Quedarse sin cobertura durante unos minutos suele tener una explicación sencilla. Una avería, un problema con la tarjeta SIM o una incidencia puntual de la operadora. Pero si al mismo tiempo aparecen avisos de cambios de contraseña, accesos desconocidos o movimientos bancarios que nadie reconoce, la situación cambia. Puede tratarse de SIM swapping, un fraude mediante el que un delincuente consigue controlar el número de teléfono de otra persona solicitando un duplicado de su tarjeta SIM.
Las claves del SIM swapping en 30 segundos
- El fraude consiste en conseguir que la operadora active el número de la víctima en otra tarjeta SIM.
- El móvil original puede quedarse sin llamadas, SMS y cobertura aunque no tenga ningún virus.
- El delincuente puede aprovechar el número para recibir códigos de verificación o intentar recuperar otras cuentas.
- Si existen indicios, hay que contactar rápidamente con la operadora y, si hay movimientos sospechosos, también con el banco.
- Conservar avisos, extractos y horarios ayuda a reconstruir posteriormente lo ocurrido.
El problema tiene una explicación bastante cotidiana: el número de teléfono ha terminado formando parte de la identidad digital. Bancos, correos electrónicos, redes sociales y numerosos servicios lo utilizan para verificar al usuario o ayudarle a recuperar una cuenta.
Por eso apropiarse del número puede tener consecuencias mucho mayores que simplemente recibir las llamadas de otra persona.
La Agencia Española de Protección de Datos (AEPD) lleva años advirtiendo sobre este tipo de fraude. Su descripción resulta bastante gráfica: el delincuente obtiene primero información personal de la víctima y después suplanta su identidad ante la compañía telefónica para solicitar un duplicado de la SIM. Una vez activado, la tarjeta legítima queda inutilizada y el tercero empieza a recibir los mensajes dirigidos al número.
El teléfono puede estar perfectamente limpio
Uno de los aspectos que más confusión genera es que el móvil de la víctima no tiene por qué haber sido hackeado.
Puede seguir en su bolsillo y no contener ningún programa malicioso.
El cambio se ha producido fuera del dispositivo: la operadora ha asociado el número a una tarjeta SIM diferente.
De ahí una de las señales características. El teléfono pierde repentinamente la conexión a la red móvil y deja de recibir llamadas y SMS, aunque continúe funcionando mediante wifi.
El problema comienza cuando esa pérdida de servicio coincide con otras cosas extrañas.
Un correo avisando de que se ha solicitado una nueva contraseña. Una sesión que se cierra inesperadamente. Un aviso de acceso desde otro dispositivo. Una transferencia bancaria desconocida.
Por separado, cualquiera de esas señales puede tener otra explicación. Juntas justifican una reacción inmediata.
El Instituto Nacional de Ciberseguridad (INCIBE) también incluye la pérdida inesperada de cobertura entre las señales que pueden alertar de un posible duplicado fraudulento y recomienda contactar con la operadora para comprobar qué está sucediendo.
Cómo puede acabar un duplicado de SIM afectando al banco
Conseguir una tarjeta SIM duplicada no proporciona automáticamente la contraseña de una cuenta bancaria.
Ese matiz es importante.
En muchos ataques existe un trabajo previo. Los delincuentes pueden haber conseguido datos personales o credenciales mediante phishing, filtraciones de información, ingeniería social u otros métodos. El duplicado de la SIM aparece entonces como una pieza adicional del fraude.
La Policía Nacional ha advertido de esta combinación: primero pueden obtenerse las credenciales bancarias y posteriormente solicitar un duplicado de la tarjeta para recibir los mensajes de seguridad necesarios para realizar determinadas operaciones.
El número se convierte así en una pieza del efecto dominó.
Durante años el SMS se ha utilizado como mecanismo de verificación porque añade una barrera frente a quien únicamente conoce una contraseña. El problema es que la seguridad de ese segundo factor depende también de que nadie consiga apropiarse fraudulentamente del número.
El correo electrónico merece especial atención.
Quien consigue recuperar el correo principal de una persona puede utilizarlo para intentar restablecer contraseñas de otros servicios. Por eso una incidencia que comienza en la línea telefónica puede extenderse rápidamente a diferentes cuentas.
Qué hacer durante los primeros minutos
Ante una pérdida inesperada de cobertura acompañada de actividad sospechosa, esperar varias horas para comprobar si el teléfono vuelve a funcionar puede ser una mala decisión.
La primera gestión debe hacerse con la compañía telefónica.
Desde otro teléfono hay que preguntar si se ha realizado un duplicado, una modificación de la SIM o alguna operación sobre la línea que el titular no reconoce. Si existe, debe solicitarse su bloqueo y la recuperación del número.
También es recomendable pedir que la incidencia quede registrada, incluida la hora.
Si existen operaciones bancarias desconocidas, debe contactarse inmediatamente con el banco para bloquear los medios necesarios y comunicar las operaciones que se consideren no autorizadas.
Después hay que recuperar y proteger el correo electrónico y las demás cuentas afectadas. Conviene hacerlo desde un dispositivo de confianza y revisar contraseñas, sesiones abiertas, dispositivos autorizados y mecanismos de recuperación.
Hay otro paso menos tecnológico pero igualmente importante: guardar las pruebas.
Correos electrónicos, avisos de acceso, comunicaciones con la operadora, capturas de pantalla y extractos bancarios pueden ayudar posteriormente a determinar qué ocurrió y en qué orden. La guía técnica aportada por Perit Informàtic señala precisamente la utilidad de reconstruir una línea temporal entre el momento en que desapareció la línea y las operaciones posteriores.
Si se ha producido un fraude también debe presentarse denuncia ante las Fuerzas y Cuerpos de Seguridad.
¿Qué ocurre con el dinero si hay transferencias no autorizadas?
Una de las preguntas inevitables es quién asume las pérdidas cuando el SIM swapping termina con dinero saliendo de una cuenta.
La legislación española establece reglas específicas para las operaciones de pago no autorizadas.
El Real Decreto-ley 19/2018 señala que, cuando un usuario niega haber autorizado una operación, corresponde al proveedor de servicios de pago demostrar que esta fue autenticada, registrada correctamente y contabilizada. La propia norma establece que el mero registro de utilización del instrumento de pago no demuestra necesariamente que el cliente autorizara la operación o actuara con fraude o negligencia grave.
Como regla general, ante una operación no autorizada el proveedor debe devolver su importe inmediatamente y, como máximo, al final del siguiente día hábil después de detectarla o recibir la notificación, aunque existen excepciones y cada caso debe analizarse individualmente.
La norma también contempla situaciones en las que el usuario puede soportar pérdidas, especialmente cuando exista fraude o incumplimiento deliberado o por negligencia grave de sus obligaciones.
Por eso no resulta correcto afirmar que el banco tendrá que devolver siempre y automáticamente cualquier cantidad reclamada.
Lo importante es comunicar rápidamente las operaciones y documentar cómo se produjo el fraude.
La responsabilidad no termina necesariamente en el banco
El SIM swapping introduce además a otro participante: la compañía telefónica.
Para que el fraude funcione alguien tiene que conseguir que el número termine asociado a una tarjeta distinta.
La AEPD ha estudiado específicamente los riesgos de los duplicados fraudulentos de SIM y las obligaciones relacionadas con la identificación de los clientes. Si una compañía entrega un duplicado a una persona que no es el titular, puede abrirse también una cuestión relacionada con la protección de datos.
Eso no significa que la operadora sea automáticamente responsable en cualquier caso. Habrá que determinar cómo se solicitó la tarjeta, qué verificaciones se realizaron y qué información se utilizó para superar los controles.
Aquí vuelven a ser importantes las horas.
Saber cuándo dejó de funcionar la tarjeta original, cuándo se realizó el duplicado y cuándo comenzaron los accesos o movimientos sospechosos permite reconstruir una secuencia mucho más útil que una simple afirmación de que «alguien entró en la cuenta».
Un análisis técnico tampoco puede resolverlo todo. Como recuerda la documentación aportada, una dirección IP identifica una conexión, no necesariamente a una persona, y el análisis del teléfono puede ayudar a demostrar los efectos del duplicado sin identificar por sí mismo a quien lo solicitó.
Cómo reducir el riesgo de SIM swapping
La medida más sencilla consiste en revisar cuánto depende todavía la vida digital del SMS.
Siempre que una plataforma permita métodos alternativos, pueden utilizarse aplicaciones de autenticación, passkeys o llaves físicas de seguridad. El objetivo es que controlar el número telefónico no proporcione automáticamente acceso al segundo factor de otras cuentas.
También conviene proteger especialmente el correo electrónico principal, utilizar contraseñas diferentes, revisar los métodos de recuperación y activar avisos de operaciones bancarias.
Algunas operadoras ofrecen además mecanismos adicionales de seguridad para determinadas gestiones sobre la línea. Merece la pena consultar qué opciones tiene cada compañía para proteger duplicados, cambios de SIM o portabilidades.
Y hay una regla especialmente sencilla: una pérdida de cobertura aislada no debería provocar alarma, pero una pérdida de cobertura acompañada de cambios que nadie ha solicitado merece una comprobación inmediata.
La mayoría de las veces será una avería.
El problema es que, cuando no lo sea, las primeras señales pueden parecer exactamente eso.
Preguntas frecuentes
¿Qué es el SIM swapping?
Es un fraude mediante el que un tercero consigue que el número telefónico de la víctima sea activado en otra tarjeta SIM. Esto puede permitirle recibir llamadas y SMS dirigidos al titular.
¿Cómo saber si alguien ha duplicado una tarjeta SIM?
Una pérdida repentina de cobertura puede ser una señal, especialmente si coincide con avisos de cambios de contraseña, accesos desconocidos o movimientos bancarios. La operadora puede comprobar si se ha realizado alguna gestión sobre la línea.
¿Qué hay que hacer primero si se sospecha de un duplicado?
Contactar desde otro teléfono con la operadora y comprobar si existe una SIM nueva o una modificación no autorizada. Si hay movimientos financieros sospechosos, también debe avisarse inmediatamente al banco.
¿El banco devuelve el dinero perdido por SIM swapping?
La normativa establece protección para las operaciones de pago no autorizadas y atribuye al proveedor determinadas obligaciones de prueba y reembolso. Sin embargo, existen excepciones relacionadas, entre otros supuestos, con fraude o negligencia grave, por lo que cada reclamación debe analizarse según sus circunstancias.
