AUTHMSG: qué significa el SMS y cómo actuar con seguridad

Respuesta rápida

AUTHMSG es uno de los identificadores de remitente genéricos que Twilio utiliza para enviar códigos de un solo uso mediante sus servicios Verify y Authy. Twilio afirma que lo usa por defecto, junto con TWVerify y VerifyTWL, en 79 países cuando su cliente no ha configurado un identificador propio.

Eso no significa que AUTHMSG sea la empresa que intenta verificarte ni permite saber por sí solo qué cuenta originó el código. El mensaje puede proceder de una aplicación o servicio que utiliza Twilio, de alguien que escribió tu número por error o de un intento de acceso. El nombre del remitente tampoco basta para demostrar que el contenido sea legítimo.

Si solicitaste el código desde una aplicación o web oficial, escríbelo únicamente allí. Si no lo pediste, no lo compartas, no respondas y no pulses enlaces. Un código aislado no prueba que hayan entrado en tu cuenta.

Qué es exactamente AUTHMSG

Un identificador alfanumérico permite que un SMS muestre letras en lugar de un número de teléfono. En este caso, Twilio documenta AUTHMSG como remitente genérico para mensajes de autenticación enviados por sus API Verify y Authy.

La relación es esta:

1. una aplicación, banco, comercio u otro servicio contrata la infraestructura de Twilio;
2. el usuario inicia un registro, acceso o recuperación;
3. el servicio solicita a Twilio un código temporal;
4. en determinados países y rutas, el teléfono puede mostrar AUTHMSG en lugar del nombre del servicio.

Por tanto, AUTHMSG no es una aplicación instalada en tu móvil, una cuenta que puedas abrir ni una empresa a la que debas responder. Es la etiqueta de envío que puede compartir más de un cliente de Twilio.

Cuándo es normal recibir el mensaje

El SMS encaja con una acción legítima cuando acabas de:

• crear una cuenta;
• iniciar sesión en un dispositivo nuevo;
• recuperar una contraseña;
• confirmar un número de teléfono;
• autorizar un cambio sensible;
• activar la verificación en dos pasos.

Antes de introducir el código, comprueba que tú comenzaste esa operación y que sigues dentro de la aplicación o dominio oficial. No abras un enlace del propio SMS para «terminar» una acción que ya tienes abierta en otro sitio.

Qué hacer si no pediste el código

Un único SMS sin enlaces ni peticiones

No compartas el código y bórralo. Alguien puede haber escrito tu número por error. Google, por ejemplo, indica que un código no solicitado puede ignorarse y eliminarse, y que no debe compartirse.

No es necesario cambiar todas tus contraseñas solo porque aparezca un mensaje genérico. Si el texto no identifica el servicio, no hay base para adivinar qué cuenta está implicada.

El mensaje nombra un servicio que utilizas

Abre su aplicación o escribe tú mismo la dirección oficial; no uses el enlace del SMS. Revisa actividad de inicio de sesión, dispositivos conectados, correo de seguridad y métodos de recuperación. Cambia la contraseña si encuentras una alerta real, una sesión desconocida o reutilizas esa contraseña en otros sitios.

Los códigos se repiten

La repetición puede indicar intentos insistentes, un proceso automático o que otra persona tiene asociado tu número. No demuestra por sí sola que conozcan tu contraseña.

Revisa las cuentas que el propio mensaje identifique, activa un método de acceso más resistente y contacta con el servicio mediante su soporte oficial si no puedes relacionar los códigos con ninguna actividad.

Alguien te pide el código por llamada o chat

No lo entregues. La FTC advierte de que quien solicita un código de verificación intenta usarlo para demostrar que es el titular de la cuenta. Cuelga, bloquea el contacto y entra en la aplicación oficial para comprobar si existe una incidencia real.

Señales de fraude

Trata el mensaje como sospechoso si:

• incluye un enlace que no esperabas;
• pide responder con el código;
• proporciona un teléfono al que debes llamar con urgencia;
• amenaza con bloquear una cuenta o perder dinero;
• un supuesto empleado solicita el código por llamada, WhatsApp o correo;
• te pide instalar una aplicación de soporte remoto;
• solicita contraseña, tarjeta, documento o datos bancarios;
• el dominio del enlace imita al de una marca con letras añadidas.

Un código legítimo también puede utilizarse dentro de una estafa. El atacante puede iniciar una recuperación real para que recibas un OTP auténtico y después llamarte fingiendo ser soporte. Que el SMS sea real no convierte en legítima a la persona que te pide el número.

Qué hacer si compartiste el código

Actúa sobre el servicio que aparece en el mensaje o en la conversación:

1. abre su aplicación o web oficial desde un marcador o una dirección escrita por ti;
2. cambia la contraseña de esa cuenta;
3. cierra sesiones y elimina dispositivos que no reconozcas;
4. revisa correo, teléfono y métodos de recuperación;
5. activa un segundo factor nuevo y guarda los códigos de recuperación;
6. comprueba cambios, mensajes, compras o transferencias;
7. contacta con soporte mediante un canal oficial.

Si el código pertenecía a un banco, una tarjeta o un servicio de inversión, llama de inmediato al número que figura en la aplicación, la tarjeta o un extracto. No utilices el teléfono proporcionado por quien te pidió el código.

Si instalaste una app por indicación del supuesto soporte, desconecta el dispositivo de la red, desinstálala si puedes hacerlo con seguridad y solicita ayuda especializada. En España puedes acudir a la línea 017 de INCIBE para orientación; una llamada al 017 no sustituye una denuncia cuando ha habido fraude o acceso ilícito.

Cómo proteger mejor tus cuentas

• Usa una contraseña distinta y larga en cada servicio, almacenada en un gestor.
• Prefiere passkeys, una llave de seguridad o la autenticación integrada de la aplicación cuando estén disponibles.
• Una app de códigos es generalmente más resistente al cambio fraudulento de SIM que un SMS, aunque el código todavía puede ser robado mediante phishing.
• Añade un PIN o protección equivalente a la cuenta de tu operadora para reducir el riesgo de SIM swapping.
• Revisa periódicamente sesiones, dispositivos y métodos de recuperación.
• No apruebes notificaciones de acceso que no hayas iniciado.
• Conserva códigos de recuperación fuera del teléfono.

El SMS sigue añadiendo una barrera frente a usar solo contraseña, pero no es el método más resistente. CISA señala que los códigos de una aplicación son mejores que SMS frente a determinados ataques, aunque siguen siendo vulnerables al phishing.

¿Conviene bloquear el remitente?

Bloquear AUTHMSG puede ocultar códigos legítimos de distintos servicios que utilizan el mismo identificador. No es la primera medida recomendada.

Si los mensajes son persistentes y no puedes relacionarlos con ninguna cuenta, guarda una muestra, contacta con tu operadora y con el servicio nombrado en el texto. Bloquea únicamente después de valorar que podrías dejar de recibir códigos válidos.

Preguntas frecuentes

¿AUTHMSG pertenece a Twilio?

Twilio documenta AUTHMSG como uno de sus remitentes alfanuméricos genéricos para Verify y Authy. El SMS concreto se envía por cuenta de un cliente de esas API; el identificador no revela por sí solo qué empresa lo solicitó.

¿Es un virus?

No. Es el nombre visible de un remitente SMS, no una aplicación instalada. El contenido del mensaje o una persona que pida el código sí pueden formar parte de una estafa.

¿Significa que alguien sabe mi contraseña?

No necesariamente. Puede ser un número mal escrito, un intento de registro o una recuperación. Revisa la cuenta solo cuando el mensaje identifique el servicio o existan otras alertas. Recibir el código significa que la segunda comprobación llegó a tu teléfono, no que el acceso se haya completado.

¿Puedo responder al SMS?

Los remitentes alfanuméricos suelen ser unidireccionales. No respondas ni envíes el código. Gestiona cualquier incidencia desde la aplicación o web oficial.

¿Debo cambiar la contraseña?

Hazlo si el mensaje corresponde a una cuenta que utilizas y observas actividad desconocida, una alerta de seguridad o una contraseña reutilizada. Un código genérico aislado, sin identificar el servicio, no justifica cambiar todas las contraseñas a ciegas.

¿Qué pasa si solo abrí el SMS?

Leer un mensaje de texto ordinario no entrega el código a otra persona. El riesgo aumenta si pulsas un enlace, instalas algo, facilitas datos o compartes el OTP. Si solo lo leíste, bórralo y permanece atento a alertas relacionadas.

Fuentes oficiales

• Twilio: identificadores alfanuméricos para Verify y Authy
• Twilio: documentación de Verify
• Google: cuándo puede enviar un SMS y qué hacer con un código no solicitado
• FTC: qué es un código de verificación y por qué no debes compartirlo
• FTC: estafa del código de Google Voice
• CISA: buenas prácticas para comunicaciones móviles
• INCIBE: línea de ayuda en ciberseguridad 017