Imagina que estás utilizando el móvil con normalidad y, de repente, desaparece la cobertura. No puedes llamar, recibir SMS ni utilizar los datos móviles. Puede ser una avería o un problema de la operadora, pero también puede ser una señal de SIM swapping.
Esta técnica consiste en conseguir que una operadora active un duplicado de tu tarjeta SIM para que el atacante pueda controlar tu número de teléfono. El problema no termina en las llamadas: si algunas de tus cuentas utilizan SMS para recuperar contraseñas o confirmar operaciones, el número de teléfono puede convertirse en una pieza clave para acceder a otros servicios.
Qué significa realmente SIM swapping
SIM swapping, también llamado duplicado fraudulento de SIM, es una técnica en la que un delincuente consigue que el número de teléfono de una víctima pase a estar asociado a otra tarjeta SIM.
El Banco de España explica que el fraude puede comenzar obteniendo datos personales mediante phishing, páginas falsas, llamadas, ingeniería social u otros medios. Posteriormente, esos datos pueden utilizarse para solicitar un duplicado de la SIM ante la operadora.
Cuando el duplicado se activa, la víctima puede perder la conexión de su línea mientras el atacante comienza a recibir comunicaciones dirigidas a ese número.
El verdadero peligro: la SIM puede ser solo el principio
El objetivo no suele ser simplemente poder realizar llamadas desde tu número. El valor está en todo lo que está conectado a él.
- Códigos de recuperación enviados mediante SMS.
- Códigos de un solo uso utilizados para determinadas operaciones.
- Restablecimiento de contraseñas de algunas cuentas.
- Mensajes relacionados con servicios financieros.
- Comunicaciones de recuperación de otras plataformas.
El Banco de España advierte de que, una vez conseguido el duplicado, los delincuentes pueden recibir SMS con códigos de un solo uso y utilizarlos, dependiendo del sistema de la entidad, para intentar restablecer credenciales o realizar operaciones fraudulentas.
Por eso el SIM swapping es especialmente peligroso: un único incidente sobre el número de teléfono puede utilizarse como paso intermedio para atacar otros servicios.
Cómo suele desarrollarse el fraude
Un SIM swapping no necesariamente empieza con el robo directo de la SIM. Antes puede existir una fase de recopilación de información.
| Fase | Qué puede ocurrir | Señal para la víctima |
|---|---|---|
| 1. Obtención de datos | Phishing, smishing, vishing o información pública | Mensajes o llamadas sospechosas |
| 2. Suplantación | El atacante intenta hacerse pasar por el titular | Comunicaciones inesperadas |
| 3. Duplicado | Se intenta asociar el número a otra SIM | Pérdida repentina de cobertura |
| 4. Recepción de SMS | El atacante recibe mensajes dirigidos al número | La víctima deja de recibirlos |
| 5. Ataque a cuentas | Se intentan recuperar o comprometer servicios | Avisos de inicio de sesión o cambios |
| 6. Fraude | Se realizan operaciones no autorizadas | Movimientos desconocidos |
La secuencia concreta puede variar. No todos los casos siguen exactamente los mismos pasos y perder cobertura no demuestra por sí solo que exista un SIM swapping.
La señal que no deberías ignorar: perder cobertura de repente
Una pérdida repentina e inexplicable de cobertura es una de las señales más importantes. La Policía Nacional explica que una víctima puede detectar el fraude porque su teléfono se queda de repente sin cobertura.
Sin embargo, también puede haber causas completamente legítimas: una avería de la operadora, una incidencia temporal, problemas de cobertura o una tarjeta SIM defectuosa. Por eso lo importante es comprobar rápidamente qué está ocurriendo.
Qué hacer si tu móvil se queda sin cobertura inesperadamente
Si la pérdida de cobertura aparece de forma repentina y no puedes explicar el motivo, no esperes varias horas para ver si se soluciona por sí sola.
- Comprueba si el problema afecta solo a tu teléfono. Reiniciar el dispositivo puede descartar una incidencia local, aunque no debes retrasar la actuación si la pérdida persiste.
- Contacta con tu operadora por un canal oficial. Pregunta si se ha solicitado o activado un duplicado de tu SIM.
- Comprueba tus cuentas bancarias. Busca operaciones que no reconozcas.
- Revisa el correo electrónico y las cuentas importantes. Comprueba si existen avisos de cambios de contraseña o nuevos accesos.
- Contacta con tu banco inmediatamente si aparece cualquier operación no autorizada.
- Conserva las pruebas y denuncia si existen indicios de fraude.
El Banco de España recomienda contactar inmediatamente con la compañía telefónica cuando se produce una pérdida repentina de cobertura y comprobar también los movimientos bancarios.
Un caso real ocurrido en España
El riesgo no es únicamente teórico. En octubre de 2023, la Policía Nacional informó de la desarticulación de un grupo criminal que combinaba SIM swapping, phishing y smishing para realizar estafas bancarias.
Según la investigación policial, el grupo obtenía acceso fraudulento a sistemas de operadores y realizaba duplicados de tarjetas SIM de clientes legítimos. Paralelamente utilizaba mensajes que dirigían a las víctimas a páginas falsas que imitaban a entidades bancarias. La Policía identificó víctimas en España, Marruecos y Lituania y cifró el perjuicio en más de 300.000 euros.
Este caso resulta especialmente relevante porque muestra cómo diferentes técnicas pueden combinarse: el phishing puede proporcionar información, el SIM swapping permite controlar el número y los mensajes fraudulentos pueden utilizarse para conseguir más credenciales.
Por qué depender demasiado de los SMS puede ser un problema
Los SMS no son inútiles. Siguen siendo utilizados por numerosos servicios y pueden ser mejores que no disponer de ninguna segunda capa de autenticación. El problema aparece cuando un usuario considera que recibir un código por SMS garantiza que nadie más pueda acceder a su cuenta.
Si el número ha sido transferido fraudulentamente a otra SIM, el código puede terminar en manos del atacante.
Por este motivo, el Banco de España recomienda considerar alternativas al SMS para la autenticación en dos pasos, como aplicaciones autenticadoras o llaves de seguridad.
Qué alternativas son más resistentes a este tipo de ataque
| Método | ¿Depende del número de teléfono? | Riesgo frente a SIM swapping |
|---|---|---|
| SMS | Sí | Puede verse afectado |
| Aplicación autenticadora | No necesariamente | Reduce la dependencia de la SIM |
| Llave de seguridad | No | Reduce considerablemente la dependencia del teléfono |
| Passkey | No necesariamente | Diseñada para resistir phishing |
La elección depende del servicio y de las opciones disponibles. Para cuentas especialmente importantes, utilizar un método de autenticación que no dependa exclusivamente del número de teléfono puede reducir el impacto de un SIM swapping.
Cómo reducir el riesgo antes de que ocurra
- No publiques innecesariamente tu número de teléfono en perfiles públicos.
- Protege tu correo electrónico, especialmente porque puede servir para recuperar otras cuentas.
- Utiliza contraseñas únicas para los servicios importantes.
- Activa MFA y, cuando sea posible, utiliza una aplicación autenticadora, passkey o llave de seguridad en lugar de depender exclusivamente del SMS.
- Desconfía de llamadas, SMS y correos que soliciten información personal.
- Revisa periódicamente tus cuentas bancarias para detectar movimientos desconocidos.
- Pregunta a tu operadora por las medidas de seguridad disponibles para proteger cambios o duplicados de SIM.
¿Una SIM con PIN evita el SIM swapping?
El PIN de la tarjeta SIM protege la tarjeta física frente a determinados usos no autorizados si alguien la extrae del teléfono, pero no impide que un atacante consiga fraudulentamente un duplicado mediante la operadora.
Por tanto, activar el PIN de la SIM sigue siendo una buena medida, pero no debe confundirse con una protección completa frente al SIM swapping.
Si ya has sido víctima: orden de actuación
Si confirmas que se ha producido un duplicado fraudulento, la prioridad es impedir que el atacante siga utilizando el número y proteger las cuentas que puedan depender de él.
- Contacta con la operadora y solicita que revierta el duplicado fraudulento y bloquee cualquier gestión no autorizada.
- Contacta con el banco mediante un canal oficial si existe cualquier operación sospechosa.
- Cambia las contraseñas de las cuentas críticas, empezando por el correo electrónico.
- Revoca sesiones y dispositivos desconocidos desde la configuración de seguridad de las cuentas.
- Comprueba los métodos de recuperación para asegurarte de que no han sido modificados.
- Guarda mensajes, correos, capturas y justificantes relacionados con el incidente.
- Presenta una denuncia si existe fraude o acceso no autorizado.
- Solicita ayuda especializada si no sabes qué cuentas pueden estar afectadas.
INCIBE dispone del servicio 017, gratuito y confidencial, para resolver consultas relacionadas con incidentes de ciberseguridad. El servicio está disponible todos los días del año de 8:00 a 23:00 y también ofrece atención por WhatsApp y Telegram.
Una regla sencilla para recordar
Si tu móvil pierde cobertura de repente sin una explicación clara, piensa primero en proteger tus cuentas y comprobar tu SIM.
No significa que cada pérdida de cobertura sea un fraude. Pero si coincide con avisos de cambios de contraseña, mensajes bancarios que no esperabas, correos de recuperación o movimientos desconocidos, la situación merece atención inmediata.
Conclusión
El SIM swapping es peligroso porque convierte un número de teléfono en una posible puerta de entrada a otros servicios. El atacante no necesita necesariamente empezar con acceso directo a tu banco: puede intentar conseguir información personal, hacerse con el control de tu línea y utilizar después los mecanismos de recuperación o autenticación que dependan de ella.
La mejor defensa consiste en reducir la cantidad de información personal que exponemos, proteger especialmente el correo electrónico y utilizar métodos de autenticación que no dependan exclusivamente de los SMS. Si la línea deja de funcionar de forma repentina y no existe una causa evidente, contactar con la operadora y revisar inmediatamente las cuentas puede limitar el daño.
El caso investigado por la Policía Nacional demuestra además que el SIM swapping puede combinarse con phishing y smishing. Por eso no debe tratarse como un problema aislado de telefonía, sino como parte de una cadena de fraude más amplia.
Fuentes oficiales
- Banco de España – Cómo proteger tu móvil contra un duplicado de la tarjeta SIM
- Banco de España – Casos reales de fraude y SIM swap
- Policía Nacional – Operación contra un grupo que combinaba SIM swapping, phishing y smishing
- INCIBE – Línea de Ayuda en Ciberseguridad 017
- Banco de España – Información y prevención frente al fraude
