Usted tiene razón, esto no es efectivo en el caso de robo del dispositivo: necesita una buena autenticación local para eso, como un pin largo, contraseña, frase de contraseña y, posiblemente, datos biométricos.
Sin embargo, estas soluciones OTP no intentan abordar esa amenaza. Su objetivo es evitar que alguien intente acceder a un servicio adivinando nombres de usuario y contraseñas, o utilizando nombres de usuario y contraseñas robadas de otros sitios (por ejemplo, a través de registradores de teclas, volcados de bases de datos, etc.).
Por ejemplo:
- El sitio web XYZ está pirateado y los nombres de usuario y contraseñas se descifran y publican en línea
- Obtengo la lista y pruebo cada una de las credenciales contra el sitio web de ABC
- A menudo, los usuarios usarán los mismos nombres de usuario y contraseñas y obtendré acceso a algunas cuentas
- Sin embargo, si mi cuenta en el sitio web de ABC está vinculada a un número de teléfono móvil y utiliza un SMS para autenticarse, sabiendo que mi nombre de usuario y contraseña no le permitirán comprometer mi cuenta de ABC a menos que también pueda interceptar el SMS.