¿Qué es un ataque de SIM swap y cómo se previene?

Un ataque de SIM swap ocurre cuando un delincuente logra que tu operador móvil transfiera tu número a una tarjeta SIM que él controla. Tus llamadas y mensajes, incluidos los códigos 2FA, pasan entonces a sus manos, y los usa para restablecer contraseñas y vaciar cuentas. El FBI registró más de 68 millones de dólares en pérdidas por SIM swap en 2021.

Cómo eligen sus objetivos los atacantes

El SIM swapping requiere esfuerzo, así que los atacantes eligen víctimas que parezcan valer la pena. Las personas que publican sobre sus criptoactivos, comparten capturas de pantalla de sus saldos o son conocidas públicamente por trabajar en el sector son objetivos frecuentes. Las bases de datos filtradas que relacionan números de teléfono con nombres, direcciones y fechas de nacimiento dan a los atacantes los datos que necesitan para hacerse pasar por alguien en una llamada. Mantener tu número en privado, evitar publicaciones sobre cuánto tienes y usar un número separado para las cuentas financieras hace que seas un objetivo menos atractivo.

Por qué el número de teléfono es un eslabón tan débil

Un número de teléfono nunca se diseñó para demostrar la identidad, pero muchos servicios lo usan así: para enviar códigos de acceso, restablecer contraseñas y confirmar que quien llama es el titular de la cuenta. Sin embargo, el número en sí está controlado por un operador móvil y puede trasladarse a otra tarjeta SIM mediante un proceso de atención al cliente. Cualquiera que pueda convencer o pagar a alguien dentro de ese proceso puede apoderarse de tu número sin tocar nunca tu teléfono. Cada cuenta que confía en tu número también confía entonces en el atacante.

Cómo funciona el ataque

1. Investigación: el atacante reúne tu nombre, número de teléfono y datos personales a partir de filtraciones, redes sociales o phishing.
2. El intercambio: se pone en contacto con tu operador haciéndose pasar por ti, o trabaja con un empleado corrupto, y pide que tu número se traslade a una nueva SIM.
3. Toma de control: tu teléfono pierde el servicio. El atacante solicita restablecimientos de contraseña y códigos SMS para tus cuentas de correo electrónico, de intercambio y bancarias.
4. Robo: cambia las contraseñas y retira fondos antes de que te des cuenta.

De 2018 a 2020, el centro de quejas del FBI recibió 320 denuncias de SIM swap con pérdidas de unos 12 millones de dólares. Solo en 2021 recibió 1.611, con pérdidas de más de 68 millones de dólares.

Figura: Las cuatro etapas de un ataque de SIM swap.

Empleados internos y eSIM

No todos los intercambios comienzan con una llamada telefónica convincente. Algunos delincuentes pagan a empleados de operadores o de tiendas para trasladar números, lo que evita por completo las preguntas de seguridad. La expansión de las eSIM, que pueden trasladarse digitalmente entre dispositivos, añade otra vía si el portal en línea del operador o su proceso de transferencia están poco protegidos. Ambos motivos justifican blindar la propia cuenta con tu operador, no solo tu teléfono.

Señales de alerta

• Tu teléfono muestra de repente “Sin servicio” o “Solo SOS” donde normalmente tiene cobertura.
• Recibes mensajes sobre un cambio de SIM o una transferencia de número que tú no solicitaste.
• Recibes correos de restablecimiento de contraseña que no pediste.

Si esto ocurre, contacta de inmediato con tu operador desde otro teléfono y luego asegura tu correo electrónico y tus cuentas financieras. Consulta cómo recuperar una cuenta cripto hackeada.

La primera hora tras una sospecha de swap

La rapidez importa, porque los atacantes suelen actuar en minutos tras tomar el número. Actúa de inmediato ante la primera señal de alerta.

1. Llama a tu operador desde otro teléfono y pídele que revierta el cambio y bloquee tu número. Si es posible, pide que te atienda el equipo de fraude o seguridad.
2. Asegura primero tu correo electrónico desde un dispositivo de confianza: cambia la contraseña, cierra todas las sesiones y revisa la configuración de recuperación por si hay cambios.
3. Blinda las cuentas de intercambio: cambia las contraseñas, congela los retiros si la plataforma lo ofrece y contacta con el soporte a través del sitio oficial.
4. Revisa la actividad reciente de las cuentas financieras y busca nuevas direcciones de retiro, claves API o reglas de reenvío en tu correo.
5. Denuncia el incidente a tu operador por escrito y a la policía; en Estados Unidos, el Centro de Quejas sobre Delitos en Internet del FBI (IC3) acepta denuncias en ic3.gov.

Protecciones del operador que vale la pena pedir

La mayoría de los operadores ofrecen alguna combinación de un PIN de portabilidad o de transferencia, que debe proporcionarse antes de que un número pueda trasladarse; una contraseña de cuenta necesaria para realizar cambios en tiendas o por teléfono; y la opción de bloquear el número para impedir cualquier transferencia. Los nombres varían según el operador y el país, así que pregunte específicamente qué impide que su número sea trasladado o que su SIM sea reemplazada sin su conocimiento. Anote el PIN y guárdelo en un lugar distinto de su teléfono. Algunos operadores también permiten añadir una nota a su cuenta que exija una verificación adicional para cualquier cambio, o enviar alertas por correo electrónico cuando se solicite un cambio de SIM. Activar estas opciones le da la oportunidad de reaccionar antes de que un atacante pueda usar su número, lo que a menudo marca la diferencia entre un susto y una pérdida.

Cómo prevenirlo

• Deje de usar SMS para la 2FA en cuentas de criptomonedas y de correo electrónico. Use una aplicación de autenticación, una llave de seguridad o una passkey. Consulte aplicación de autenticación vs. SMS.
• Añada un PIN de portabilidad o un bloqueo de cuenta con su operador móvil.
• Elimine su número de teléfono como método de recuperación siempre que sea posible.
• Limite los datos personales en línea, especialmente su número de teléfono y su fecha de nacimiento.
• Use una lista blanca de retiros en los exchanges para que un acceso robado no pueda enviar fondos a ningún destino. Consulte qué es una lista blanca de direcciones cripto.

Para más protecciones, lea cómo crear una rutina de seguridad para criptomonedas.

Este artículo es contenido educativo y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Los activos digitales son volátiles y podría perder el importe que invierta.

Preguntas frecuentes

¿Alguien puede hacer un SIM swap a mi número si uso una aplicación de autenticación?

Pueden seguir quedándose con su número de teléfono, pero no recibirán sus códigos de autenticación, que están en su dispositivo. El peligro proviene de las cuentas que todavía aceptan SMS para el inicio de sesión o la recuperación, así que eliminar su número de esos ajustes cierra la brecha.

¿Mi operador reembolsará las pérdidas causadas por un SIM swap?

Los operadores rara vez cubren las pérdidas de criptomonedas, y las transferencias en una blockchain no pueden revertirse. La prevención, bloqueando su número y dejando de depender de la seguridad basada en SMS, es mucho más eficaz que intentar recuperar fondos después.

Fuentes

• Aumento de los esquemas de intercambio de SIM por parte de delincuentes (320 denuncias y unos 12 millones de dólares en 2018–2020; 1.611 y más de 68 millones de dólares en 2021; precauciones) — FBI IC3, febrero de 2022
• FBI: 68 millones de dólares perdidos por ataques de intercambio de SIM en 2021 (los atacantes llaman a los operadores; eluden la MFA) — The Record