SIM swapping
El traspaso de una línea telefónica a una tarjeta SIM que controla otra persona. Qué es, en qué se diferencia del phishing de un código, cómo corre el ataque y qué le queda por hacer a la organización que depende de ese número.
Qué es el SIM swapping
El SIM swapping es la apropiación de la línea telefónica de una persona por parte de un tercero, que consigue que el operador transfiera el número a una SIM bajo su control. Desde ese momento las llamadas y los mensajes de esa línea, incluidos los códigos de un solo uso, llegan al equipo del atacante.
No hay intrusión en ningún sistema de la organización. Tampoco hay engaño a la víctima, al menos no en el paso decisivo. Lo que se vulnera es el proceso de verificación de identidad de un tercero: el operador telefónico.
Eso vuelve al SIM swapping un caso incómodo. La organización afectada no tuvo participación en el control que falló, pero es la que pierde.
Lo que se roba no es el teléfono ni la cuenta. Es la línea, y con ella todo lo que el número acredita: los códigos OTP que llegan por SMS y las validaciones que un servicio hace llamando o escribiendo a ese número.
No es phishing de un código, y la diferencia importa
Las dos rutas terminan en el mismo lugar, un atacante con el código en la mano, pero se detienen con controles distintos.
- Phishing de un código — el atacante convence al titular de que le entregue el OTP que acaba de recibir. El código pasa por la persona, y la defensa apunta a la persona: educación, señales en la interfaz, límites de reintento.
- SIM swapping — el atacante no le pide nada al titular. Convence al operador, y el código deja de llegarle al titular. La defensa no puede apoyarse en el usuario, porque el usuario nunca participa.
De ahí sale la señal que más sirve del lado de la organización: el titular de una línea traspasada suele quedarse sin servicio antes de enterarse de nada. La pérdida de señal precede al intento de acceso.
Cómo corre el ataque, paso a paso
La secuencia es corta y la ventana de explotación es breve, lo que explica que casi siempre ocurra fuera del horario de atención.
- Reunir los datos del titular. Nombre, documento, domicilio, fecha de nacimiento y el número de la línea. Vienen de filtraciones acumuladas, de redes sociales o de un phishing previo dirigido a completar exactamente esos campos.
- Elegir el canal del operador. Tienda física, atención telefónica, canal digital o un empleado cooptado. Los cuatro tienen procesos distintos y el atacante prueba por el que menos verifique.
- Pedir la reposición de la SIM o la portabilidad. El pretexto habitual es un extravío o el cambio de equipo. Lo que se presenta como prueba de identidad es el conjunto de datos del paso 1.
- Superar la verificación del operador. Es el paso que decide todo el ataque, y ocurre íntegramente fuera de la organización que después va a sufrir el fraude.
- La línea se activa en el equipo del atacante. El teléfono del titular pierde servicio. Ese es el primer indicio y suele leerse como una falla de red.
- Disparar la recuperación de acceso en los servicios que dependen del número. Banco, correo, billetera, redes. Cada uno envía su código de recuperación a la línea, que ya no es de la víctima.
- Recibir los códigos y operar. Con el correo tomado, el atacante gana además la vía de recuperación de todo lo demás. El incidente se convierte en un account takeover en varios servicios a la vez.
El paso 4 es el único que importa, y no lo controla la organización que pierde el dinero. Esa asimetría es la característica que define a este fraude.
El control que decide está fuera de tu organización
Conviene decirlo sin rodeos porque cambia la planificación: ninguna medida que tome un banco, una billetera o una plataforma impide que un operador entregue una línea a la persona equivocada.
Lo que sí está bajo control de la organización es la dependencia. La pregunta útil no es cómo evitar un SIM swap, sino qué deja de funcionar cuando ocurre uno. Si la respuesta incluye el segundo factor y la recuperación de cuenta, el número telefónico se convirtió en la llave maestra sin que nadie lo haya decidido explícitamente.
Hay dos variantes del mismo problema que suelen olvidarse:
- Portabilidad a otro operador — el número se muda con la persona, y el proceso de portación tiene su propia verificación, distinta de la de reposición de SIM.
- Reciclado de números — una línea dada de baja vuelve a asignarse después de un plazo. El nuevo titular hereda la vía de recuperación de las cuentas que el anterior nunca actualizó, sin que haya habido ningún ataque.
El SMS deja de ser un factor cuando alguien más controla la línea
Un factor de autenticación vale por la propiedad que asume. El OTP por SMS asume que quien tiene el número es el titular. Es una suposición sobre el registro de un tercero, no una prueba criptográfica.
- OTP por SMS — cae completo con el SIM swap. También es el factor más expuesto al phishing, porque es un código que la persona puede leer y dictar.
- OTP en aplicación (TOTP) — el secreto vive en el dispositivo, no en la línea. Un SIM swap no lo alcanza. Sigue siendo dictable bajo engaño.
- Passkey y credencial FIDO2 — la clave privada está en el dispositivo y no sale de él. Ni el SIM swap ni una página falsa la obtienen.
- Biometría con verificación de presencia — no depende de un canal de entrega. Es el factor que más claramente no viaja por la red telefónica.
Nada de esto vuelve inutilizable al SMS. Sigue siendo el factor de menor fricción y el único disponible para una parte importante de la población de la región. Lo que no debería ser es lo único que separa a un atacante de una operación sensible, ni la vía de recuperación cuando todo lo demás falla.
Dónde aparece en un recorrido de identidad
El SIM swapping no ataca el alta. Ataca los momentos en los que el número de teléfono vale como prueba de identidad.
- Segundo factor por SMS — el código llega a la SIM del atacante y el factor de posesión queda cumplido a su favor.
- Recuperación de acceso — los flujos de "olvidé mi contraseña" que envían un enlace o un código al número registrado.
- Confirmación de operaciones — las autorizaciones que un banco valida con un mensaje al teléfono declarado.
En los tres casos la organización está delegando un tramo de su autenticación en un tercero: el operador móvil, que administra quién controla la línea con sus propios procesos y sus propios canales de atención.
A quién afecta y qué cuesta
El SIM swapping se dirige a cuentas de valor conocido, así que el objetivo suele estar elegido antes del paso 1.
- Servicios financieros y billeteras digitales — transferencias y consumo de saldo, con la particularidad de que llegan con un segundo factor correctamente validado.
- Criptoactivos — el caso donde la operación es irreversible y el incentivo del atacante es máximo.
- Telecomunicaciones — el operador enfrenta el reclamo por un proceso propio, y en varios países de la región la exposición regulatoria por la verificación en el alta y la reposición de líneas.
- Retail y gaming — recuperación de cuentas con saldo o con medios de pago guardados.
El costo operativo tiene una forma característica: la organización recibe un reclamo por una operación que sus registros muestran como legítima y correctamente autenticada. Reconstruir qué pasó exige señales que la autenticación por sí sola no guarda.
Qué controles lo detienen
La lista se parte en dos y la mitad más determinante no la vende ningún proveedor de identidad.
Del lado del operador telefónico, y del regulador.
- Verificación reforzada para reposición de SIM y portabilidad — presencia física, biometría o factores adicionales antes de mover un número.
- Período de espera tras un cambio de SIM — una demora deliberada antes de que la línea reciba mensajes de servicios financieros. Rompe la ventana del ataque, que es corta por diseño.
- Bloqueo de portabilidad a pedido del titular — disponible en algunos mercados, casi desconocido entre usuarios.
- Control interno sobre el personal de tiendas y canales — el paso 2 muchas veces no es un engaño sino un empleado cooptado.
Del lado de la organización que depende del número.
- Consulta de señales de cambio de línea — existen servicios que informan si una SIM fue reemplazada o portada en los últimos días. Se compran a agregadores de datos de telecomunicaciones, no a proveedores de identidad, y su cobertura varía mucho por país y por operador.
- Factores que no dependen de la línea — TOTP, passkeys o biometría con verificación de presencia.
- Re-verificación de identidad en la recuperación de cuenta — que recuperar el acceso exija volver a probar quién es la persona, y no solo recibir un código. Es el control que cierra el paso 6.
- Período de enfriamiento tras un cambio de factor o de datos de contacto — una demora antes de habilitar operaciones sensibles después de un cambio.
- Notificación al canal anterior, no al nuevo — avisar del cambio al correo y al número que estaban registrados antes. Parece un detalle y es de los pocos avisos que la víctima puede llegar a ver a tiempo.
- Escalamiento en la operación sensible — volver a pedir presencia en la transferencia, no solo en el acceso.
- Señales de dispositivo y de sesión — dispositivo nuevo, comportamiento atípico, secuencia de recuperación acelerada.
Un equipo que quiera cubrir este fraude completo necesita al menos un proveedor de datos de telecomunicaciones y una conversación con los operadores de su mercado. Ninguna de las dos cosas la resuelve un proveedor de autenticación.
Cómo lo aborda VU
VU trabaja sobre la dependencia, que es lo que la organización sí controla.
Autentica soporta siete factores: rostro, TOTP, OTP por SMS, OTP por correo, enlace mágico, contraseña y documento de identidad. Que el OTP por SMS esté en el catálogo es información y no un descargo: la elección del factor es de la organización, y esta página existe para que se haga sabiendo qué pasa cuando la línea cambia de manos.
La re-verificación biométrica en la recuperación de cuenta es la pieza que cierra el paso 6. Si volver a entrar exige probar presencia con Verifica, tener el número deja de alcanzar. La prueba de vida está certificada por iBeta en el Nivel 2 de su programa de ensayo, que aplica la metodología de la norma ISO/IEC 30107-3.
Sobre el comportamiento posterior, Protege contra el fraude evalúa señales de dispositivo y de sesión, que es lo que permite mirar con otro criterio una recuperación seguida de una transferencia.
Preguntas frecuentes
Es el traspaso del número de teléfono de una persona a una tarjeta SIM controlada por un tercero, hecho sin su consentimiento. Una vez completado, las llamadas y los mensajes de esa línea llegan al atacante, incluidos los códigos de un solo uso que muchos servicios envían por SMS para confirmar identidad o autorizar operaciones. El titular original pierde el servicio en su propio equipo.
En quién es engañado. En el phishing de un código, el titular recibe el mensaje y lo entrega. En el SIM swapping, el engaño ocurre en el operador móvil y el titular nunca ve el código, porque deja de llegarle. Es la razón por la que los controles centrados en advertir al usuario no cubren este caso.
No. El SIM swapping es un método y el account takeover es el resultado: el control de una cuenta ajena. Un traspaso de línea es una de las rutas que llevan a ese resultado, junto con el phishing y el credential stuffing. Nombrarlos por separado ayuda, porque cada ruta se corta en un lugar distinto.
Por la pérdida de servicio. El teléfono deja de tener señal de red aunque el equipo funcione, porque la línea se activó en otra SIM. El problema es que ese síntoma se confunde con una falla de red y que el ataque suele ejecutarse de noche o en fin de semana, cuando el operador no atiende y la demora en reaccionar juega a favor del atacante. Cualquier pérdida de servicio inesperada que coincida con notificaciones de cambio de contraseña o de acceso merece tratarse como un incidente, no como una molestia.
El ataque no, porque el control que falla es el del operador telefónico. La dependencia sí. Una organización puede dejar de usar el número como segundo factor único, puede exigir re-verificación de identidad para recuperar una cuenta en lugar de aceptar un código, puede consultar a un agregador si esa línea fue reemplazada en los últimos días, y puede imponer un período de enfriamiento antes de habilitar operaciones sensibles después de un cambio de factor. Ninguna de esas medidas impide el swap. Todas reducen lo que el swap consigue.
La clonación copia los datos de una tarjeta SIM para operar un duplicado, y es un ataque técnico contra la tarjeta. El SIM swapping no toca la tarjeta: convence al operador de que transfiera el número a una SIM nueva mediante su proceso normal de reposición o portabilidad. Por eso el SIM swapping es mucho más frecuente. No requiere capacidad técnica, requiere los datos del titular y un canal de atención que verifique poco.
