Son las 14:12 y vas en el metro. Tu teléfono muestra «Sin servicio». No es la primera vez, esa línea siempre falla. Sales a la superficie: sigue igual. Reinicias el aparato, extraes la tarjeta SIM, soplas sobre ella como si fuera un cartucho de consola. Nada.
Mientras tanto, a treinta kilómetros de allí, alguien está recibiendo tus SMS. Incluido el de tu banco con el código de validación de una transferencia de 4.800 euros.
El SIM swapping —literalmente, «intercambio de tarjeta SIM»— es uno de los pocos ataques móviles en los que el delincuente nunca toca tu teléfono. No instala ningún programa espía, no te envía ningún enlace trampa en el momento del ataque, no adivina tu código de desbloqueo. Hace algo mucho más sencillo: le pide educadamente a tu operadora que traslade tu número a una tarjeta que él posee. Y lo consigue.
Tu número se ha convertido en una llave, no en una dirección
Durante veinte años, un número de teléfono sirvió para una sola cosa: que te pudieran localizar. Hoy se ha convertido en el llavero maestro de tu vida digital.
Piensa en todo lo que pasa por SMS o por llamada a través de tu línea:
- los códigos de validación de transferencias de tu banco;
- los códigos de recuperación de cuentas de Google, Apple, Microsoft, Facebook, Instagram;
- las confirmaciones de acceso a tu sede electrónica tributaria, a tu seguro, a tu mutua;
- los enlaces de restablecimiento de contraseña de la mitad de los servicios que utilizas.
Un atacante que controla tu número no roba un contacto: roba el procedimiento de emergencia de todas tus cuentas. Por eso el SIM swapping sigue siendo, pese a su antigüedad, uno de los ataques más rentables del panorama del fraude móvil. Organismos como Cybermalveillance.gouv.fr y la ANSSI sitúan el secuestro de línea móvil entre los vectores de suplantación de identidad más devastadores para los particulares, precisamente porque da acceso a todo lo demás en una sola operación.
Cómo consigue un estafador tu línea en tres pasos
Paso 1: la recopilación previa
El SIM swapping nunca empieza por la operadora. Empieza por ti, o más bien por tus datos públicos y filtrados. El atacante monta un expediente: nombre, apellidos, fecha de nacimiento, dirección postal, número de teléfono y, a veces, los cuatro últimos dígitos de una tarjeta bancaria o un número de cliente.
Esta información procede de tres fuentes principales:
- las filtraciones masivas de datos en operadoras, empresas de transporte o tiendas online: ha habido varias oleadas sonadas desde 2024;
- las redes sociales, donde publicamos sin pensarlo una fecha de nacimiento, una ciudad, el apellido de soltera de la madre, el nombre de una mascota;
- el smishing preparatorio, un SMS falso de la operadora o de una empresa de mensajería cuyo único fin es rellenar las casillas que faltan en el expediente.
Este trabajo previo es invisible. Es lo que hace que el SIM swapping resulte tan desconcertante: la víctima no recuerda ningún clic desafortunado, porque no lo hubo en el momento decisivo.
Paso 2: la solicitud de duplicado
Con ese expediente en la mano, el atacante contacta con la operadora: en tienda, por teléfono o a través del área de cliente si la contraseña también se ha filtrado. El pretexto es banal, universal, nunca sospechoso:
«Buenos días, ayer por la noche me robaron el teléfono en el tren de cercanías. Ya he comprado otro aparato, necesitaría una SIM nueva con mi número.»
No hay nada anormal en esa petición. Miles de clientes honestos la formulan cada día. El agente hace preguntas de verificación… que el atacante ya se ha preparado. Se emite el duplicado, o se envía la eSIM por correo electrónico en forma de código QR para escanear.
Paso 3: el cambio
En el instante en que se activa la nueva tarjeta, la tuya queda desactivada. Es una regla técnica inevitable: un número solo puede estar vinculado a una única SIM activa. Tu teléfono pierde la cobertura. Las llamadas y los SMS dirigidos a tu línea llegan a partir de ese momento al atacante.
La ventana de explotación es corta —a menudo menos de una hora—, pero le basta de sobra. Restablecimiento de la contraseña del correo, luego la del banco, y después validación de las transferencias con los códigos que ahora aparecen en su pantalla.
La eSIM ha cambiado la geografía del ataque
Hasta hace poco, el SIM swapping tenía una limitación física: había que recoger una tarjeta de plástico, es decir, desplazarse a una tienda o esperar una carta. Esa fricción protegía un poco.
La eSIM ha eliminado esa fricción. Una tarjeta SIM desmaterializada se activa a distancia, en unos minutos, con un simple código QR recibido por correo electrónico. Para el usuario legítimo es un avance real: sin esperas, sin recortar tarjetas, con cambio de dispositivo instantáneo. Para el atacante, es un atajo.
Las operadoras han reaccionado endureciendo los procedimientos: envío de un código de confirmación a la línea existente, plazo de carencia de 24 a 72 horas antes de la activación, notificación sistemática por correo electrónico. Esas salvaguardas funcionan, siempre que leas las notificaciones. Un correo del tipo «Hemos recibido tu solicitud de eSIM» que tú no has pedido es la señal de alarma más importante de todo este artículo.
Si recibes un SMS o un correo confirmando una solicitud de duplicado de SIM que tú no has iniciado: llama de inmediato a tu operadora desde otro teléfono. Quizá lleves unas horas de ventaja al atacante.
Las señales que deben alertarte
El SIM swapping es ruidoso, al contrario que un programa espía. Produce síntomas muy reconocibles, siempre que no los atribuyas a un simple fallo técnico.
| Señal observada | Interpretación ingenua | Interpretación correcta |
|---|---|---|
| Pérdida total de cobertura sin motivo | «Avería de la operadora» | Línea posiblemente desactivada |
| SMS de un servicio que no has solicitado | «Spam» | Intento de restablecimiento en curso |
| Correo «tu eSIM está lista» | «Error de la operadora» | Solicitud fraudulenta en curso |
| Allegados que dicen que no logran localizarte | «Problema de red» | Tus llamadas están desviadas |
| Desconexión repentina de tus cuentas | «Fallo de la aplicación» | Toma de control en curso |
El reflejo salvador cabe en una frase: una pérdida de cobertura aislada, mientras las personas a tu alrededor tienen señal con normalidad, nunca es algo banal. Pregunta a alguien en el tren, mira el teléfono de un compañero. Si todo el mundo tiene cobertura menos tú, no es la red: es tu línea.
Blindar tu línea antes del ataque: las seis medidas útiles
1. Activa el código PIN de la tarjeta SIM
Es la medida más elemental y la más descuidada. Muchos usuarios desactivan el PIN para ganar tres segundos al encender el móvil. Ese código no protege del SIM swapping en sí, pero impide el uso inmediato de una SIM física robada junto con el teléfono, un escenario frecuente. Y sobre todo, cambia el código por defecto (0000, 1234) que te da la operadora.
2. Saca el SMS de tu autenticación bancaria y de tus cuentas críticas
Es la defensa estructural. Mientras el SMS siga siendo tu segundo factor, tu seguridad depende de un agente telefónico al que no conoces. Opta preferentemente por:
- la aplicación de tu banco con validación por huella dactilar o reconocimiento facial (los sistemas tipo «Secur'Pass» o su equivalente según la entidad);
- una aplicación de autenticación que genere códigos sin conexión para tus cuentas de Google, Microsoft o tus redes sociales;
- una llave de seguridad física USB-C o NFC para las cuentas realmente sensibles: es el único factor que un atacante a distancia no puede interceptar, por mucho control que tenga sobre tu número.
3. Pide un bloqueo de línea a tu operadora
Las principales operadoras ofrecen todas, con distintos nombres, mecanismos de protección: contraseña adicional en la cuenta, pregunta secreta, bloqueo de las solicitudes de duplicado a distancia, obligación de acudir a una tienda con un documento de identidad. Estas opciones casi nunca están activadas por defecto. Basta con una llamada de diez minutos al servicio de atención al cliente para configurarlas: es el mejor retorno por tiempo invertido de todo este artículo.
4. Limpia lo que tu número cuenta de ti
Cada formulario de fidelización, cada concurso, cada suscripción a una newsletter aumenta la superficie de ataque. Comprueba con regularidad si tu dirección y tu número aparecen en filtraciones conocidas mediante el servicio Have I Been Pwned, y ejerce tu derecho de supresión ante los sitios implicados: las autoridades de protección de datos detallan el procedimiento y los recursos en caso de negativa.
Siguiendo el mismo principio, reserva tu número principal para los usos serios. Para una tienda online que visitas una sola vez, un anuncio clasificado o un registro puntual, una tarjeta SIM de prepago sin permanencia dedicada a los formularios evita difundir la línea vinculada a tu banco.
5. Protege el eslabón contiguo: tu dirección de correo electrónico
El SIM swapping solo funciona plenamente combinado con el acceso a tu correo. Una dirección protegida con una contraseña única, larga y guardada en un gestor de contraseñas cierra la mitad del escenario de ataque. Si prefieres el papel, un cuaderno de contraseñas seguro guardado en casa sigue siendo infinitamente más seguro que un archivo «claves.txt» en el escritorio.
6. Prepara un plan B material
Si pierdes la línea, tendrás que llamar a tu operadora y a tu banco sin usar tu número. Muchos hogares ya no tienen ninguna alternativa. Guardar un teléfono móvil básico de repuesto, cargado y con una SIM de prepago de otra operadora, convierte una situación de pánico en un simple contratiempo. Es también lo que te permitirá llamar a emergencias si tu dispositivo principal queda fuera de servicio.
Qué hacer en la hora siguiente
Si detectas una pérdida de línea sospechosa, el orden de las operaciones importa más que la velocidad.
- Llama a tu operadora desde otro teléfono. Comunica la sospecha de un duplicado fraudulento y pide la suspensión inmediata de la línea. Es la acción que corta el acceso del atacante.
- Llama a tu banco, al número de bloqueo que figura en el reverso de tu tarjeta, nunca a un número encontrado en un SMS. Pide que bloqueen las transferencias y comunica que tu segundo factor está comprometido.
- Cambia la contraseña de tu correo principal desde un ordenador, y revisa las reglas de reenvío automático: los atacantes suelen crearlas para seguir interceptando mensajes después.
- Cierra todas las sesiones activas en tus cuentas de Google, Apple, Microsoft y redes sociales.
- Presenta una denuncia en la policía o la guardia civil. En el caso de un fraude bancario, la denuncia condiciona la aplicación de la normativa sobre servicios de pago (en Francia, el artículo L133-18 del Código monetario y financiero), que prevé el reembolso de las operaciones no autorizadas.
- Denuncia el SMS o el mensaje fraudulento ante el servicio oficial correspondiente (el 33700 en Francia) si existe alguno en la secuencia, y notifica el incidente en Cybermalveillance.gouv.fr para recibir asesoramiento.
El reembolso no es automático, pero sí posible
Es el punto que más preocupa a las víctimas. La regla general es favorable al cliente: una operación de pago no autorizada debe ser reembolsada por el banco, salvo negligencia grave por parte del titular.
Todo se juega, pues, en esa noción de «negligencia grave». Los tribunales han dictado varias resoluciones importantes que recuerdan que el mero hecho de haber comunicado un código recibido por SMS no basta, por sí solo, para caracterizar una negligencia grave cuando la víctima ha sido engañada por un montaje creíble. En el caso de un SIM swapping, el argumento es aún más sólido: tú no comunicaste absolutamente nada, el atacante obtuvo los códigos directamente.
Conserva por tanto todo: capturas de pantalla de la pérdida de cobertura, correos de la operadora, historial de llamadas al servicio de atención al cliente, resguardo de la denuncia. En caso de negativa, acude al defensor del cliente bancario y, si es necesario, al supervisor bancario.
Lo que esta estafa nos enseña
El SIM swapping dice bien poco sobre tu prudencia individual. Dice sobre todo que hemos convertido una infraestructura concebida para la conversación —la red telefónica— en el cimiento de identidad de toda nuestra vida digital.
Mientras ese cimiento pueda gestionarlo un agente al otro lado del hilo, a partir de información que ya circula en ficheros robados, seguirá siendo atacable. La buena noticia es que la defensa está enteramente en tus manos: cada cuenta que desvinculas del SMS es una cuenta que el SIM swapping ya no puede alcanzar.
Empieza por lo más importante —tu correo y tu banco— y hazlo esta semana, no «algún día». Se tardan veinte minutos. El robo, en cambio, tarda cinco.
