SIM swapping: todo lo que debes saber para protegerte

¿Qué es una tarjeta SIM y cómo funciona?

Una SIM (Subscriber Identity Module) es un chip del tamaño de una uña que le indica a tu red quién eres a través de:

1. Identidad y ubicación: la tarjeta SIM guarda tu identificador de usuario móvil internacional (International Mobile Subscriber Identity o IMSI) y el Integrated Circuit Card Identifier (ICCID), el cual identifica de forma única la tarjeta. El IMSI identifica tu suscripción a la red, mientras que el ICCID es el identificador único de la tarjeta SIM, ambos le permiten a tu red móvil autenticar y gestionar tu conexión.
2. Claves de seguridad: la SIM tiene las claves criptográficas que se utilizan para autenticar el dispositivo con la red móvil antes de iniciar una llamada, un mensaje de texto o una sesión de datos. Estas claves funcionan como un secreto compartido entre tu SIM y la red para verificar tu identidad de forma segura. Este proceso de "intercambio de contraseñas” se realiza de manera automática cada vez que el dispositivo interactúa con la red, con el fin de validar que únicamente los equipos autorizados accedan a los servicios móviles.

Sin un perfil SIM válido, la red no enviará llamadas, mensajes de texto ni datos. Además, cuando pones tu tarjeta SIM en un móvil nuevo, tu identidad se va con ella. Con las eSIM, tu número puede transferirse digitalmente a través de tu operador a un nuevo dispositivo sin necesidad de una tarjeta SIM física, esta facilidad de transferencia es lo que hace que el SIM swapping sea tan peligroso.

¿Qué es el SIM swapping?

El SIM swapping, a veces llamado SIM swap, SIM jacking o SIM porting, se produce cuando un atacante engaña o soborna a un operador para que transfiera tu número de teléfono a una SIM que controla.

Una vez que se completa la transferencia, todas las llamadas y códigos de verificación destinados a ti llegan directamente al dispositivo del atacante. De este modo, el atacante puede restablecer contraseñas, vaciar carteras o comprar criptomonedas a tu nombre.

No hace falta mucho para convertirse en objetivo, ya que los números de móvil están vinculados a más cuentas de las que la mayoría de la gente cree. Por esta razón, si un atacante obtiene acceso a tu número de móvil, no se trata únicamente de la suplantación de tu número, sino del robo de tu identidad digital. Vamos a verlo con más detenimiento.

¿Cómo funciona el SIM swapping?

Los atacantes suelen seguir los siguientes cuatro pasos:

1. Minar datos: usan publicaciones en las redes sociales, correos electrónicos de suplantación de identidad o información encontrada en filtraciones de datos para conocer tu fecha de nacimiento, dirección y respuestas a las preguntas de seguridad más habituales.
2. Contactar con la compañía telefónica: con esos datos, se hacen pasar por ti en un chat o por llamada para decir "me han robado el teléfono y necesito una SIM de repuesto". En este punto, para engañar al operador es necesario saltarse los controles de verificación de identidad, los cuales pueden variar según el país, sobre todo en función de lo estrictas que sean las leyes locales de registro de tarjetas SIM.
3. Transferir números: si el agente del servicio se cree la historia, transfiere tu número de teléfono a un nuevo perfil SIM o eSIM, lo cual interrumpe el servicio en el terminal original. Ahora todas tus llamadas y mensajes de texto irán al atacante.
4. Adquirir cuentas: si tus cuentas usan mensajes de texto para la autenticación de dos factores (2FA), los atacantes pueden utilizar esos códigos para restablecer contraseñas, vaciar carteras o comprar criptomonedas a tu nombre.

En casos menos frecuentes, el SIM swapping lo lleva a cabo una persona con información privilegiada, como un empleado de la compañía telefónica, para realizar el cambio. Sea cual sea el método, el resultado es el mismo: tu vida digital queda en manos ajenas.

💡Consejo: toma las precauciones necesarias. Si estás en Estados Unidos, el servicio de eliminación de datos de ExpressVPN incluido en Identity Defender puede ayudar a limitar la cantidad de información personal que tienen disponible los intermediarios de datos, lo cual impide que los atacantes recopilen detalles sobre ti desde el principio.

Señales de que podrías ser víctima del SIM swapping

Aquí tienes algunas señales que podrían indicar que te han hecho un cambio de SIM.

Te quedas sin cobertura

La primera señal y la más evidente es la pérdida repentina del servicio de telefonía móvil. Tu teléfono aparece como "Sin servicio" o "Solo llamadas de emergencia", aunque estés en una zona con muy buena cobertura y tengas la factura pagada. Si reinicias tu móvil y no cambia nada, podría ser una señal de que tu número se transferido a una SIM diferente.

No puedes enviar o recibir mensajes de texto ni llamadas

Si tu móvil no tiene servicio, no podrás realizar llamadas ni enviar o recibir mensajes de texto SMS estándar. Esto ocurrirá, independientemente de si estás conectado a una red wifi o no, ya que las llamadas y los mensajes de texto dependen de tu red móvil, la cual se desactiva durante el SIM swapping.

Actividad sospechosa en cuentas bancarias o redes sociales

Los ciberdelincuentes se mueven rápido y una vez que consiguen tu número intentan acceder a cuentas que utilizan códigos de seguridad con SMS. Por lo tanto, es probable que te empiecen a llegar muchísimos correos electrónicos de restablecimiento de contraseñas, que aparezcan nuevos inicios de sesión desde dispositivos o ubicaciones desconocidas o que te aparezca una alerta financiera con una transferencia que no has realizado tu.

Te avisan de que tu número está en un nuevo dispositivo

En algunos países, los operadores de telefonía móvil envían alertas de "cambio de SIM pendiente" o un SMS en el que confirman que tu número de teléfono se ha activado en un nuevo dispositivo. Si recibes este tipo de notificación y no has solicitado el cambio, es posible que tu número esté siendo atacado, así que nunca apruebes una solicitud que no hayas iniciado.

Qué hacer si te cambian la SIM

Entre más rápido actúes, mejor. Tan pronto como veas que no tienes servicio o te des cuenta de que hay actividad sospechosa, sigue estos pasos:

1. Llama a tu operador de telefonía móvil

Utiliza un teléfono diferente para ponerte en contacto con el soporte técnico e informa de que sospechas que se trata de un SIM swapping. Pídele al agente del servicio que suspenda la nueva SIM y restablezca tu número en un perfil SIM o eSIM que puedas controlar. Anota la fecha, la hora y el nombre del agente.

2. Protege tu dinero

Llama a tu banco o al emisor de tu tarjeta, explícale lo del SIM swapping, pídele que congele las transacciones y revisa la actividad reciente mientras hablas con él. Si ves transferencias que tú no has autorizado, inicia inmediatamente el proceso de impugnación. Activa las notificaciones de movimientos en tiempo real para que no se te escapen los nuevos cargos.

💡Consejo: los usuarios estadounidenses pueden usar el servicio de protección de identidad de ExpressVPN, Identity Defender con Credit Scanner, para monitorizar detenidamente tus informes de crédito en busca de nuevas cuentas o actividades sospechosas.

3. Restablecimiento de contraseñas y cambio de la autenticación de dos factores por SMS a una aplicación

Empieza por tu cuenta de correo electrónico principal y luego con la cuenta bancaria, las cuentas de redes sociales y cualquier servicio en la nube. Cambia todas las contraseñas y sustituye los códigos SMS por una aplicación de autenticación como Google Authenticator que el atacante no pueda interceptar. Cuando el operador restablezca tu línea, vuelve a activar la autenticación de dos factores con el nuevo método para detener la filtración de forma definitiva.

4. Denuncia el delito

Presenta una denuncia ante las autoridades de tu país, envía el número de referencia a tu banco y a tu operador de telefonía, ya que los documentos expedidos por autoridades suelen acelerar los reembolsos y las investigaciones internas.

5. Apunta todo lo que hagas

Apunta todas las llamadas, el número de ticket, las medidas que te prometen y haz un seguimiento en un plazo de 24 horas para confirmar que se hace algún progreso. Tener clara la cronología te ayudará a resolver los desacuerdos más adelante y refuerza la idea de que estás haciendo un seguimiento activo del asunto.

Cómo evitar el SIM swapping

No vincules tu número de móvil a cuentas de Internet

Evita utilizar tu número de móvil como método de acceso o recuperación siempre que sea posible. En lugar de ello, utiliza una dirección de correo electrónico o una aplicación de autenticación para acceder a tu cuenta y recuperarla. Esto reduce el riesgo de ser víctima de un secuestro de número de móvil, pero recuerda que las cuentas de correo electrónico también pueden verse afectadas (suelen ser uno de los objetivos comunes de los ciberdelincuentes). De las dos opciones, la aplicación de autenticación es la opción más sólida.

Utiliza la autenticación multifactor

Más allá de confiar en una simple contraseña, la autenticación multifactor (AMF) añade mayor seguridad a tus cuentas:

• Aplicaciones de autenticación: generan códigos en tu dispositivo y no a través de mensajes de texto, lo cual las hace inmunes a los ataques de SIM swap. Esto significa que, aunque alguien se haga con el control de tu número, no podrá acceder a los códigos de la autenticación de dos factores. Google Authenticator, Authy o Microsoft Authenticator son buenas opciones.
• Biometría: muchos dispositivos y aplicaciones ofrecen ahora autenticación biométrica, a través de huella dactilar o identificación facial, lo cual añade una sólida capa de seguridad a nivel de dispositivo. Esto impide acceder a determinadas aplicaciones o a realizar determinadas acciones incluso si alguien consigue hacerse con tu número de móvil.
• Claves de seguridad físicas: los tokens de hardware como las YubiKeys son una forma muy segura de autenticación. Normalmente, se necesita una interacción física y funcionan con claves criptográficas, lo cual reduce de forma significativa la posibilidad de que las vulneren y son especialmente útiles para proteger el correo electrónico y las cuentas financieras.

Pídele a tu operador que active un PIN o bloqueo para tu cuenta

La mayoría de las compañías te permiten configurar un PIN o una pregunta de seguridad específicos para tu cuenta, esto se lo pone más difícil a los atacantes a la hora de querer hacerse pasar por ti.

También existen funciones de bloqueo del número o de la cuenta, lo cual añade un paso de verificación adicional antes de poder transferir tu número a otra SIM.

Otros operadores ofrecen verificación mediante llamada para confirmar los cambios en la cuenta. Si lo tienes activado, este paso podría detener un SIM swap en curso.

Habilita las alertas en tus cuentas

Muchos bancos y servicios en Internet te permiten activar alertas para los intentos de inicio de sesión, los cambios de contraseña o las retiradas de dinero. De esta manera, puedes enterarte de si algo va mal.

Audita tus cuentas más importantes con frecuencia

Comprueba la configuración de seguridad de tus cuentas financieras, correo electrónico y redes sociales. Busca indicios de accesos no autorizados, actualiza tus métodos de recuperación y fíjate en qué cuentas usan tu número de teléfono para iniciar sesión o recuperarse.

Sigue las normas básicas de seguridad en Internet

En definitiva, mantener unos hábitos seguros en Internet puede evitar que la mayoría de los ataques de SIM swapping lleguen a producirse.

• Piénsalo bien antes de hacer clic: omite enlaces y archivos adjuntos en mensajes inesperados, aunque te resulten familiares. De este modo, impides que los estafadores obtengan datos personales con los que podrían hacerse pasar por ti al intentar un SIM swap.
• Preserva tu privacidad: no publiques ni compartas tu número de teléfono, dirección o DNI en páginas web públicas. Entre menos información haya, menos respuestas tendrán los estafadores para superar los controles de seguridad del operador.
• Ten cuidado con las llamadas que recibes: si alguien llama diciendo que es de tu compañía telefónica, cuelga y llama al teléfono de soporte técnico oficial de tu operador. Si devuelves la llamada a un número verificado, impedirás que los estafadores utilicen técnicas de ingeniería social para hacerse con el control de tu línea al momento.
• Nunca des la información de inicio de sesión de tus cuentas: tu proveedor no te pedirá contraseñas, PIN ni datos bancarios por teléfono, correo electrónico o SMS. Proteger estos códigos impide que los ciberdelincuentes puedan hacerse con los datos que necesitan para migrar tu número.
• Usa contraseñas diferentes en todas tus cuentas: al usar datos de inicio de sesión distintos en cada servicio de Internet, incluida la cuenta de tu operador, limitas significativamente los daños de una filtración de datos. Asimismo, si un servicio resulta afectado, los atacantes no accederán de forma automática al resto de cuentas. Un gestor de contraseñas como ExpressVPN Keys te ayuda a crear y guardar contraseñas seguras sin reutilizarlas.
• Omite el autorrelleno en la aplicación: no uses la función de autorrelleno integrada en navegadores y aplicaciones, ya que pueden ser menos seguras que un gestor de contraseñas específico. Si pierdes tu teléfono o un malware lo pone en riesgo, los datos de autorrelleno guardados podrían ponerles tus datos de acceso en bandeja de plata a los ciberdelincuentes.

Ejemplos reales de estafas de SIM swapping (y qué estuvo en juego)

El SIM swapping no solo es un problema técnico, sino uno personal. Para muchos, empieza con una pequeña molestia y se va agravando hasta convertirse en robo de dinero, daño a la reputación y recuperarse de uno lleva años.

Pongamos como ejemplo el caso de Jack Dorsey, antiguo CEO de Twitter: en 2019, los atacantes utilizaron el SIM swapping para tomar el control de su número de móvil. En cuestión de minutos, usaron un servicio de publicación por SMS para publicar tuits ofensivos desde su cuenta. El problema no duró mucho, pero encabezó titulares en todo el mundo y puso de manifiesto que hasta los líderes tecnológicos pueden correr este tipo de riesgos.

Otro ejemplo es el de Michael Terpin, un inversor de criptomonedas que perdió más de 20 millones de dólares después de que su número de teléfono fuera secuestrado. El atacante burló las protecciones de la cuenta, accedió a su monedero digital y lo vació. Posteriormente, Terpin demandó a su operador de telefonía móvil, alegando que la debilidad de los controles internos permitió el robo.

No obstante, estos no son los únicos casos. El SIM swapping está detrás de numerosos ataques que han afectado tanto a celebridades como a usuarios normales y sus consecuencias pueden ser las siguientes:

• Robo de identidad: una vez que alguien tiene el control de tu número, puede hacerse pasar por ti en Internet, acceder a tu correo electrónico, banco y cambiar las contraseñas. También puede utilizar los datos personales de tus cuentas para solicitar préstamos o líneas de crédito a tu nombre.
• Pérdida financiera: si te roban tu número pueden dejarte vacía la cuenta bancaria, realizar compras no autorizadas con tus tarjetas e incluso robarte criptomonedas. De hecho, si tus cuentas bancarias usan autenticación de dos factores basada con SMS, el SIM swap les da a los estafadores exactamente lo que necesitan para acceder a ellas.
• Invasión de la intimidad: en un SIM swap exitoso se pueden filtrar tus mensajes de texto, fotos guardadas en aplicaciones de mensajería vinculadas a la nube y tu lista de contactos. El atacante podría utilizar tu número para enviar mensajes a amigos, solicitar códigos de acceso o acceder a conversaciones personales sin que lo sepas.
• Daños a la reputación: si alguien usa tu número podría publicar en tus redes sociales, suplantar tu identidad en los mensajes o estafar a tus contactos. Dependiendo del caso, podría llegar a afectar a tus relaciones o a tu carrera.

Un SIM swap puede permitir que alguien acceda a tus cuentas más importantes, pero también puede ir más allá. En Estados Unidos, Identity Defender de ExpressVPN monitoriza la Dark Web para comprobar si tus datos personales, como direcciones de correo electrónico, contraseñas o números de teléfono han sido filtrados. De este modo, si tus credenciales se han visto afectadas por un SIM swap, recibirás alertas rápidamente y esto te dará tiempo para proteger tus cuentas, limitar las pérdidas financieras y reducir los daños a largo plazo.

Reflexiones finales: anticípate a las estafas que se realizan a través del móvil

Que te roben el número de teléfono no solo es un incordio, sino también una amenaza para tu vida digital, ya que tu número puede desbloquearlo casi todo, desde el banco hasta el correo electrónico y las redes sociales. Por esto es tan importante tomar medidas para protegerse.

Usa aplicaciones de autenticación, configura un PIN de cuenta, evita utilizar tu número para iniciar sesión y mantente al tanto de cualquier actividad sospechosa. Solo tardarás unos minutos en tomar las precauciones necesarias, pero recuperarte de un robo de identidad puede llevar años.

Aunque una VPN no impide el SIM swapping, es una forma inteligente de proteger tu actividad en Internet, especialmente en redes wifi públicas. ExpressVPN cifra tu tráfico y añade una capa de privacidad sólida para que tus datos estén seguros mientras permaneces conectado.