¿Cómo frena MásOrange el fraude de SIM duplicada y bloquea los SMS?

MásOrange dispone de un mecanismo capaz de detectar patrones compatibles con fraude después de un duplicado de tarjeta SIM y cortar la recepción de SMS de la línea. En el caso que acaba de conocerse a través de una resolución de la Agencia Española de Protección de Datos (AEPD), el sistema reaccionó apenas 24 minutos después de que un tercero consiguiera un duplicado fraudulento. El objetivo era evidente: impedir que quien se había apropiado de la línea pudiera recibir códigos enviados por SMS, una de las piezas más valiosas en un ataque de SIM swapping.

La defensa técnica funcionó. La primera barrera, no tanto. El duplicado había sido entregado presencialmente después de que un empleado aceptara un documento de identidad que posteriormente resultó contener varios datos que no coincidían con los del verdadero cliente. Y eso explica la aparente paradoja del caso: el fraude fue detectado y frenado, pero la AEPD ha impuesto una multa de 200.000 euros a Xfera Móviles, sociedad vinculada a Yoigo dentro del grupo MasOrange, por vulnerar el artículo 6.1 del Reglamento General de Protección de Datos. La sanción no castiga que el sistema automático fallara; de hecho, funcionó. Castiga que el duplicado llegara a emitirse para una persona que no era el titular.

El sistema detectó el fraude 24 minutos después del duplicado

Los hechos se remontan al 24 de julio de 2023. A las 10:35, según recoge el expediente sancionador, un tercero no autorizado solicitó un duplicado de la tarjeta SIM correspondiente a la línea de un cliente mediante un distribuidor de Xfera en la provincia de Madrid. Presentó un DNI supuestamente perteneciente al titular y fue identificado en el establecimiento como si realmente fuera él. Tras una comprobación visual, el documento se escaneó y se emitió la nueva SIM.

La situación cambió muy deprisa. La operadora explicó durante el procedimiento que su red detectó tanto el reciente duplicado como patrones de utilización compatibles con un posible fraude. A las 10:58:26 se aplicó un bloqueo que impedía recibir SMS en aquella línea. La SIM fraudulenta había comenzado a estar activa alrededor de las 10:34; dicho de otra manera, la reacción llegó aproximadamente 24 minutos después.

No fue un bloqueo genérico del móvil ni una desconexión completa de la línea. La medida concreta consistió en impedir la recepción de SMS. Parece un detalle pequeño, casi administrativo. No lo es. En muchos fraudes financieros, el delincuente necesita precisamente esos mensajes para recibir contraseñas de un solo uso, códigos de recuperación o verificaciones asociadas a servicios digitales.

La tecnología, en este caso, levantó la persiana roja cuando el comportamiento empezó a oler mal. Y lo hizo rápido.

El DNI parecía válido, pero varios datos no coincidían

El problema estaba unos metros antes, en el mostrador. La AEPD comparó posteriormente el DNI empleado para solicitar el duplicado con los datos aportados por la víctima en su denuncia policial. Coincidían el número del documento, el nombre, los apellidos y la nacionalidad. Sin embargo, había discrepancias en otros campos: lugar y fecha de nacimiento, domicilio completo y nombre de los padres.

Xfera reconoció durante sus alegaciones que el agente no había cotejado todos los datos personales del documento y calificó lo ocurrido como un error humano puntual, contrario a su propio protocolo. La empresa sostuvo también que las falsificaciones de documentos de identidad se han vuelto considerablemente más sofisticadas y mencionó nuevas tecnologías, inteligencia artificial y técnicas como el morphing, utilizadas para fabricar documentos capaces de dificultar incluso una inspección visual.

Conviene separar ambas cosas. La resolución recoge esa argumentación empresarial sobre la creciente sofisticación de las falsificaciones, pero no establece que el DNI utilizado en este caso concreto hubiera sido creado mediante inteligencia artificial. Una cosa es describir el paisaje tecnológico del fraude y otra adjudicar a la IA cada documento falso que aparece por la puerta.

La AEPD se fija en algo bastante menos futurista: había datos personales que no coincidían y no fueron comprobados correctamente. Toda la inteligencia artificial del mundo impresiona mucho; una fecha de nacimiento distinta, en cambio, sigue siendo una fecha de nacimiento distinta.

Por qué hay una multa aunque el sistema antifraude funcionara

Aquí está el corazón de la resolución. La sanción de 200.000 euros no se fundamenta en que el delincuente lograra vaciar una cuenta bancaria ni en que Xfera careciera por completo de mecanismos antifraude. La Agencia considera que existió un tratamiento ilícito de datos personales porque el duplicado fue solicitado por un tercero y la compañía no verificó adecuadamente la identidad de quien realizaba la operación.

El artículo 6.1 del RGPD exige que cualquier tratamiento de datos personales tenga una base jurídica válida. Para la AEPD, cuando la identidad del solicitante no se comprueba con la diligencia necesaria y se acaba tramitando el duplicado para un impostor, esa legitimación queda comprometida. El procedimiento de identificación existía, pero no se siguió correctamente.

Xfera defendió una interpretación distinta. Alegó que había desplegado medidas técnicas y organizativas, que el documento presentado tenía apariencia legítima y que un error puntual de un empleado no debería convertir automáticamente a la compañía en responsable. También destacó que el mecanismo automático posterior detectó el comportamiento sospechoso y redujo el riesgo de que el ataque prosperase.

La Agencia no aceptó esa tesis. Al fijar la sanción recordó además la existencia de un expediente anterior relacionado también con un duplicado fraudulento de SIM, resuelto en 2021 con otra multa de 200.000 euros. La resolución obliga asimismo a acreditar la adopción de medidas destinadas a evitar incidentes similares una vez la decisión sea firme y ejecutiva.

Bloquear los SMS ataca justo donde duele al SIM swapping

El SIM swapping no necesita una escena de película, una sala oscura ni veinte pantallas llenas de código verde. Su lógica es bastante pedestre. El delincuente reúne suficientes datos personales para hacerse pasar por otra persona, obtiene un duplicado de su tarjeta y consigue que el número de teléfono de la víctima funcione en una SIM bajo su control.

A partir de ahí, el teléfono deja de ser solamente un teléfono. Se transforma en una llave de identidad digital. Los SMS pueden contener códigos OTP —contraseñas válidas para una única operación—, verificaciones de acceso, mecanismos para recuperar cuentas y autorizaciones utilizadas por determinados servicios financieros.

Por eso recibir los mensajes del titular puede tener un enorme valor para el atacante. Una vez tomado el control de la SIM, puede intentar superar determinados sistemas de autenticación en dos pasos, restablecer credenciales o confirmar operaciones que requieren un código enviado al número de teléfono asociado a la víctima.

El mecanismo observado en la red de Xfera resulta especialmente relevante precisamente por eso. No necesita saber con certeza qué banco pretende atacar el delincuente ni qué servicio quiere recuperar. Si encuentra suficientes señales sospechosas después de un duplicado, cerrar temporalmente la entrada de SMS corta una de las rutas más útiles del ataque.

Los primeros minutos después del duplicado son decisivos

El caso muestra también una evolución interesante en los sistemas antifraude de las operadoras. El control ya no termina necesariamente cuando el empleado entrega una nueva tarjeta. La propia actividad posterior de esa SIM puede convertirse en una segunda capa de vigilancia.

Un duplicado recién activado que empieza a mostrar un comportamiento anómalo puede levantar alertas automáticas. Ahí entran herramientas capaces de correlacionar el momento de la sustitución de la tarjeta con determinados patrones de uso y, cuando el riesgo supera ciertos umbrales, limitar temporalmente algunos servicios.

Es una defensa reactiva, claro. El impostor ya ha conseguido la SIM. Pero entre tener el duplicado y poder aprovecharlo hay una distancia importante, y bloquear los SMS durante esa ventana puede impedir que el fraude avance hacia cuentas bancarias, correos electrónicos o perfiles digitales.

Una segunda barrera que no sustituye a la primera

Hay dos historias superpuestas en este expediente. Una habla bien de la capacidad técnica para detectar anomalías: una SIM recién duplicada empezó a comportarse de una forma que el sistema consideró compatible con fraude y la recepción de SMS quedó bloqueada en cuestión de minutos. La otra historia es mucho menos sofisticada: alguien llegó a una tienda con un documento falso, pasó la comprobación y obtuvo la tarjeta.

No son hechos contradictorios. Son dos capas distintas de seguridad. El análisis automatizado actúa como red de contención cuando el duplicado ya existe; la verificación de identidad debería impedir que ese duplicado fraudulento nazca. La AEPD considera que la segunda capa no compensa jurídicamente el fallo de la primera. De ahí la multa, pese a que el mecanismo posterior redujo las posibilidades de que el ataque siguiera avanzando.

El episodio deja además una fotografía bastante precisa de cómo está cambiando la lucha contra el fraude telefónico. Durante años, la defensa frente a un duplicado de SIM se concentró en una pregunta elemental: quién está pidiendo la tarjeta. Ahora aparece otro frente, qué hace esa SIM durante sus primeros minutos de vida. Ahí entran los sistemas capaces de buscar anomalías y reaccionar antes de que llegue el siguiente código por SMS.

Cuando una segunda cerradura evita que el fraude siga avanzando

No existe una solución mágica. El bloqueo preventivo de mensajes tampoco convierte al SMS en un mecanismo infalible ni elimina la obligación de identificar correctamente a quien solicita un duplicado. El punto incómodo de este caso es precisamente ese: el sistema antifraude posterior funcionó porque el control anterior había fallado.

Aquellos 24 minutos, sin embargo, muestran algo relevante. Cuando la primera puerta queda abierta, todavía puede existir una segunda cerradura. En el SIM swapping, donde unos pocos caracteres recibidos en una pantalla pueden valer mucho más que el plástico de la tarjeta, bloquearlos a tiempo cambia por completo el terreno de juego.