📲 SIM swapping: cuando el objetivo no es tu celular, sino tu número de teléfono
Perder el control de una cuenta digital no siempre comienza con un virus, una contraseña débil o un correo de phishing. Existe una modalidad de fraude especialmente peligrosa porque ataca una pieza que muchas personas todavía consideran confiable: el número de teléfono. Se conoce como SIM swapping, duplicación de SIM o secuestro de línea, y puede permitir que un delincuente reciba llamadas, mensajes y códigos de verificación destinados originalmente a la víctima.
El ataque no requiere necesariamente robar físicamente el celular. El objetivo es convencer a una compañía telefónica de transferir el número de la víctima a otra tarjeta SIM o eSIM controlada por el atacante. Para lograrlo, los delincuentes pueden utilizar información obtenida mediante filtraciones de datos, redes sociales, phishing, documentación robada o técnicas de ingeniería social.
Cuando la operación tiene éxito, el teléfono legítimo puede quedarse repentinamente sin señal. Mientras la víctima intenta entender qué ocurrió, el atacante comienza a recibir los mensajes SMS vinculados con ese número.
Ahí aparece el verdadero riesgo.
Muchas plataformas utilizan el teléfono como mecanismo para recuperar contraseñas o validar accesos. Bancos, redes sociales, correos electrónicos, billeteras virtuales y aplicaciones pueden enviar códigos temporales por SMS. Si un delincuente controla la línea, puede intentar utilizar esos códigos para tomar el control de otras cuentas.
El número telefónico funciona entonces como una especie de llave maestra indirecta.
El escenario puede agravarse cuando el atacante ya conoce el correo electrónico, nombre completo, documento o alguna contraseña reutilizada de la víctima. Con esa combinación de información, puede solicitar recuperaciones de cuenta y utilizar los códigos recibidos en la línea secuestrada para completar el proceso.
Una señal clásica del SIM swapping es que el celular pierde conectividad inesperadamente: deja de realizar llamadas, recibir mensajes o conectarse a la red móvil aunque exista cobertura. Naturalmente, esto también puede ocurrir por problemas técnicos, por lo que una pérdida de señal no significa automáticamente que exista un ataque. Sin embargo, cuando sucede sin explicación y coincide con notificaciones de cambios de contraseña o movimientos desconocidos, debe tratarse como una alerta.
El problema demuestra una limitación importante del SMS como segundo factor de autenticación. Utilizar dos factores sigue siendo muy superior a proteger una cuenta solamente con contraseña, pero no todos los factores ofrecen el mismo nivel de resistencia frente a ataques.
Las aplicaciones autenticadoras, las llaves físicas de seguridad y tecnologías como las passkeys reducen la dependencia del número telefónico. Un delincuente que consigue apropiarse de una línea móvil no obtiene automáticamente los códigos generados localmente por una aplicación autenticadora ni una llave criptográfica almacenada en un dispositivo protegido.
Para reducir el riesgo conviene adoptar varias medidas:
• Activar PIN o contraseña adicional con la compañía telefónica cuando el operador lo permita.
• Evitar publicar públicamente datos personales utilizados habitualmente para validar identidad.
• Preferir aplicaciones autenticadoras o llaves de seguridad antes que SMS en cuentas críticas.
• Utilizar contraseñas diferentes para correo, banca y redes sociales.
• Proteger especialmente la cuenta principal de correo electrónico.
• Desconfiar de llamadas o mensajes que soliciten códigos recibidos por SMS.
• Contactar inmediatamente al operador si la línea pierde servicio de manera inexplicable.
La cuenta de correo merece una atención especial. En muchos ecosistemas digitales funciona como centro de recuperación para decenas de servicios. Si un atacante obtiene simultáneamente acceso al número telefónico y al correo principal, el impacto puede multiplicarse rápidamente.
Las empresas también tienen motivos para prestar atención. Un número corporativo comprometido puede facilitar accesos a plataformas internas, cuentas comerciales, servicios de mensajería o perfiles institucionales. Por eso las organizaciones deberían evitar que los sistemas críticos dependan únicamente de verificaciones mediante SMS y establecer procedimientos especiales para cambios de número, recuperación de cuentas y accesos administrativos.
Otro punto importante es la velocidad de reacción. Si una persona sospecha que su número fue transferido sin autorización, debe comunicarse con su operadora desde otro medio, solicitar el bloqueo o recuperación de la línea y revisar inmediatamente las cuentas asociadas. Después corresponde cambiar credenciales, cerrar sesiones abiertas y verificar movimientos financieros o modificaciones de seguridad.
El SIM swapping deja una enseñanza que trasciende esta modalidad específica: una cuenta puede estar protegida con una contraseña excelente y seguir siendo vulnerable si su mecanismo de recuperación es débil.
La seguridad moderna ya no consiste únicamente en proteger la puerta principal. También exige analizar qué sucede cuando alguien presiona “Olvidé mi contraseña”, solicita recuperar una cuenta o intenta modificar un número telefónico.
En un ecosistema donde una misma identidad digital conecta bancos, correo, redes sociales y plataformas de trabajo, proteger el número de teléfono se convirtió en una parte fundamental de la seguridad personal y corporativa.
Revisé las noticias actualmente listadas en el portal para evitar repetir los temas ya publicados; SIM swapping no aparece entre los títulos relevados.
