. No lo prohíbe, pero pide ofrecer alternativas a los usuarios y considerar señales de riesgo antes de usarlo, como un cambio de SIM o una portabilidad reciente.
En la práctica, SMS y voz siguen siendo los canales más universales; lo importante es adaptar el factor al riesgo de cada operación. Lo explicamos en MFA: OTP por SMS, app autenticadora o push.
El riesgo que hay que controlar: el bombeo de llamadas
Un atacante puede usar su formulario de verificación para disparar miles de llamadas o SMS hacia números que le generan ingresos. Para evitarlo:
- Restrinja los destinos a los países donde opera.
- Aplique límites por número, por IP y por dispositivo.
- Pida una verificación previa (por ejemplo, un captcha) antes de ofrecer la llamada.
- Monitoree picos anómalos de solicitudes y detenga el envío automáticamente.
Fuentes
- NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, sección 3.1.3.3 (autenticación fuera de banda por la red telefónica). pages.nist.gov
- OWASP, Multifactor Authentication Cheat Sheet. owasp.org
Preguntas frecuentes
¿Necesita una plataforma SMS para su empresa?
Grupo Tecnophone ofrece mensajería SMS empresarial en México, API con sandbox y cifrado, reportes de entrega por mensaje y un panel para campañas. Hable con un experto o revise la documentación para desarrolladores.