El teléfono deja de tener cobertura sin una explicación clara. Poco después aparece un aviso de cambio de contraseña y, al revisar la cuenta bancaria desde otro dispositivo, hay una transferencia que nadie reconoce. Esta secuencia puede ser la señal de un SIM swapping, un fraude en el que un tercero consigue un duplicado de la tarjeta SIM de la víctima y pasa a controlar su número de teléfono. A partir de ahí puede recibir códigos SMS y utilizarlos para intentar recuperar cuentas o completar operaciones que dependan de ese canal de verificación.
Las claves del SIM swapping en 20 segundos
- El atacante suplanta a la víctima ante la operadora y consigue activar otra SIM con su número.
- La tarjeta legítima puede quedarse repentinamente sin cobertura, aunque el teléfono no tenga ningún malware.
- El objetivo suele ser aprovechar los SMS de recuperación o verificación de correo, redes y banca.
- Operadora y banco deben ser contactados cuanto antes.
- Sustituir el SMS por métodos de autenticación más resistentes reduce la exposición.
La Agencia Española de Protección de Datos (AEPD), el Instituto Nacional de Ciberseguridad (INCIBE) y la Policía Nacional llevan años alertando de esta técnica. La Policía explica que puede comenzar con campañas de phishing destinadas a conseguir información y credenciales para, posteriormente, solicitar el duplicado de la SIM suplantando la identidad de la víctima.
La pérdida de cobertura es precisamente una de las señales que mencionan los organismos oficiales. No significa que cada vez que desaparezcan las barras del móvil alguien esté robando una cuenta: normalmente será un problema de red, del terminal o de la propia tarjeta. La señal de alarma aparece cuando la pérdida inesperada del servicio coincide con cambios de contraseña, sesiones cerradas, avisos de acceso o movimientos financieros desconocidos.
No han hackeado necesariamente el móvil: han secuestrado el número
El SIM swapping resulta especialmente desconcertante porque el teléfono de la víctima puede estar perfectamente limpio.
No hace falta instalar un troyano ni obtener acceso remoto al dispositivo para ejecutar este fraude. El cambio fundamental se produce en la infraestructura de telecomunicaciones: el número pasa a estar asociado a otra SIM.
La AEPD describe el procedimiento de forma clara. Un tercero solicita fraudulentamente el duplicado y, una vez conseguido, puede recibir los SMS utilizados por servicios que permiten recuperar o verificar una cuenta mediante ese número.
El teléfono original permanece en manos de su propietario, pero deja de recibir llamadas y SMS porque su SIM ha quedado anulada.
Ahí aparece el verdadero problema: durante años el número de teléfono se ha utilizado como una especie de llave secundaria de la identidad digital.
Bancos, correos electrónicos, redes sociales y multitud de servicios han utilizado códigos de un solo uso enviados mediante SMS. Controlar el número no proporciona automáticamente acceso a todas esas cuentas, porque el atacante puede necesitar previamente otras credenciales o información. Sin embargo, puede eliminar una barrera que debería impedir precisamente el acceso de terceros.
La Policía Nacional describe este patrón en su Guía de Comercio Seguro: los delincuentes pueden obtener primero las credenciales bancarias mediante phishing y recurrir después al duplicado de la SIM para recibir los mensajes de seguridad necesarios para completar operaciones fraudulentas.
INCIBE ha documentado casos con una secuencia similar: obtención previa de datos mediante ingeniería social, solicitud del duplicado y posterior recepción de códigos de verificación.
Por eso conviene evitar una simplificación frecuente. Duplicar una SIM no significa que el delincuente pueda entrar mágicamente en cualquier cuenta. El fraude suele combinar varias piezas: información personal, credenciales obtenidas previamente, ingeniería social y un procedimiento de recuperación o autenticación que todavía confía en el SMS.
Qué hacer si el teléfono pierde cobertura y algo no encaja
Los primeros minutos importan porque el objetivo debería ser cortar la cadena antes de que el atacante continúe recuperando cuentas.
La primera llamada debería realizarse desde otro teléfono a la operadora. Hay que comprobar si se ha solicitado un duplicado, una eSIM o alguna modificación sobre la línea y, si existe una operación no autorizada, pedir que se bloquee y revierta.
Conviene además solicitar que quede constancia de la incidencia y de su hora.
Si existen movimientos bancarios sospechosos, el siguiente contacto debe ser la entidad financiera. Deben bloquearse los mecanismos comprometidos y comunicarse por escrito las operaciones que el cliente considere no autorizadas.
El correo electrónico merece atención inmediata porque suele funcionar como mecanismo de recuperación del resto de servicios. Una vez recuperado desde un dispositivo de confianza, hay que revisar contraseñas, sesiones abiertas, dispositivos autorizados, métodos de recuperación y posibles reglas de reenvío creadas por terceros.
Después toca conservar las pruebas.
Capturas, correos de recuperación, avisos del banco, comunicaciones con la operadora, movimientos bancarios y horas aproximadas de cada acontecimiento pueden ayudar posteriormente a reconstruir lo sucedido. La guía aportada por Perit Informàtic insiste precisamente en la importancia de crear una línea temporal entre la pérdida del servicio y las operaciones posteriores.
También debe denunciarse el fraude ante Policía Nacional o Guardia Civil. La propia AEPD recomienda contactar urgentemente con la compañía telefónica y, cuando el fraude se ha materializado, informar al banco y presentar denuncia.
¿Tiene el banco que devolver el dinero robado mediante SIM swapping?
Aquí conviene introducir matices porque la respuesta no puede reducirse a que el banco «siempre devuelve el dinero».
El Real Decreto-ley 19/2018 regula las operaciones de pago no autorizadas. Su artículo 44 establece que, cuando el usuario niega haber autorizado una operación, corresponde al proveedor de servicios de pago demostrar que fue autenticada, registrada correctamente y contabilizada. La norma añade que el simple registro de utilización del instrumento de pago no basta necesariamente para probar que el cliente autorizó la operación o actuó con fraude o negligencia grave.
El artículo 45 establece como regla general que, ante una operación no autorizada, el proveedor debe devolver el importe de inmediato y, como máximo, al final del siguiente día hábil después de observarla o recibir la notificación, salvo que existan motivos razonables para sospechar fraude y se comuniquen por escrito al Banco de España.
El propio Banco de España lo explica de forma similar: si el cliente no reconoce la autoría de una operación ni acepta haber incumplido sus obligaciones de custodia, la entidad debe reembolsar los fondos salvo que pueda acreditar actuación fraudulenta, incumplimiento deliberado o negligencia grave.
Eso no significa que cualquier reclamación termine automáticamente a favor del cliente.
El artículo 46 contempla supuestos en los que el usuario puede asumir pérdidas, especialmente si ha actuado fraudulentamente o ha incumplido deliberadamente o por negligencia grave determinadas obligaciones de seguridad.
De ahí la importancia de documentar qué ocurrió realmente.
La operadora también forma parte del problema
El SIM swapping tiene además una particularidad frente a muchos otros fraudes digitales: la cadena no depende exclusivamente del banco y de la víctima.
Para que exista un duplicado fraudulento alguien ha tenido que conseguir que una operadora acepte una solicitud realizada por quien no era el verdadero titular.
La AEPD ha estudiado específicamente este problema y señala que el fraude consiste precisamente en que un tercero ajeno al titular solicita a la compañía un duplicado que anula la SIM anterior y permite recibir los SMS asociados al número.
Determinar las responsabilidades concretas dependerá de cómo se realizó el duplicado, qué controles aplicó la compañía y qué evidencias existan. Por eso no puede afirmarse de antemano que cualquier SIM swapping implique automáticamente responsabilidad indemnizatoria de la operadora.
Sí existe, sin embargo, una cuestión de protección de datos cuando una identidad ha sido indebidamente utilizada y la compañía ha permitido una gestión sobre la línea sin verificar correctamente a su titular. La AEPD dispone de competencias para analizar estas situaciones y lleva años trabajando sobre el problema del duplicado fraudulento de tarjetas SIM.
El SMS se ha convertido en el eslabón incómodo
El SIM swapping deja otra enseñanza que va más allá del propio fraude.
Durante mucho tiempo recibir un código por SMS parecía una solución razonable para añadir una segunda capa de seguridad. Sigue siendo preferible en muchos escenarios a depender únicamente de una contraseña, pero vincula parte de la seguridad de una cuenta al procedimiento mediante el que la operadora protege el número telefónico.
Y ese procedimiento queda fuera del control directo del banco, del proveedor de correo y del propio usuario.
La AEPD ya señalaba que entidades financieras y grandes plataformas estaban adoptando alternativas a los códigos OTP (One-Time Password) enviados mediante SMS, entre ellas notificaciones dentro de aplicaciones instaladas en dispositivos previamente verificados.
Siempre que el servicio lo permita, las aplicaciones de autenticación, las passkeys o las llaves físicas de seguridad pueden reducir la dependencia del número telefónico.
También conviene revisar qué cuentas todavía utilizan el SMS como mecanismo de recuperación, especialmente el correo electrónico principal.
Porque la defensa frente al SIM swapping no consiste únicamente en impedir que alguien duplique una tarjeta. Consiste también en conseguir que controlar un número de teléfono ya no sea suficiente para provocar un efecto dominó sobre toda la identidad digital.
Perder cobertura durante unos minutos casi siempre tendrá una explicación mucho más aburrida. Pero si al corte de la línea le acompañan avisos de recuperación de cuentas, cambios que nadie ha solicitado o movimientos bancarios desconocidos, esperar a que «vuelva la señal» deja de ser una buena idea.
Preguntas frecuentes
¿Cómo saber si han duplicado una tarjeta SIM?
Una pérdida repentina e inexplicable de cobertura puede ser una señal, especialmente si coincide con SMS o correos sobre cambios no solicitados, accesos desconocidos o movimientos bancarios. La comprobación definitiva debe realizarse con la operadora.
¿Un SIM swapping significa que el móvil tiene un virus?
No necesariamente. En este fraude puede no existir ninguna infección del teléfono: el atacante consigue que el número sea asociado a otra SIM mediante una solicitud fraudulenta a la operadora.
¿Qué debe hacerse primero ante un posible SIM swapping?
Contactar inmediatamente con la operadora desde otro teléfono para comprobar y bloquear cualquier duplicado no autorizado. Si existen operaciones bancarias sospechosas, también hay que avisar sin demora al banco y posteriormente conservar evidencias y denunciar.
¿Es más seguro dejar de utilizar SMS como segundo factor?
Cuando el servicio ofrece alternativas, métodos como aplicaciones de autenticación, passkeys o llaves físicas evitan que el control del número telefónico permita recibir directamente los códigos SMS. La protección concreta depende también de cómo estén configurados los mecanismos de recuperación de cada cuenta.
