El SIM swapping es una forma de toma de cuentas en la que los delincuentes logran transferir el número de teléfono de la víctima a una SIM o eSIM que controlan y reciben así sus llamadas, SMS y códigos de un solo uso.
Cómo funciona el SIM swapping
El atacante reúne primero datos personales de la víctima –nombre, fecha de nacimiento, dirección– de filtraciones, redes sociales o phishing. Después logra que la operadora mueva el número:
- haciéndose pasar por el cliente, por teléfono o en tienda, alegando un móvil perdido o roto;
- sobornando o reclutando a empleados de la operadora o sus distribuidores;
- abusando de la portabilidad a otra operadora (fraude de portabilidad).
Tras el cambio, el móvil de la víctima se queda sin servicio y el atacante restablece por SMS las contraseñas del correo, la banca y los exchanges de criptomonedas. A diferencia del ataque SS7, que abusa de la señalización telefónica, el SIM swapping explota personas y procesos.
Por qué importa el SIM swapping
Anula la autenticación de dos factores por SMS: un número de teléfono se convierte en la llave de toda una vida digital. El inversor Michael Terpin demandó a AT&T tras perder unos 24 millones de dólares en criptomonedas en 2018. Así se secuestró en 2019 la cuenta de Twitter de su director ejecutivo, Jack Dorsey, y en enero de 2024 la cuenta en X de la SEC estadounidense. En 2023 la FCC obligó a las operadoras de EE. UU. a autenticar al cliente antes de cambios de SIM y portabilidades. Es además una puerta al robo de identidad.
Cómo protegerse del SIM swapping
- Configurar con la operadora un PIN o un bloqueo de portabilidad, si lo ofrece.
- Cambiar las contraseñas de un solo uso por SMS por apps de autenticación o llaves físicas.
- No usar el número de teléfono para recuperar cuentas y limitar los datos personales públicos.
- Si el móvil pierde el servicio de repente, avisar a la operadora desde otro teléfono.
