Ataques de SIM swap: cómo roban tu número y cómo detenerlos

¿Qué es un ataque de intercambio de SIM (SIM swap)?

Tu número de teléfono parece algo que solo tú controlas. Un ataque de intercambio de SIM rompe esa suposición.

En un intercambio de SIM, un estafador contacta a tu operador móvil y se hace pasar por ti —alegando un teléfono perdido o una SIM dañada— y convence al operador de transferir tu número a una tarjeta SIM en sus manos. Desde ese momento, las llamadas y los mensajes de texto destinados a ti llegan a ellos.

Los atacantes suelen lograrlo mediante ingeniería social: reunir tus datos personales a partir de filtraciones de datos y redes sociales para superar las comprobaciones de identidad del operador. En algunos casos, reciben ayuda de un empleado corrupto dentro del operador.

El premio es tu número como llave maestra. Con él, los atacantes pueden interceptar códigos 2FA basados en SMS, solicitar restablecimientos de contraseña que llegan por mensaje de texto y leer alertas bancarias, desbloqueando cuentas que se suponía que tu contraseña por sí sola protegía.

Por qué los atacantes quieren tu número de teléfono

Tu número de teléfono es más que una forma de llamar a tus amigos. Muchos servicios todavía lo usan como herramienta de seguridad: bancos, proveedores de correo electrónico, redes sociales y exchanges de criptomonedas envían códigos SMS como segundo factor o usan tu número para verificar solicitudes de recuperación de cuenta.

Eso convierte tu número en una llave maestra. Si un atacante lo controla, puede interceptar esos códigos e iniciar sesión como tú. Un número secuestrado se ha usado para acceder a bandejas de entrada de correo, vaciar cuentas de exchanges de criptomonedas y apoderarse de perfiles de redes sociales — a menudo en una sola noche.

El peligro se agrava porque tu correo electrónico es la vía de recuperación para casi todo lo demás. Pierdes la bandeja de entrada, y con ella los restablecimientos de contraseña de docenas de otras cuentas.

En resumen: tu número actúa como clave de recuperación para toda tu vida digital, y eso es exactamente por lo que los ladrones lo buscan.

Cómo suele desarrollarse un SIM swap

Un SIM swap comienza mucho antes de que el ladrón llame a tu operador. Los atacantes primero recopilan datos personales tuyos a partir de filtraciones de datos, mensajes de phishing o información que compartes públicamente en redes sociales: tu fecha de nacimiento, tu dirección y los últimos dígitos de las cuentas que usas.

Con estos datos en mano, contactan a tu operador de telefonía móvil, a menudo por teléfono o en una tienda, y se hacen pasar por ti. Una excusa común es un teléfono perdido, robado o averiado que necesita una nueva tarjeta SIM de inmediato.

Si las comprobaciones del operador son débiles, el personal activa una nueva SIM en el dispositivo del atacante y transfiere tu número a ella. Tu teléfono de repente pierde la señal: sin llamadas, sin mensajes. Como tu número ahora vive en su SIM, cada código SMS destinado a ti llega a su teléfono en su lugar.

Señales de advertencia de que tu número ha sido portado

Un SIM swap suele anunciarse a través de un comportamiento extraño de tu teléfono.

• Pérdida repentina de señal cuando en otros lugares hay plena cobertura. Tu teléfono muestra "Sin servicio" mientras las personas a tu alrededor con el mismo operador tienen cobertura, y tu operador confirma que no hay ninguna avería en tu zona.
• Las llamadas y los mensajes fallan. Las llamadas salientes se cortan de inmediato, los mensajes no se envían y al reiniciar aparecen errores de "Sin SIM" o "SIM no provisionada".
• Alertas inesperadas en tus cuentas. Llegan correos de restablecimiento de contraseña o notificaciones de "nuevo inicio de sesión" de cuentas que no tocaste: alguien puede estar usando ya tu número para recibir códigos de verificación.

Cualquiera de estas señales merece atención. La pérdida de señal combinada con alertas de cuentas significa que debes actuar de inmediato: tu número puede haber pasado a la SIM de un ladrón, y cada código basado en SMS está llegando ahora a sus manos.

Configura un PIN de operador y protección de portabilidad

Tu cuenta móvil es la puerta de entrada a tu número de teléfono, así que ciérrala con llave.

• Añade un PIN o código de operador. La mayoría de los operadores te permiten establecer un PIN numérico o una contraseña verbal necesarios antes de que cualquiera pueda hacer cambios en la cuenta, pedir una SIM nueva o llamar a soporte. Sin ella, un ladrón solo necesita tus datos públicos—nombre, dirección, cumpleaños—para hacerse pasar por ti.
• Activa la protección de portabilidad. Esto impide que tu número sea transferido a otro operador sin tu aprobación, normalmente en persona con identificación con foto o mediante una solicitud verificada. Esto derrota directamente el paso de transferencia de un SIM swap.
• Busca la configuración tú mismo. Los nombres varían según el proveedor: busca "PIN de cuenta", "bloqueo de portabilidad" o "bloqueo de número" en la sección de seguridad de la app o el sitio web de tu operador. Si no los encuentras, llama a soporte y pide ambas funciones.

Si bancarizas con códigos SMS, considera una segunda línea barata usada solo para el 2FA de banca. Mantiene la exposición de tu número principal alejada de tus cuentas más valiosas.

Reduce tu dependencia de los códigos SMS

Los mensajes de texto son la forma común más débil de 2FA porque el código viaja a través de tu operador, justo el canal que compromete un ataque de SIM swapping. Las opciones más fuertes mantienen el código en tu dispositivo o eliminan los códigos por completo.

Aplicaciones de autenticación

Aplicaciones como Google Authenticator, Microsoft Authenticator o Authy generan códigos localmente en tu teléfono. Nada llega por la red, por lo que una SIM intercambiada no revela nada. Actívalas en la configuración de seguridad de cada cuenta y guarda los códigos de respaldo fuera de línea.

Llaves de seguridad de hardware

Para el correo electrónico, la banca y otras cuentas críticas, una llave de seguridad física (como una que admita FIDO2) es la opción más fuerte. La llave verifica directamente el sitio web legítimo, por lo que los sitios de phishing fallan automáticamente. Compra dos: una para uso diario y una de respaldo guardada de forma segura.

Passkeys y aprobaciones en la aplicación

Cuando un servicio ofrece passkeys o aprobación de inicio de sesión en la aplicación, elígelas en lugar de SMS. Las passkeys están vinculadas a tu dispositivo y no pueden ser interceptadas a través de tu operador en absoluto.

Hábitos generales que reducen tu superficie de ataque

Un SIM swap suele empezar con información, no con tecnología. Los atacantes reúnen datos de redes sociales, filtraciones de datos y registros públicos, y luego los usan para convencer a tu operador de que son tú.

• Comparte menos en línea. Evita publicar tu cumpleaños, nombres de mascotas, primera escuela o ciudad natal. Son respuestas comunes de preguntas de seguridad. Las publicaciones antiguas pueden revelar tanto como las nuevas.
• Usa contraseñas largas y únicas. Un gestor de contraseñas las genera y las recuerda por ti, así que una contraseña filtrada nunca desbloquea varias cuentas.
• Audita tus opciones de recuperación. Revisa la configuración de seguridad de tus cuentas importantes. Elimina tu número de teléfono donde no sea obligatorio, y prefiere una app de autenticación o una passkey como segundo factor. Menos lugares que puedan restablecer un inicio de sesión por SMS significa menos puertas que pueda abrir un SIM portado.

Los hábitos pequeños, aplicados con constancia, eliminan la materia prima de la que dependen los atacantes.

Qué hacer si eres víctima

Actúa rápido — cada hora cuenta.

1. Llama a tu operadora de inmediato. Usa otro teléfono o acude a una tienda en persona con tu identificación. Pídeles que desactiven la SIM fraudulenta, restauren tu número en tu dispositivo y añadan o refuercen un PIN de operadora y protección contra portabilidad en el momento.

2. Asegura tus cuentas, empezando por el correo electrónico. Tu bandeja de entrada es la llave maestra de todo lo demás. Cambia primero esa contraseña, luego la de banca, redes sociales y cualquier cuenta vinculada al número. Cuando sea posible, revoca las sesiones activas y cierra sesión en todos los dispositivos, y actualiza los números de teléfono de recuperación que un atacante pueda haber añadido.

3. Denúncialo. Presenta un informe de fraude ante tu operadora y luego ante tu autoridad nacional de protección al consumidor o delito cibernético. Esto crea un registro documental si los atacantes abrieron cuentas a tu nombre.

Un SIM swap es disruptivo pero superable. Los bloqueos de la operadora más aplicaciones de autenticación en lugar de SMS te convierten en un objetivo mucho más difícil la próxima vez.

Errores comunes que facilitan un SIM swap

Muchas víctimas hacen todo lo correcto con sus contraseñas y aun así pierden sus cuentas por pequeños descuidos evitables.

• Confiar en que el operador te avisará. Algunos operadores envían un mensaje cuando se activa una SIM nueva, pero ese aviso llega a tu número... que ya está en manos del ladrón. No cuentes con ser notificado; verifica tú mismo que el PIN y el bloqueo de portabilidad estén activos.
• Usar el mismo número para todo. Si tu número principal aparece como opción de recuperación en el correo, la banca y las redes sociales, un solo SIM swap desbloquea toda tu vida digital. Reduce esos vínculos al mínimo indispensable.
• Guardar los códigos de respaldo en el propio teléfono. Si usas una app de autenticación pero guardas los códigos de recuperación en notas del mismo dispositivo, los pierdes todo junto si te roban el número o el teléfono. Guárdalos impresos o en un gestor de contraseñas.
• Responder a llamadas o mensajes del "operador". Tras un ataque fallido, los estafadores a veces llaman fingiendo ser soporte para "verificar tu identidad" y obtener así los datos que les faltan. Cuelga y llama tú al número oficial del operador.
• Olvidar cuentas antiguas. Ese foro o tienda online de hace años con tu número de recuperación sigue siendo una puerta trasera. Revísalas y elimina el número o cierra la cuenta.
• Dar por hecho que "a mí no me pasará". Los atacantes no eligen víctimas famosas: eligen números fáciles. La protección cuesta minutos, no conocimientos técnicos.

Corregir estos errores refuerza todas las demás medidas del artículo.