¿Qué es el SIM swapping y cómo consiguen robar tu número de móvil?

El SIM swapping es un fraude en el que un delincuente consigue que el número de teléfono de otra persona quede asociado a una tarjeta SIM —o a una eSIM— que controla él. No necesita tener el móvil de la víctima en la mano ni copiar físicamente su tarjeta. El verdadero objetivo es secuestrar la línea telefónica y empezar a recibir llamadas y mensajes destinados al titular legítimo.

Ahí está el peligro. Muchos servicios siguen utilizando el número de móvil para recuperar contraseñas, verificar accesos o enviar códigos de un solo uso. Si el atacante ya ha obtenido otros datos personales o credenciales mediante phishing, filtraciones o ingeniería social, hacerse con la línea puede ser la pieza que le faltaba para entrar en cuentas de correo, redes sociales o servicios financieros. El acceso a SMS y llamadas convierte así un problema telefónico en algo bastante más serio.

Qué es exactamente el SIM swapping

La traducción literal sería algo parecido a «intercambio de SIM», aunque describe mal lo que sucede. Normalmente no hay dos personas cambiándose tarjetas. Hay una suplantación de identidad ante la operadora para conseguir que una línea legítima pase a una SIM controlada por el delincuente.

El mecanismo utilizado por las compañías telefónicas es perfectamente normal: alguien pierde el móvil, rompe la tarjeta, cambia de dispositivo o necesita trasladar su línea a una eSIM y solicita un reemplazo. El problema aparece cuando otra persona logra superar fraudulentamente los controles de identificación.

También puede intervenir una portabilidad no consentida, es decir, el traslado del número a otro operador sin autorización real de su propietario. No es un riesgo puramente teórico ni una reliquia de los primeros años de la banca móvil: las reclamaciones y actuaciones relacionadas con cambios de operador no solicitados han mantenido este tipo de fraude bajo vigilancia.

Conviene desmontar además una idea bastante extendida. SIM swapping no significa necesariamente que el móvil haya sido hackeado. El terminal puede estar perfectamente limpio, actualizado y protegido por huella dactilar. El golpe se produce en otro lugar: alrededor de la identidad del usuario y del procedimiento utilizado para trasladar su número.

Cómo consiguen secuestrar un número sin tocar el móvil

El ataque suele empezar bastante antes de que desaparezcan las barras de cobertura. El delincuente necesita reunir información suficiente sobre la víctima: nombre, teléfono, documento de identidad, dirección, fecha de nacimiento, correo electrónico, datos de facturación o respuestas que le permitan parecer convincente ante una operadora.

Parte de esa información puede proceder de filtraciones de datos. Otra llega mediante correos falsos, SMS fraudulentos, llamadas en las que alguien se hace pasar por un banco o una empresa conocida, perfiles públicos en redes sociales o páginas diseñadas para robar credenciales. No siempre hay una espectacular intrusión informática detrás. A veces el arma es bastante menos cinematográfica: saber qué preguntar y sonar convincente.

Primero roban la identidad, luego la línea

Con esos datos, el atacante intenta solicitar un duplicado o traslado de la línea alegando, por ejemplo, que ha perdido el teléfono o necesita sustituir su SIM. Si consigue superar los controles de la compañía, el número pasa al dispositivo del delincuente.

La tarjeta que permanece en el teléfono de la víctima puede entonces quedarse sin servicio. Mientras el propietario mira la pantalla pensando que la red está fallando, al otro lado alguien podría estar recibiendo sus SMS y llamadas.

Ese intervalo es especialmente delicado porque el atacante puede aprovechar información robada previamente para iniciar recuperaciones de contraseña o validar operaciones. En España se han investigado redes criminales que combinaban duplicados fraudulentos de SIM, páginas que imitaban a entidades financieras y credenciales obtenidas previamente.

El SMS es el botín, no el punto de partida

Controlar un número de móvil no entrega automáticamente una cuenta bancaria. Esta precisión importa. Para ejecutar determinados fraudes, los delincuentes suelen necesitar previamente contraseñas, datos bancarios o acceso a otros servicios.

El SIM swapping actúa entonces como una segunda llave. Si una plataforma permite restablecer una contraseña mediante SMS o envía por esa vía un código OTP —una contraseña válida durante muy poco tiempo—, el mensaje puede acabar en manos del atacante.

Por eso los sistemas de doble factor basados exclusivamente en SMS ofrecen menos resistencia frente a este ataque que métodos que no dependen del número telefónico. Las aplicaciones de autenticación, passkeys o claves de seguridad reducen esa dependencia y dificultan que el control de la línea se convierta por sí solo en una llave maestra.

La señal que no conviene ignorar: perder cobertura de golpe

Una pérdida repentina de servicio es la alarma clásica. El móvil deja de realizar llamadas, no recibe SMS y aparece «sin servicio» aunque otras personas cercanas sí tengan cobertura. Reiniciarlo no arregla nada. Puede ser una simple avería, claro, pero también es uno de los indicios característicos de un duplicado fraudulento de SIM.

Hay otras pistas menos evidentes: avisos sobre cambios que el usuario no ha solicitado, notificaciones de acceso a cuentas, correos comunicando modificaciones de contraseña o mensajes previos de la operadora relacionados con un duplicado o una portabilidad desconocida.

Un detalle importante: utilizar una eSIM no elimina por sí mismo el riesgo. La tarjeta física desaparece, pero el número sigue pudiendo trasladarse mediante los procesos de provisión de la operadora. El ataque no depende tanto del pequeño rectángulo de plástico como de conseguir que el proveedor acepte que quien solicita el cambio es realmente el cliente.

Si el teléfono pierde inesperadamente la línea, merece la pena contactar con la compañía desde otro dispositivo y comprobar si se ha realizado un duplicado, cambio de SIM o portabilidad. También conviene revisar las cuentas bancarias y los servicios importantes por si existen accesos u operaciones desconocidas.

Qué pueden hacer cuando controlan el número

El valor del teléfono moderno no está únicamente en llamar. Durante años hemos convertido el número móvil en una especie de documento de identidad digital improvisado. Sirve para registrarse, confirmar operaciones, recuperar cuentas y recibir avisos de seguridad. Cómodo, sí. También demasiado poderoso cuando concentra tantas funciones.

Con una línea secuestrada, un atacante puede intentar recibir códigos SMS de autenticación, iniciar procesos de recuperación de contraseñas o apoderarse de perfiles que utilicen el teléfono como mecanismo de verificación. El correo electrónico merece especial atención porque suele funcionar, a su vez, como puerta de recuperación para muchos otros servicios.

Las consecuencias tampoco se limitan al banco. Una cuenta de correo o una red social comprometida puede utilizarse posteriormente para suplantar a la víctima, pedir dinero a sus contactos, acceder a documentos privados o lanzar nuevas estafas con una apariencia mucho más creíble.

El fraude funciona como una cadena. Un dato aparentemente inocente abre una puerta; una contraseña reutilizada abre otra; el número de teléfono permite cruzar la siguiente. El problema está precisamente en esa suma de pequeñas vulnerabilidades que, aisladas, parecen poco importantes.

Cómo reducir el riesgo y qué hacer si ocurre

La defensa más sólida consiste en evitar que el número de teléfono sea la única pieza capaz de desbloquear cuentas importantes. Siempre que el servicio lo permita, resulta preferible utilizar aplicaciones de autenticación, claves de seguridad o passkeys en lugar de depender exclusivamente de códigos enviados por SMS.

También conviene proteger especialmente el correo electrónico principal, utilizar contraseñas distintas para servicios diferentes y activar los mecanismos adicionales de seguridad que ofrezca la operadora. Algunas compañías permiten establecer claves, PIN o comprobaciones adicionales para determinadas gestiones. Las opciones concretas dependen del proveedor.

Publicar alegremente en internet el teléfono, dirección, fecha de nacimiento y media biografía tampoco ayuda. Ninguno de esos datos tiene por qué ser secreto de Estado, pero juntos construyen un retrato sorprendentemente útil para una suplantación mediante ingeniería social.

Hay otro hábito bastante mundano y eficaz: desconfiar de mensajes que fuerzan una reacción inmediata. El clásico aviso que amenaza con bloquear una cuenta en cinco minutos no pretende informar; pretende que el usuario deje de pensar. La urgencia artificial sigue siendo una de las herramientas predilectas del fraude digital.

Cuando existen indicios de SIM swapping, la prioridad es recuperar el control de la línea y cerrar las posibles vías de acceso. Hay que contactar cuanto antes con la operadora para bloquear el duplicado o portabilidad fraudulenta y, si existen cuentas financieras vinculadas, comunicar también la incidencia al banco sin demora. Después toca revisar accesos recientes, cambiar las credenciales comprometidas, cerrar sesiones abiertas y comprobar movimientos o modificaciones que el titular no reconozca.

Si se han producido cargos, transferencias, accesos o suplantaciones, conservar mensajes, correos, capturas y comunicaciones con la operadora puede resultar útil para documentar lo sucedido y presentar la correspondiente denuncia. Borrar nerviosamente todo rastro de la pantalla da sensación de limpieza, pero precisamente esas huellas digitales pueden acabar siendo importantes.

Un número de móvil no debería ser una llave maestra

El SIM swapping explota una paradoja de la vida digital: hemos convertido algo creado para recibir llamadas en una pieza central de nuestra identidad. Y cuanto más servicios dependen del mismo número, mayor es el daño potencial cuando alguien consigue apropiárselo.

No hace falta vivir obsesionado con cada raya de cobertura. Sí entender que perder inesperadamente la línea mientras comienzan a llegar avisos extraños merece algo más que encogerse de hombros y culpar a la antena del barrio.

La mejor barrera no es esconder el teléfono en un cajón, sino reducir la dependencia del SMS, proteger bien las cuentas esenciales y reaccionar con rapidez cuando una SIM deja de comportarse como debería. Porque en este fraude no roban realmente una tarjeta. Lo que intentan robar es aquello que el número permite demostrar sobre nosotros.