Tu móvil se queda sin señal de repente y, un rato después, descubres que alguien ha entrado en tu banca electrónica y ha hecho transferencias. No te han robado el teléfono: te han robado el número. Esa es la estafa del SIM swapping, o duplicado de SIM: el delincuente no ataca al banco ni al mensaje, sino a la operadora, para quedarse con la línea de la víctima y con todo lo que llega a ella. En este artículo explicamos qué es, cómo funciona, cómo detectarlo y qué puede hacer una empresa para que sus códigos OTP sigan siendo seguros.
Qué es el SIM swapping
El SIM swapping (en español, intercambio o duplicado de SIM) es un tipo de fraude en el que un delincuente consigue que la operadora de telefonía móvil le entregue un duplicado de la tarjeta SIM de la víctima. Desde ese momento, el número de teléfono de la víctima funciona en el dispositivo del atacante, que recibe todo lo que llega a ese número: llamadas, mensajes y los códigos de verificación del banco, del correo electrónico o de las redes sociales.
La víctima, mientras tanto, ve cómo su tarjeta SIM deja de tener línea. El teléfono sigue funcionando con wifi, por eso muchas personas tardan en darse cuenta de lo que ocurre.
Es una técnica de robo de identidad: el objetivo no es el aparato, sino la información y el acceso que dependen de ese número, desde las cuentas bancarias hasta el correo o las redes sociales. Por eso el número de teléfono merece la misma protección que una contraseña, y la autenticación que se apoya en él, unas reglas bien pensadas.
Cómo funciona la estafa del duplicado de SIM
- Recopilan información. Los ciberdelincuentes reúnen datos de la víctima: nombre, DNI, dirección, número de teléfono. Los obtienen con phishing (correos o SMS falsos), de filtraciones de datos o de lo que la persona publica en redes sociales. Casi siempre consiguen también sus contraseñas de acceso a la banca online.
- Suplantan a la víctima ante la operadora. Con esos datos, y a veces con un documento de identidad falso, el solicitante pide un duplicado de la tarjeta SIM en una tienda o por teléfono. Es pura ingeniería social: se hacen pasar por el titular que ha perdido el móvil.
- Activan la nueva SIM. En cuanto la operadora activa el duplicado, la tarjeta original queda anulada. La víctima se queda sin señal y el estafador pasa a controlar la línea.
- Vacían las cuentas. Con la contraseña robada y el número en su poder, el atacante inicia sesión en las cuentas bancarias, recibe los códigos de verificación que llegan a ese número y autoriza transferencias, compras o el cambio del teléfono asociado a la cuenta.
Hay una variante que persigue lo mismo por otra vía: la portabilidad fraudulenta. En vez de un duplicado, el delincuente pide llevarse el número a otra compañía haciéndose pasar por el titular.
En los dos casos, el SMS sigue funcionando exactamente igual: lo que se aprovecha es el procedimiento con el que la operadora emite un duplicado o tramita una portabilidad. Por eso las compañías de telefonía y las entidades bancarias han reforzado sus mecanismos de control, y por eso las empresas que envían códigos pueden añadir sus propios métodos de comprobación sin cambiar de canal.
Cómo saber si eres víctima de SIM swapping
- El móvil se queda sin cobertura o muestra en la pantalla «solo llamadas de emergencia» sin motivo, en una zona donde normalmente tienes señal.
- Dejas de recibir llamadas y SMS, o tus contactos te dicen que no te localizan.
- Recibes un aviso de tu operadora de un cambio de SIM o de una portabilidad que no has pedido.
- Te llegan notificaciones del banco o del correo electrónico de accesos o de operaciones que no reconoces.
Qué hacer si te han duplicado la SIM
- Llama a tu operadora desde otro teléfono y pide que bloqueen la línea y anulen el duplicado.
- Avisa a tu banco para que bloquee las cuentas y las tarjetas y revise las operaciones.
- Cambia las contraseñas del correo electrónico y de los servicios más importantes, empezando por el correo, que es la llave para recuperar todo lo demás.
- Denuncia ante la Policía Nacional o la Guardia Civil y guarda todas las pruebas: capturas, mensajes y justificantes.
Cómo proteger tu teléfono móvil del SIM swapping
- No compartas por teléfono, SMS o correo tus datos personales, contraseñas ni códigos. Ni tu banco ni tu operadora te los pedirán.
- Usa contraseñas distintas en cada servicio: el SIM swapping solo funciona si el atacante ya tiene tu contraseña.
- Limita lo que publicas en redes sociales: fecha de nacimiento, dirección o número de teléfono facilitan la suplantación.
- Mantén activados los avisos por SMS de tu banco: un mensaje que te informa de un acceso o de una operación te permite reaccionar en minutos.
- Pregunta a tu compañía qué medidas adicionales ofrece para autorizar un duplicado de tarjeta. El PIN de la SIM protege la tarjeta física si te roban el móvil, pero no impide que la operadora emita un duplicado.
Cómo proteger los códigos OTP de tus clientes frente al SIM swapping
Si tu empresa envía códigos OTP para el acceso o para autorizar operaciones, el SIM swapping es tu problema aunque el fraude empiece en la operadora de tu cliente. El SMS es el segundo factor más extendido porque llega a cualquier teléfono, al momento y sin instalar nada, y su seguridad depende sobre todo de las reglas con las que se envía y se valida el código. Estas son las buenas prácticas de seguridad que recomendamos, sobre todo en los entornos de más riesgo, y puedes aplicarlas con el servicio de códigos OTP y verificación en dos pasos de Mensatek, desde el panel o la API:
- Caducidad corta y límite de intentos. Define la validez de cada código, entre 1 minuto y 24 horas (lo recomendable para un acceso son 5 o 10 minutos), y cuántos intentos de validación admite, hasta 10. Un código que caduca pronto reduce el margen del atacante.
- Un texto que avisa. Di en el mensaje para qué sirve el código y que nadie de tu empresa lo pedirá por teléfono, y no incluyas en su contenido datos sensibles. Parece poco, pero corta la ingeniería social con la que se roban muchos códigos.
- Consulta el teléfono antes de confiar en él. La consulta del servicio antifraude devuelve la operadora, el tipo de línea y, en los móviles españoles, la portabilidad: de qué compañía venía el número y cuándo cambió. Un número portado hace pocos días es una señal para pedir una comprobación extra antes de una operación de riesgo.
- Cascada omnicanal. El mismo servicio envía el código por SMS, llamada de voz, email, WhatsApp, RCS o notificación push, y puedes encadenar los canales: si uno falla, el código sale a través del siguiente. Y, en las operaciones más delicadas, puedes pedir además un código por un canal ligado a otra credencial del cliente, como su correo electrónico o tu propia aplicación: una capa extra que un duplicado de la SIM no alcanza.
- Verificación de identidad para lo más sensible. Para cambiar el teléfono de una cuenta, dar de alta un nuevo beneficiario o autorizar una transferencia grande, pide una verificación de identidad con el documento y una prueba de vida. El atacante puede tener el número, pero no la cara del titular.
- Trazabilidad completa. Cada petición, entrega, reenvío y validación queda registrada y puedes recibir cada cambio de estado en tu servidor. Si algo no cuadra, tienes los datos de todo el proceso para investigar cada caso de fraude.
Además, la plataforma limita cuántos códigos puede recibir un mismo teléfono en poco tiempo y guarda cada código cifrado con un hash, de modo que ni siquiera nuestro personal puede leer un código en vigor.
Preguntas frecuentes
¿Qué es el SIM swapping?
Es la estafa del duplicado de SIM: un delincuente se hace pasar por la víctima ante su operadora, consigue un duplicado de su tarjeta SIM y, con él, recibe lo que llega a su número, incluidos los códigos de verificación, para entrar en sus cuentas.
¿Es seguro el código OTP por SMS?
Sí. Es el segundo factor más extendido, llega a cualquier teléfono y frena el robo de contraseñas. El SIM swapping no ataca al SMS, sino al procedimiento de la operadora; con caducidades cortas, límite de intentos, la consulta del teléfono antes de las operaciones de riesgo, la cascada omnicanal y la verificación de identidad para lo más sensible, el código OTP sigue siendo una protección sólida.
¿El PIN de la SIM evita el duplicado?
No. El PIN protege la tarjeta física si te roban o pierdes el móvil, pero el duplicado lo emite la operadora con una tarjeta nueva.
¿Cómo sé si me han duplicado la SIM?
La señal más clara es que el móvil pierda la cobertura sin motivo y dejes de recibir llamadas y SMS. Si además te llegan avisos de accesos o de operaciones que no reconoces, llama enseguida a tu operadora y a tu banco desde otro teléfono.