Aunque se detectaron por primera vez en España hace más de un lustro, los ataques de SIM Swapping continúan siendo una amenaza activa y cada vez más sofisticada. Este tipo de fraude, que consiste en duplicar la tarjeta SIM de un usuario para suplantar su identidad y acceder a sus cuentas, afecta tanto a particulares como a empresas, y se ha convertido en una de las vías preferidas de los ciberdelincuentes para robar dinero de forma rápida.
Un ataque con objetivo claro: suplantar la identidad
La tarjeta SIM es un componente esencial de cualquier teléfono móvil. Además de permitir realizar llamadas y enviar mensajes, sirve para que el operador de telecomunicaciones identifique al usuario en la red. Pero, sobre todo, en la última década ha adquirido un papel crucial en la verificación en dos pasos mediante SMS, utilizada por bancos, redes sociales y servicios online para confirmar la identidad del cliente.
El SIM Swapping explota esta dependencia. Si un atacante consigue un duplicado de la SIM de su víctima, pasa a recibir todos los SMS y llamadas dirigidos a su número, incluyendo los códigos de verificación enviados por entidades financieras. Esto le permite acceder a cuentas bancarias, redes sociales o plataformas de comercio electrónico como si fuera el propio titular.
Cómo ejecutan el fraude
El proceso comienza con la recolección de datos personales. Los delincuentes pueden obtenerlos mediante filtraciones previas de información, ingeniería social o, directamente, extrayéndolos de redes sociales con perfiles poco protegidos.
Con esta información en la mano, el atacante llama al operador móvil haciéndose pasar por la víctima. En operadores con procedimientos de verificación débiles, es posible que con solo responder a preguntas básicas o presentar documentación falsificada se autorice un duplicado de la SIM.
Una vez activada la nueva tarjeta, la SIM original queda automáticamente deshabilitada. El usuario pierde cobertura de forma inmediata, sin poder realizar ni recibir llamadas, ni conectarse a Internet mediante datos móviles. Si el ataque ocurre de madrugada o en horas de trabajo, es posible que la víctima tarde en darse cuenta, lo que da al delincuente una ventana de tiempo crítica para ejecutar transferencias o cambiar contraseñas.
Una amenaza persistente desde 2019
Aunque este fraude comenzó a ganar notoriedad en España alrededor de 2019, los casos no han disminuido. De hecho, la Agencia Española de Protección de Datos (AEPD) y varios cuerpos policiales han alertado en los últimos años de un incremento de denuncias relacionadas con este método.
A nivel global, países como Estados Unidos, Reino Unido o México también han registrado un aumento de casos, en parte debido a la facilidad con la que se puede explotar la debilidad del procedimiento de duplicado de SIM en algunos operadores.
Por qué sigue ocurriendo
El principal problema radica en dos factores:
- Falta de concienciación del usuario, que comparte demasiada información personal en entornos públicos.
- Controles de verificación insuficientes por parte de algunos operadores para autorizar un duplicado.
Mientras no se refuercen estos procesos, el riesgo seguirá latente.
Cómo prevenir un ataque de SIM Swapping
Aunque el usuario no puede controlar los protocolos internos de una operadora, sí puede reducir su exposición:
- Limitar la información personal que se publica en redes sociales o foros.
- Configurar la privacidad de los perfiles sociales para que solo contactos de confianza puedan acceder a datos como fecha de nacimiento, lugar de trabajo o número de teléfono.
- Evitar facilitar datos bancarios o personales por teléfono o correo si no se está absolutamente seguro de la identidad del interlocutor.
- Usar métodos de doble factor que no dependan de SMS, como aplicaciones de autenticación (Google Authenticator, Authy, Microsoft Authenticator) o llaves de seguridad físicas.
- No instalar aplicaciones de procedencia dudosa y priorizar siempre las tiendas oficiales.
- Evitar redes Wi-Fi públicas para operaciones sensibles y, si es imprescindible, usar una VPN confiable.
La respuesta de la industria
Para frenar este tipo de fraude, la industria de las telecomunicaciones trabaja en iniciativas como Open Gateway, un estándar de APIs abiertas que permite integrar sistemas antifraude (API SIM Swap). Estas herramientas detectan cambios recientes en la SIM y el dispositivo desde el que se intenta realizar una transacción, bloqueando o requiriendo una verificación adicional si se detecta actividad sospechosa.
Qué hacer si eres víctima
En caso de sospechar que la SIM ha sido duplicada —pérdida repentina de señal sin causa aparente—, los expertos recomiendan actuar con rapidez:
- Contactar inmediatamente con el operador móvil para informar del incidente y solicitar la desactivación de la SIM fraudulenta.
- Avisar al banco para congelar temporalmente cuentas y tarjetas.
- Revisar movimientos y registrar cualquier transacción no autorizada.
- Cambiar contraseñas de todos los servicios vinculados al número de teléfono.
- Eliminar el uso del SMS como método de autenticación en la medida de lo posible.
- Presentar denuncia ante las autoridades aportando toda la información disponible.
La rapidez de reacción es clave: en muchos casos, los delincuentes realizan las operaciones ilícitas en menos de una hora desde que obtienen el control del número.
Un problema que trasciende al usuario individual
El SIM Swapping no solo es un riesgo para personas físicas. Empresas de todos los tamaños, desde pymes hasta multinacionales, pueden ver comprometidas sus cuentas corporativas si un empleado sufre este ataque. Esto abre la puerta a robos de datos, suplantación de identidad en comunicaciones oficiales o incluso sabotajes.
Por eso, cada vez más compañías optan por sistemas de autenticación corporativos que no dependan del número de teléfono personal de sus empleados.
Preguntas frecuentes (FAQ)
1. ¿Qué es exactamente el SIM Swapping?
Es un fraude en el que un delincuente obtiene un duplicado de la tarjeta SIM de una víctima para recibir sus llamadas y mensajes, incluyendo los códigos de verificación enviados por bancos y otros servicios.
2. ¿Cómo puedo saber si me están atacando?
El síntoma más claro es la pérdida repentina de cobertura móvil sin causa aparente. Si no puedes llamar, recibir llamadas o conectarte a Internet con datos, y no hay incidencias en tu zona, es posible que tu SIM haya sido clonada.
3. ¿Sirve de algo usar doble factor por SMS contra este ataque?
No. Precisamente, uno de los objetivos del SIM Swapping es interceptar esos códigos de verificación por SMS. Es más seguro utilizar métodos basados en aplicaciones o dispositivos físicos.
4. ¿Qué hacen las operadoras para evitarlo?
Algunas han reforzado sus procedimientos de verificación y adoptado tecnologías como Open Gateway con APIs antifraude, que permiten detectar cambios recientes en la SIM y bloquear operaciones sospechosas.
