En resumen: El SIM swapping es una estafa en la que un delincuente convence a tu operadora de transferir tu número de teléfono a una SIM que él controla, secuestrando así todos los códigos de verificación que recibes por SMS. En España, casos documentados contra clientes de Orange España y otros operadores han provocado robos bancarios de hasta 50.000 euros en una sola operación. La solución existe, es gratuita y lleva menos de diez minutos: dejar de usar SMS como segundo factor de autenticación.
Duplicar una SIM es más fácil de lo que crees. Tras el caso Orange, te explicamos cómo detectar si te clonaron y blindar tus cuentas sin usar SMS.
Qué es el SIM swapping y por qué destroza cuentas bancarias
El SIM swapping es una estafa en la que un atacante suplanta tu identidad ante tu operadora para transferir tu número de teléfono a una SIM nueva que él controla. A partir de ese momento, todos los SMS que deberías recibir tú —incluidos los códigos de un solo uso que envía tu banco— llegan directamente al estafador.
El proceso no requiere hackear nada técnico. Basta con que el delincuente tenga algunos de tus datos personales —nombre, DNI, dirección— obtenidos en filtraciones o mediante phishing. Con esa información llama a la operadora haciéndose pasar por ti y solicita un duplicado de SIM, alegando pérdida o rotura del móvil.
Minutos después, tu teléfono pierde señal. El atacante ya tiene acceso a tu número. Y si tu banco usa SMS como segundo factor de autenticación (2FA), también tiene acceso a tu cuenta.
Cómo protegerte del SIM swapping paso a paso
Protegerse del SIM swapping requiere actuar en dos frentes: blindar tu cuenta con la operadora y eliminar el SMS como método de verificación bancaria. Estos son los pasos concretos, ordenados por urgencia.
- Activa el PIN o contraseña de gestión con tu operadora. Llama a tu operadora —Orange, Movistar, Vodafone, Yoigo— y solicita añadir una contraseña verbal o PIN para cualquier gestión de cuenta, incluidos duplicados de SIM. Sin esa clave, nadie puede hacer cambios aunque tenga tus datos personales.
- Descarga una app autenticadora. Instala Google Authenticator o Authy en tu móvil. Estas apps generan códigos de seis dígitos localmente, sin pasar por ninguna red de telefonía. Un atacante con tu número de teléfono no puede acceder a ellos.
- Cambia el 2FA de tu banco de SMS a app. Entra en la configuración de seguridad de tu banca online y sustituye la verificación por SMS por la app autenticadora. No todos los bancos españoles ofrecen esta opción todavía, pero muchos sí: revísalo en la sección de «seguridad» o «autenticación».
- Repite el proceso con email, redes sociales y servicios críticos. Gmail, Instagram, WhatsApp Business y cualquier servicio con acceso a datos sensibles deben usar también 2FA por app, no por SMS. WhatsApp personal permite activar un PIN de verificación en dos pasos desde Ajustes > Cuenta.
- Congela tu crédito o activa alertas bancarias inmediatas. Configura notificaciones push en tiempo real para cualquier movimiento en tu cuenta. Muchos bancos permiten fijar un umbral: por ejemplo, alerta para cualquier transacción superior a 0 euros. Cuanto antes detectes un movimiento extraño, más rápido puedes bloquearlo.
- Reduce tu huella de datos personales online. El atacante necesita tu DNI y datos para el duplicado. Revisa qué información tuya es pública en redes sociales y reduce la exposición: fecha de nacimiento, dirección, número de teléfono visible en perfiles.
Errores frecuentes que dejan la puerta abierta
El error más común es creer que el 2FA por SMS ya es suficiente protección. No lo es. El SMS como segundo factor fue diseñado como mejora respecto a solo usar contraseña, pero la industria de ciberseguridad lo considera hoy el método 2FA más débil disponible.
- Usar la misma contraseña en banco y email. Si el atacante accede al email, puede resetear la contraseña bancaria. Usa un gestor de contraseñas —Bitwarden es gratuito y de código abierto— para tener claves únicas en cada servicio.
- No guardar los códigos de recuperación de la app autenticadora. Si pierdes el móvil sin haberlos guardado, puedes quedarte bloqueado de tus propias cuentas. Guárdalos impresos en un lugar físico seguro.
- Ignorar avisos de cobertura perdida. Mucha gente asume que perder señal es un problema técnico temporal. Si tu móvil deja de tener cobertura de forma repentina y sin explicación, actúa de inmediato: llama a tu operadora desde otro teléfono.
- Aceptar llamadas de «soporte técnico» no solicitadas. Una táctica habitual es que el atacante te llame previamente fingiendo ser la operadora para obtener el último dato que le falta. Ninguna operadora legítima te pedirá tu PIN de cuenta por teléfono de forma inesperada.
Lo que necesitas saber antes de empezar
Este problema no es marginal ni técnico: afecta a usuarios normales con cuentas bancarias normales. Según datos del Instituto Nacional de Ciberseguridad (INCIBE), el fraude por suplantación de identidad —categoría que incluye el SIM swapping— figura entre las incidencias de ciberseguridad ciudadana más reportadas en España en los últimos ejercicios. El caso que circuló en Meneame y desencadenó la conversación actual involucraba a un cliente de Orange España que perdió una cantidad próxima a 50.000 euros tras un duplicado de SIM fraudulento.
El Banco de España reconoce en sus guías de seguridad que la autenticación reforzada es obligatoria bajo la normativa PSD2, pero la implementación varía entre entidades. Si tu banco solo ofrece SMS como 2FA, tienes derecho a exigirle alternativas más seguras o a plantearte si ese banco gestiona bien tu seguridad.
Para máxima protección, una llave física como YubiKey elimina cualquier dependencia del móvil. Cuesta entre 50 y 70 euros y es el estándar que usan periodistas, activistas y ejecutivos con alto riesgo de ser atacados. Para el 95% de usuarios, sin embargo, cambiar de SMS a una app autenticadora ya supone un salto de seguridad enorme.
La barrera para protegerse no es técnica ni económica: Google Authenticator y Authy son gratuitas y están disponibles en iOS y Android. La barrera es simplemente hacerlo hoy y no esperar a que el problema te toque.
—
Preguntas frecuentes sobre SIM swapping
¿Cómo sé si me han clonado la SIM?
La señal más clara es perder cobertura de golpe sin motivo aparente: tu móvil deja de funcionar como línea telefónica aunque tengas WiFi. Si eso ocurre, llama a tu operadora desde otro teléfono de inmediato para verificar si se ha tramitado un duplicado de SIM sin tu autorización.
¿Es suficiente el doble factor por SMS para proteger mi banco?
No. El 2FA por SMS es el método más vulnerable porque depende de tu número de teléfono, que puede ser secuestrado mediante SIM swapping. Las apps autenticadoras como Google Authenticator o Authy generan códigos locales que no pasan por tu SIM ni por ninguna red de telefonía.
¿Qué app autenticadora es mejor que los SMS?
Authy y Google Authenticator son las más usadas. Authy permite copia de seguridad cifrada en la nube —útil si cambias de móvil—, mientras que Google Authenticator es más minimalista y no almacena nada en servidores externos. Para máxima seguridad, una llave física como YubiKey elimina cualquier dependencia del dispositivo móvil.
¿Qué hacer si ya sufrí un SIM swapping?
Primero, llama a tu operadora para recuperar el número y anular el duplicado fraudulento. Después, cambia las contraseñas de banca y redes sociales desde un dispositivo seguro que no haya estado expuesto. Finalmente, presenta denuncia ante la Policía Nacional: en España el delito está tipificado y, según criterios del Banco de España, las entidades bancarias pueden estar obligadas a reembolsarte si existe negligencia demostrable por parte del operador.
Sigue leyendo
