En los últimos años hemos visto cómo los móviles se han convertido en el centro de nuestra vida digital, y justo ahí es donde los delincuentes han encontrado un filón con el llamado SIM swapping. Aunque no es una técnica nueva —se documenta con fuerza desde 2019—, sigue plenamente vigente y cada cierto tiempo vuelve a los titulares por fraudes de bastante envergadura. Comprender en qué consiste, cómo se detecta y cómo blindarnos es clave para no llevarnos un susto con nuestras cuentas.
Este tipo de estafa aprovecha un detalle sencillo: la tarjeta SIM ata tu número de teléfono a un dispositivo. Si alguien consigue un duplicado de esa SIM a tu nombre, pasa a recibir tus llamadas y mensajes. Y como todavía hay servicios que usan SMS para verificar operaciones, el atacante puede interceptar códigos de seguridad y colarse en tus cuentas. El resultado puede ir desde el secuestro de perfiles sociales hasta el vaciado de cuentas bancarias, con el consiguiente quebradero de cabeza.
¿Qué es exactamente el SIM swapping?
El SIM swapping (o intercambio/duplicado fraudulento de SIM) es una forma de suplantación de identidad en la que un criminal convence a la operadora de que le asigne tu número a una tarjeta SIM que controla. Al activarse esa nueva SIM, la original queda deshabilitada de inmediato, lo que te deja sin cobertura para llamadas, SMS y datos móviles.
La base técnica es simple: la SIM identifica a tu línea ante la red del operador y permite la prestación del servicio. Si alguien logra un duplicado, empieza a recibir tus SMS y llamadas como si fueras tú. Ese control le abre la puerta a omitir verificaciones por SMS (2FA) y a reiniciar contraseñas mediante códigos enviados por texto.
Este fraude no surge por un fallo de tu móvil, sino por debilidades en la verificación de identidad que aplican algunas operadoras al tramitar duplicados. Si el proceso de comprobación es laxo y el delincuente aporta datos verosímiles, puede salir con una nueva SIM vinculada a tu número.
¿Cómo operan los delincuentes paso a paso?
Normalmente el ataque empieza con la recolección de información personal. Los criminales combinen varias técnicas: desde phishing (correos o SMS que piden datos), llamadas de ingeniería social, compra de bases de datos filtradas o rastreo de perfiles públicos en redes sociales. Con esa batería de datos (DNI, dirección, respuestas a preguntas de seguridad, últimos dígitos de cuentas, etc.) construyen una identidad convincente.
Con la información en la mano, el siguiente paso es contactar con la operadora. A veces es por teléfono y otras, incluso, de forma presencial. El estafador se hace pasar por la víctima, afirma que ha perdido el móvil o la tarjeta y solicita un duplicado. Si la comprobación de identidad no es estricta o no la realiza personal especializado, la solicitud puede colar con una historia plausible y datos válidos (muchos obtenidos de filtraciones de datos).
Una vez que la compañía migra la línea a la nueva SIM, el teléfono de la víctima se queda sin servicio: desaparecen las barras de cobertura y los datos móviles dejan de funcionar. Desde ese momento, el atacante controla el número de teléfono e intercepta llamadas y mensajes.
Con el duplicado activo, el delincuente suele ir a por lo importante: acceso a banca online o servicios como Bizum, compras o incluso solicitar créditos. También son frecuentes los ataques a monederos de criptomonedas, donde los SMS se usan aún como factor de verificación en ciertos servicios. Con el control del número, interceptar códigos y confirmar operaciones es cuestión de minutos.
Cómo identificar un SIM swapping en marcha
La señal más clara es que, de repente, tu móvil se queda sin servicio sin explicación aparente. La SIM original se desactiva cuando se activa el duplicado, así que ni llamadas, ni mensajes, ni datos. Si no hay una incidencia de red y no has cambiado de SIM, sospecha inmediatamente.
Además de la pérdida de cobertura, hay otros indicios útiles. Por ejemplo, correos de alerta sobre cambios de contraseña que tú no has pedido, bloqueos inesperados de cuentas, mensajes o llamadas informando de modificaciones en tu línea y publicaciones raras en tus perfiles sociales. Si notas actividad no solicitada en banca o pagos, actúa sin dilación.
- Desaparición del servicio móvil (llamadas, SMS y datos) sin motivo técnico conocido.
- Alertas por email de restablecimiento de contraseña o avisos de cambios de cuenta que tú no has iniciado.
- Accesos denegados o bloqueos en banca, correo o redes sociales, sin que hayas cambiado la clave.
- Movimientos financieros sospechosos o notificaciones de operaciones no reconocidas.
- Llamadas/SMS previos advirtiendo de modificaciones en tu servicio móvil que no has solicitado.
Un problema añadido es que el atacante puede elegir horas en las que suelas estar ocupado, trabajando o durmiendo, para que no notes la pérdida de cobertura. Por eso conviene tener alertas activadas y revisar con frecuencia el correo asociado a tus cuentas críticas.
¿Para qué utilizan el SIM swapping?
El objetivo principal es el lucro económico: acceder a la banca online para transferencias, compras o incluso solicitar créditos. También son frecuentes los ataques a monederos de criptomonedas, donde los SMS se usan aún como factor de verificación en ciertos servicios. Con el control del número, interceptar códigos y confirmar operaciones es cuestión de minutos.
En otros casos, la meta es el control de redes sociales y el chantaje reputacional. Robar perfiles permite extorsionar, difundir contenido ofensivo o hacerse con la agenda de contactos para continuar el fraude. Incluso pueden suplantarte para engañar a compañeros y familiares con mensajes verosímiles enviados desde “tu” número.
La magnitud del problema no es menor. Estimaciones citadas por cuerpos de seguridad de EE. UU. hablan de decenas de millones de dólares robados en un solo año por esta modalidad, con un salto notable respecto a periodos anteriores. El impacto puede ser económico, personal y profesional, y arrastrar consecuencias durante meses.
Buenas prácticas para protegerte
La prevención combina reducir tu huella de datos públicos y endurecer los procesos de verificación en tu operadora y en tus cuentas online. Aunque no todo está en tu mano —la validación del duplicado depende del proveedor—, hay mucho que puedes hacer. Cuantas más capas de seguridad sumes, más difícil se lo pones al atacante.
- Cuida lo que publicas en redes sociales: restringe la privacidad, evita datos sensibles (dirección, fecha de nacimiento, nombre de mascota, etc.) que puedan usarse para responder preguntas de seguridad.
- Desconfía de enlaces y adjuntos en emails, SMS o apps de mensajería. No compartas datos personales o bancarios con desconocidos.
- Usa contraseñas únicas y robustas con gestor de contraseñas. Cambia con regularidad credenciales de servicios críticos.
- Activa un segundo factor sin SMS (aplicaciones de autenticación como Microsoft o Google Authenticator, llaves físicas). Si un servicio permite elegir, evita el SMS como 2FA.
- Evita redes Wi‑Fi públicas para operaciones sensibles y no instales apps fuera de tiendas oficiales; revisa los permisos que concedes.
- Configura alertas en tu banco para detectar movimientos y logins sospechosos al instante.
Refuerza también la seguridad con tu operadora. Muchas compañías permiten añadir un PIN de cuenta, una contraseña o un bloqueo específico para portabilidades y duplicados. Llama a tu operador y pregunta por medidas como el requisito de un PIN para hacer cambios y la verificación adicional en tienda.
En el plano industrial, están surgiendo integraciones antifraude basadas en la red, como las iniciativas de Open Gateway con su API SIM Swap. Estas soluciones permiten que entidades (por ejemplo, bancos) consulten si ha habido cambios recientes de SIM o de dispositivo antes de autorizar una operación. Si tu banco u operador las usan, el sistema puede detectar un cambio reciente y añadir fricción a transacciones sospechosas.
Qué hacer si sospechas que te han duplicado la SIM
Lo primero: calma y rapidez. Si pierdes de repente el servicio sin explicación, actúa como si fuera un SIM swapping hasta que se demuestre lo contrario. Contacta de inmediato con tu operadora desde otro teléfono para verificar el estado de la línea y pedir el bloqueo o reversión del duplicado.
Explica que sospechas de un fraude y solicita la desactivación de cualquier SIM recién emitida, así como información del último cambio realizado. Pide instrucciones para recuperar tu número con la máxima prioridad, ya sea reactivando la SIM legítima o entregándote una nueva con verificación presencial estricta.
A continuación, ponte en contacto con tu banco (o bancos). Solicita el bloqueo temporal de tarjetas y operaciones, así como la monitorización de movimientos. Revisa tus cuentas por si hubiera transferencias o cargos no reconocidos y pide iniciar los procesos de retroceso o reclamación si procede.
Una vez recuperado el control del número, cambia las contraseñas de correo, banca, redes sociales y cualquier servicio crítico. Prioriza las cuentas que usen tu teléfono para el 2FA o la recuperación. Migra el doble factor de SMS a aplicaciones de autenticación o llaves físicas, y actualiza métodos de recuperación para no depender del número móvil.
Conserva todas las evidencias: emails de aviso, capturas de pantalla, SMS, números de incidencia, así como cualquier registro que te facilite la operadora. Denuncia el fraude ante las Fuerzas y Cuerpos de Seguridad del Estado; en casos de ciberestafa, puedes recabar orientación y, si aplica, notificar a canales especializados. También es aconsejable consultar los recursos de la Oficina de Seguridad del Internauta (OSI).
El papel de las redes sociales y la ingeniería social
Los atacantes suelen empezar mirando lo que publicas. Fechas de cumpleaños, direcciones, trabajos, aficiones o el nombre de tu mascota pueden ser la llave para responder preguntas de seguridad o convencer a un agente de soporte. Cuanta menos exposición pública, menos piezas tendrá el estafador para montar su historia.
Revisa los ajustes de privacidad, limita quién ve tu actividad y reduce la información visible en biografías y publicaciones antiguas. Evita revelar datos que a menudo se usan como contraseñas o respuestas de recuperación. Si un servicio te obliga a usar preguntas de seguridad, responde con información ficticia y guárdala en tu gestor de contraseñas.
En un panorama en el que casi todos llevamos un smartphone y muchos procesos aún dependen del SMS, conviene no bajar la guardia. Desde vigilar la cobertura y las alertas de inicio de sesión hasta usar 2FA sin SMS, establecer PIN con tu operadora y revisar tu exposición pública, la suma de pequeñas barreras es lo que marca la diferencia. Si un día notas que el móvil se queda mudo sin razón, no te la juegues: llama a tu operadora desde otro teléfono y pon en marcha el plan de emergencia; cuanto antes cortes el acceso, más sencillo será recuperar el control y minimizar daños.