SIM swapping: qué es y cómo protegerte

¿Cómo funciona el SIM swapping?

Un cambio de SIM legítimo es un trámite normal: pierdes el teléfono o se daña el chip, y la operadora activa tu número en una SIM o eSIM nueva. Los delincuentes abusan justo de ese trámite. CONDUSEF lo resume así en su ficha sobre el «cambio de chip o tarjeta SIM telefónico»: un tercero pide a la compañía telefónica el cambio de SIM por un supuesto daño o pérdida y se presenta con una identificación falsa para recoger el chip. INCIBE lo define como la obtención de un duplicado de tu SIM suplantando tu identidad (blog de Ciudadanía, septiembre de 2019).

Una variante cercana es la portabilidad fraudulenta: en vez de un chip nuevo en tu misma compañía, el atacante lleva tu número a otra operadora. El resultado es el mismo. Un ataque típico sigue estos pasos:

• Investigación: reúne tu nombre, número, dirección, DNI, CURP o fecha de nacimiento con filtraciones de datos, redes sociales o phishing.
• Suplantación: se presenta en una tienda, llama o entra en línea a tu operadora haciéndose pasar por ti, o paga a un empleado corrupto.
• El duplicado: tu número se activa en su chip y tu celular muestra «Sin servicio» o «Solo llamadas de emergencia».
• Cosecha de códigos: pide restablecer contraseñas de tu correo, banco, billetera de cripto y redes, y recibe los códigos por SMS.
• Bloqueo: cambia contraseñas y opciones de recuperación antes de que reacciones, muchas veces en menos de una hora.

¿Qué dicen las autoridades sobre el SIM swapping?

En México, CONDUSEF describe el cambio de chip como una forma de robo de identidad cibernética que busca las claves y datos de tus cuentas bancarias, y advierte que los defraudadores pueden iniciar sesión en cuentas que usan SMS como autenticación «simplemente porque reciben los mensajes con los códigos de verificación». En España, INCIBE explica que conseguir el segundo factor que el banco envía por SMS es vital para quien quiere confirmar un pago en línea a tu nombre.

En España, además, la Agencia Española de Protección de Datos (AEPD) ha publicado resoluciones sancionadoras contra operadoras que entregaron duplicados de SIM a terceros sin verificar bien su identidad. En Estados Unidos, la FCC adoptó el 15 de noviembre de 2023 reglas que obligan a las operadoras móviles a usar métodos seguros de autenticación antes de un cambio de SIM o una portabilidad y a avisar de inmediato al cliente cuando se piden.

¿Cuáles son las señales de que te hicieron SIM swapping?

La velocidad lo es todo. Cualquiera de estas señales es motivo para llamar a tu operadora en ese momento desde otro teléfono.

• Tu celular se queda sin señal sin explicación, aunque estás en una zona con cobertura y a otros les funciona (la primera señal que citan INCIBE y CONDUSEF).
• Recibes un SMS o correo de tu operadora sobre un cambio de SIM, una eSIM o una portabilidad que no pediste.
• Te llegan códigos de verificación o correos para restablecer contraseñas que no solicitaste.
• Ves avisos de inicio de sesión desde un dispositivo o lugar nuevo en tu correo o tu banco.
• Tu banco te avisa de movimientos o cambios de contraseña que no reconoces.

¿Cómo protegerte del SIM swapping?

Ninguna medida es perfecta, pero juntas te convierten en un objetivo difícil.

• Pon un PIN o contraseña en tu cuenta de la operadora (lo recomienda CONDUSEF) y pregunta si ofrece bloqueo de portabilidad o de cambio de SIM.
• Pasa tus cuentas importantes del SMS a una passkey, una llave de seguridad o una app de autenticación.
• Quita tu número como método de recuperación en las cuentas que permitan otro mejor.
• No respondas llamadas, correos ni SMS que pidan datos personales, y limita lo que publicas: fecha de nacimiento, dirección y número son la materia prima de la suplantación.
• Activa las alertas de movimientos de tu banco por correo o app para detectar cargos a tiempo.
• Usa un número aparte para registros de poca confianza, así tu número personal aparece en menos bases de datos.

¿Qué hacer si te hicieron SIM swapping?

Actúa en minutos, no en horas. Llama a tu operadora desde otro teléfono, denuncia el duplicado y pide que te devuelvan el número y bloqueen la línea. Después cambia la contraseña de tu correo primero y luego la del banco y de cualquier cuenta que usara códigos por SMS. Avisa a tu banco y revisa movimientos de tarjetas y billeteras.

En México, si hubo cargos no reconocidos, presenta tu queja ante el banco y ante CONDUSEF. En España, denuncia ante la Policía Nacional o la Guardia Civil y puedes pedir orientación en el 017, la línea de ayuda en ciberseguridad de INCIBE. Guarda horas, números de caso y nombres de quienes te atendieron.

¿Un número temporal te protege del SIM swapping?

En parte, y conviene ser precisos. Un número temporal de RecibeSMS te permite completar un registro puntual sin darle tu número personal a ese sitio, lo que deja tu número real fuera de una base de datos más que podría filtrarse. Menos lugares con tu número significa menos material para un atacante.

No es una defensa para las cuentas que ya tienes. El número caduca tras hasta 20 minutos, así que nunca debe ser tu segundo factor ni tu teléfono de recuperación. La protección real es un PIN en tu línea más un segundo factor que resista el phishing.