Los mensajes de texto con códigos de validación no necesitan escribirse de forma oculta

El código de validación no es una contraseña

Un coche es un coche, una manzana es una manzana, y un tv es un tv. Digo esto porque en ciberseguridad más podría ser menos. Porque mezclar mensajes y acostumbrar al usuario a todo tipo de situaciones que parece que mejora la ciberseguridad puede resultar en menos seguridad.

Es normal que al escribir en pantalla la contraseña se oculte detrás de asteriscos para que nadie más pueda leer la contraseña. Esto se hace porque alguien que esté detrás del usuario podría ver la contraseña, o incluso imagine que su pantalla puede ser leída desde un punto externo y con un telescopio por la ventana del sistio donde está ubicada. Por esta razón se oculta la contraseña.

Hice una captura de imagen de uno de los bancos con los que trabajo, que me envió un mensaje al teléfono móvil para validar una actualización, y cuando escribo los dígitos los ocultó igual que si fuera una contraseña. La imagen a continuación:

Voy a responder a la pregunta más importante en el tema de ciberseguridad ¿qué podría pasar si alguien ve el código que ingreso? La respuesta es absoluta y rotundamente nada.

Este tipo de código se crea como una validación para asegurarse de que es el usuario quien realiza la tarea. Es una validación que depende del teléfono, más que validar al usuario valida que sea el usuario que puede acceder al teléfono.

Este tipo de escenario se da para validar el ingreso de un usuario a un sistema, o para validar una transacción. Es un escenario donde el usuario ya ha escrito una contraseña. 

La clave que se envía al teléfono es única para la transacción, ya sea para el ingreso al sistema, o para realizar una tarea. Si por alguna razón se cancela la transacción y se inicia otra transacción se generará un código nuevo. Es decir, solo sirve para lo que el usuario está haciendo en el sistema en ese preciso momento. Por lo tanto, si alguien ve el código no tiene nada en qué usarlo. 

¿Por qué es importante no tratar un código de validación como una contraseña?

La razón más importante es porque no es una contraseña. 

Los usuarios se acostumbran a ciertos estándares. Si cree que está escribiendo una contraseña no entenderá lo que realmente está haciendo. Además podría provocar que escriba la contraseña en vez del código, y que confunda contenido en otros campos. 

Dificulta la escritura del código, lo normal sería que ponga el teléfono a un lado del teclado del PC y escriba los códigos, sin embargo, al no verlos los puede escribir mal. Si todo ocurre en el teléfono móvil entonces es aún más difícil cambiar las pantallas y escribir los códigos sin equivocarse. 

Si se equivoca dos veces lo normal es que tenga que iniciar todo nuevamente. Según el sistema podría provocar un inicio de sesión nuevo, y cada inicio de sesión es un riesgo de ciberseguridad. Los usuarios no deben acostumbrarse a errar y reiniciar. 

Un usuario debe acostumbrarse a que cuando ve un campo con asteriscos está ante una contraseña y debe subir el nivel de concentración.