Il recupero basato su SMS è un metodo di reimpostazione o verifica dell'account che invia codici monouso o link tramite messaggio di testo a un numero di telefono registrato. È comodo perché la maggior parte degli utenti può ricevere SMS senza configurazioni aggiuntive, ma è più debole del recupero basato su app o supportato da hardware, perché il controllo del numero può cambiare.
Nelle cyberattacchi, il recupero basato su SMS viene spesso abusato dopo uno scambio di SIM o una compromissione dell'operatore. Se un aggressore prende il controllo del numero della vittima, può intercettare i codici di reimpostazione, approvare le richieste di accesso o modificare le impostazioni dell'account, quindi bloccare il legittimo proprietario fuori dall'account. Questo è particolarmente pericoloso per obiettivi di alto valore come account email, finanziari e di criptovalute. I difensori dovrebbero considerare i numeri di telefono come elementi mutevoli, non come prova di identità, e preferire opzioni di recupero più forti, come app di autenticazione, chiavi di sicurezza hardware, codici di recupero e avvisi per le modifiche dell'account.