"Ataques SIM swap: cómo los estafadores secuestran tu número de teléfono"
Idiomas disponibles
Imagina que despiertas y descubres que tu teléfono no tiene señal. Entonces empiezan a llegar las notificaciones a tu correo — confirmaciones de restablecimiento de contraseña que nunca solicitaste, alertas de transferencias bancarias de dinero que nunca enviaste. Para cuando te das cuenta de lo que está pasando, el daño ya está hecho.
Este es un ataque SIM swap, y es una de las formas de fraude de identidad de más rápido crecimiento. Así es como funciona y qué puedes hacer para detenerlo.
Cómo funciona un ataque SIM swap
Un SIM swap no requiere hackeo avanzado. La herramienta principal del atacante es la ingeniería social — convencer a tu operador de telefonía para que transfiera tu número de teléfono a una tarjeta SIM que ellos controlan.
El proceso típicamente se ve así:
- Recopilar información personal — de filtraciones de datos, redes sociales, phishing o la dark web
- Contactar con tu operador — haciéndose pasar por ti con suficientes datos para pasar la verificación de identidad
- Solicitar una transferencia de SIM — alegando un teléfono perdido, dispositivo nuevo o SIM dañada
- Recibir tus llamadas y mensajes — incluido cada código de autenticación en dos pasos enviado por SMS
Una vez que tienen tu número, pueden restablecer contraseñas, acceder a cuentas bancarias y apoderarse del correo electrónico — a menudo en cuestión de minutos.
Ejemplos del mundo real
Esto no es teórico. Entre las víctimas conocidas del SIM swap se encuentran:
- La cuenta oficial de X de la SEC fue secuestrada en enero de 2024 mediante SIM swap, usada para publicar un falso anuncio de ETF de Bitcoin
- Jack Dorsey, fundador de Twitter, tuvo su propia cuenta comprometida mediante fraude de SIM swap en 2019
Por qué la autenticación en dos pasos por SMS es vulnerable
Muchos servicios dependen de los códigos SMS como segundo factor para el inicio de sesión. El problema es claro: si un atacante controla tu número de teléfono, recibe esos códigos.
Esto rompe todo el modelo de seguridad. Tu contraseña más tu código SMS equivale a acceso total — y el atacante tiene ambos.
La 2FA basada en SMS es mejor que no tener 2FA, pero es la forma más débil de autenticación en dos pasos disponible.
Mejores alternativas
- Aplicaciones de autenticación (Google Authenticator, Authy) — los códigos se generan en tu dispositivo, no se envían por SMS
- Llaves de seguridad físicas (YubiKey, Google Titan) — dispositivos físicos que no pueden ser interceptados de forma remota
- Passkeys — la opción más reciente, que combina biometría con claves criptográficas almacenadas en tu dispositivo
Cómo protegerte
Protección a nivel de operador
Los principales operadores ahora ofrecen funciones de bloqueo de SIM tras las normas de la FCC que entraron en vigor en julio de 2024:
- Verizon — Number Lock
- T-Mobile — SIM Protection
- AT&T — Wireless Account Lock
Llama a tu operador y activa estas funciones de inmediato. También establece un PIN fuerte y único en tu cuenta — no tu fecha de cumpleaños ni los últimos cuatro dígitos de tu número de identificación.
Protección a nivel de cuenta
- Cambia las cuentas críticas a aplicaciones de autenticación — correo electrónico, banca y cuentas de criptomonedas especialmente
- Usa contraseñas únicas en todas partes — un gestor de contraseñas lo facilita
- Reduce tu huella digital — limita la información personal compartida en redes sociales
- Desconfía de contactos no solicitados — los operadores no te pedirán que verifiques tu identidad por mensaje de texto o correo electrónico
Qué hacer si ocurre
Si de repente pierdes el servicio celular sin razón aparente:
- Llama a tu operador inmediatamente desde otro teléfono — reporta el cambio de SIM no autorizado
- Asegura tu correo electrónico primero — el correo es la llave maestra para restablecer otras cuentas
- Bloquea tus cuentas bancarias y financieras — contacta directamente con tu banco
- Cambia las contraseñas de todas las cuentas críticas desde un dispositivo seguro
- Presenta una denuncia ante tu operador y las autoridades locales
Cómo encaja una VPN en el panorama
Una VPN no puede evitar que tu operador cometa un error, pero reduce la información disponible para los atacantes en primer lugar:
- Cifra tu tráfico — previene la interceptación de datos en redes públicas donde se podrían recopilar datos personales
- Oculta tu dirección IP — dificulta la correlación de tu actividad en línea con tu identidad
- Bloquea sitios maliciosos — reduce la exposición a intentos de phishing que recopilan datos personales para ataques SIM swap
Conclusión
Los ataques SIM swap explotan el eslabón más débil de tu cadena de seguridad — tu número de teléfono. La solución es directa: bloquea tu SIM a nivel de operador, cambia a aplicaciones de autenticación para la autenticación en dos pasos y minimiza la información personal que compartes en línea.
No esperes a que ocurra. Estas protecciones tardan minutos en configurarse y pueden salvarte de una brecha devastadora.
Etiquetas