Números temporales para recibir SMS: cómo funcionan, qué riesgos tienen y qué alternativas legítimas existen

Un número temporal es un número de teléfono distinto de tu línea personal que usas por poco tiempo para recibir un SMS, casi siempre un código de verificación. Los gratuitos que encuentras en buscadores son públicos: cualquiera puede leer los mensajes que llegan, incluido tu código, y con eso otra persona puede quedarse con la cuenta que acabas de crear. Si el servicio te importa, usa una segunda SIM o eSIM, un número virtual de pago que solo tú controles, o verifica por correo cuando el sitio lo permita.

¿Qué es un número temporal o virtual?

Un número virtual es un número de teléfono que no depende de una SIM en tu bolsillo: vive en un servidor y los mensajes llegan a una página web o a una app. Se le dice "temporal" porque se usa una sola vez o durante un periodo corto. En la práctica hay tres tipos:

• Números públicos gratuitos: una web publica una lista de números y muestra en una página abierta todos los SMS que reciben.
• Números virtuales de pago: una app o un proveedor de telefonía por internet te asigna un número privado mientras pagues la suscripción.
• Líneas móviles secundarias: una SIM prepago o una eSIM adicional de un operador, que funciona como cualquier otra línea.

¿Cómo funcionan los sitios públicos para recibir SMS?

Funcionan como una bandeja de entrada a la vista de todos. El sitio tiene un puñado de números, los muestra en su página y publica cada SMS que llega con remitente, hora y texto completo. No hay usuario ni contraseña: cualquiera que abra la página ve exactamente lo mismo que tú. Los números se comparten entre miles de visitantes y se reciclan, así que muchos servicios ya los tienen identificados y el mensaje ni siquiera llega.

Según un estudio de la Universidad de Florida presentado en el IEEE Symposium on Security and Privacy (2016), los investigadores recopilaron 386.327 mensajes enviados a más de 400 números públicos de 28 países durante 14 meses. Encontraron servicios que mandaban por SMS información sensible en texto plano, como contraseñas y números de tarjeta, y concluyeron que estos sitios se usaban principalmente para eludir las reglas de registro que exigen un número verificado.

¿Por qué es riesgoso usar un número público?

El riesgo principal es que tu código queda publicado y otra persona puede usarlo. Si ese número también sirve para iniciar sesión o recuperar la cuenta, cualquiera que visite la página puede pedir un código nuevo, leerlo y entrar. A eso se suman otros problemas:

• Pierdes el acceso a futuro. Si el sitio te pide verificar el número otra vez dentro de unos meses, ya no lo controlas.
• Quedas expuesto junto a otros. La lista de mensajes revela qué servicios se registraron con ese número, lo que facilita ataques dirigidos.
• Tu cuenta puede ser bloqueada. Muchas plataformas tratan estos números como señal de abuso y suspenden las cuentas asociadas.

Como mucho, sirven para algo que no te importe perder y sin ningún dato personal.

¿Por qué muchos servicios bloquean números virtuales o VoIP?

Porque el SMS se usa como prueba de que detrás de la cuenta hay una persona con un teléfono físico, y un número virtual no demuestra eso. Existen servicios de consulta que indican si un número es móvil, fijo o VoIP, y muchos sitios los usan para rechazar los que no son móviles en el registro.

La guía de identidad digital del NIST de Estados Unidos, en su versión SP 800-63B de 2017, lo dejó por escrito: los métodos que no prueban la posesión de un dispositivo específico, como VoIP o el correo, no deben usarse para autenticación fuera de banda, y quien verifica debe comprobar que el número está asociado a un dispositivo físico.

Si un servicio rechaza tu número virtual, no intentes rodearlo con un número de un sitio público: eso es justo lo que la regla busca impedir y suele violar sus términos. Usa alguna de las alternativas de la siguiente sección.

¿Qué alternativas legítimas tienes?

La alternativa más sólida es una segunda línea móvil real que solo tú controles. Estas son las opciones razonables:

• Segunda SIM o eSIM: muchos teléfonos admiten dos líneas a la vez. Una línea prepago te da un número móvil real y privado, que conservas mientras la mantengas activa según las reglas de tu operador.
• Número virtual de pago: varias apps y operadores ofrecen números privados por suscripción. Solo tú ves los mensajes, aunque algunos servicios igual los rechazan por ser VoIP.
• Verificación por correo: en algunos sitios el teléfono es opcional o puedes elegir el correo como método de verificación. Revisa las opciones antes de dar un número.
• Segundo factor sin SMS: si el servicio ofrece una app de autenticación, una llave de seguridad o una llave de acceso (passkey), úsala. Son más seguras que el SMS y no exponen tu número.

Ten en cuenta que en algunos países las líneas prepago se registran a nombre del titular. Una segunda SIM te da privacidad frente a los sitios donde te registras, no frente a tu operador.

Comparativa de opciones para recibir un código

¿Cuándo basta con un correo temporal en lugar de un número?

Basta cuando el sitio solo pide confirmar un correo, algo habitual en foros, descargas, boletines, cupones o pruebas de una app. Ahí no necesitas número: un correo temporal recibe el enlace o el código y tu bandeja personal queda limpia. Si no conoces bien la idea, empieza por qué es un correo temporal y cuándo conviene usarlo.

En Mawlio obtienes una dirección que dura 1 hora y puedes extenderla con créditos. Los códigos de verificación se destacan para copiarlos con un toque, y la bandeja está ligada a tu cuenta, no publicada en una página abierta. Mawlio no ofrece números de teléfono ni recibe SMS. Tienes el paso a paso en cómo recibir códigos de verificación sin dar tu correo personal.

Una advertencia honesta: un correo temporal tampoco sirve para cuentas que tendrás que recuperar. Cuando la dirección caduca puede asignarse a otra persona, y un correo de "restablecer contraseña" podría llegarle a ella. Para banca, trabajo, trámites o compras usa tu correo de siempre.

¿Es legal usar un número temporal?

En general, tener un número virtual o una segunda línea es legal; lo que importa es para qué lo usas. Crear cuentas en masa, evadir un bloqueo o repetir una prueba gratuita con otro número suele violar los términos del servicio, y si hay fraude o suplantación de identidad puede ser delito. Si lo que buscas es probar un servicio sin llenar tu bandeja, lee cómo registrarte en pruebas gratuitas sin spam, y si lo que te preocupa es cuánto revelas al crear cuentas, mira qué protege y qué no al registrarte de forma anónima.

Preguntas frecuentes

¿Los números gratuitos para recibir SMS son seguros?

No. Los mensajes se publican en una página abierta, así que cualquiera puede leer tu código y usarlo para entrar o recuperar la cuenta. Además, los números se comparten y se reciclan, por lo que pierdes el acceso en cuanto el sitio vuelve a pedir verificación.

¿Puedo usar un número temporal para una app de mensajería?

No es recomendable. Tu cuenta queda ligada a ese número; si es público, cualquiera puede pedir el código y registrar tu cuenta en otro teléfono, y si es virtual es posible que la app no lo acepte. Para mensajería usa una línea que controles, como una segunda SIM o una eSIM.

¿Un número virtual de pago es lo mismo que uno público?

No. Un número virtual de pago es privado: solo tú ves los mensajes y lo conservas mientras mantengas la suscripción. Su limitación es que algunos servicios rechazan los números VoIP en el registro.

¿Mawlio ofrece números temporales?

No. Mawlio es un servicio de correo temporal y no ofrece números de teléfono ni recibe SMS. Sirve para los registros que se verifican por correo, que son la mayoría de foros, boletines y pruebas de apps.

Si lo que necesitas es confirmar un correo sin dar el tuyo, pide una dirección gratis en Mawlio, sin registrarte, y tenla lista en segundos.

Fuentes

• Reaves et al., Universidad de Florida, "Sending out an SMS: Characterizing the Security of the SMS Ecosystem with Public Gateways", IEEE Symposium on Security and Privacy (2016)
• NIST, SP 800-63B Digital Identity Guidelines: Authentication and Lifecycle Management (2017)