sin tener el área de clientes verificación en dos paso
Eso no es exacto. En realidad sí que hay una verificación en dos pasos:
Primer Factor.- Cuando accedes a la APP o al área cliente web: Contraseña ("algo que conoces"). Alternativamente en la APP, se puede acceder con PIN ("algo que conoces") o con biometría ("algo que eres"). La probabilidad de acertar al azar para burlar este factor, dependería de la complejidad de la contraseña. Si es una contraseña fuerte, como de 20 dígitos alfanuméricos, la probabilidad es casi de cero.
Segundo Factor.- Cuando podías solicitar la eSIM, te pedía un código temporal de 6 dígitos que se enviaba por SMS a tu número verificado ("algo que tienes") o a tu correo electrónico verificado ("algo que tienes"). La probabilidad de acertar al azar para burlar este factor es 1 entre un millón en el primer intento, probabilidad que se iría reduciendo algo con sucesivos intentos, hasta que se bloquease de alguna manera el ataque de fuerza bruta.
En puridad, alguien podría decir que no era un 2FA realmente, porque únicamente con tu número de teléfono (con tu SIM) podrías resetear la contraseña, y luego validar el código temporal de 6 dígitos para confirmar el duplicado de eSIM. Pero entramos en la paradoja de para qué necesitas hacer un ataque de SIM Swapping, si ya tienes la posesión de la SIM. Y si de alguna forma capturas los códigos de 6 dígitos por alguna vulnerabilidad conocida o desconocida del protocolo SS7, pues como ciberdelincuente tampoco te hace falta hacer un SIM Swapping.
Si lo han quitado por un problema de seguridad, pues llama la atención que hayan tardado en darse cuenta pocas semanas después de lanzarlo en producción. Personalmente, no sé si les costaría mucho implementar la autenticación por DNIe a través de la APP, similar a lo mismo que hace la aplicación miDGT. Y para quien no quiera o no sepa utilizar el DNIe a través del NFC del móvil, pues dejar utilizar la autenticación avanzada por biometría registrando tu rostro: Movistar y O2 verifican la identidad del cliente con un selfie procesado por IA al hacer gestiones sensibles
Eso por no hablar de que podrían dar la opción de poder registrar llaves de seguridad FIDO2/WebAuthn como un medio más de factor de autenticación MFA o 2FA con un grado muy alto de seguridad (siempre que el registro de las llaves se haga bien, demostrando que realmente somos quienes decimos ser).
En cualquier caso, me parece propio del siglo pasado eso de autenticarse a través de la fotocopia de un DNI, que no tiene nada de factor de posesión "algo que tienes", porque yo puedo tener el DNI guardado en mi cartera, pero a saber Dios quién tiene fotocopias de él, en el caso de que me lo hayan fotocopiado para hospedarme en un hotel, para alquilar un piso o para firmar un contrato de trabajo. Con la firma digital del DNIe es más que suficiente para autenticarse con seguridad, siendo autenticación de doble factor fuerte: el chip donde se almacena la clave privada RSA 2048 "algo que tienes" y el PIN "algo que conoces".
