Tu teléfono está en tu mano, tiene batería y parece funcionar correctamente.
Pero de repente pierde la señal.
No puedes llamar. No llegan mensajes SMS. Los datos móviles dejan de funcionar.
Poco después aparecen avisos de cambios en alguna de tus cuentas.
Una posible explicación es un problema normal del operador. Pero existe otra posibilidad que merece atención: alguien podría estar intentando apoderarse de tu número mediante un ataque conocido como SIM swapping.
Este fraude es especialmente peligroso porque el delincuente no necesita robar físicamente tu teléfono para intentar recibir llamadas y mensajes destinados a ti.
En esta guía veremos qué es el SIM swapping, cómo funciona, cuáles son sus señales, qué hacer si sospechas que está ocurriendo y cómo reducir el riesgo.
¿Qué es el SIM swapping?
El SIM swapping —también llamado SIM swap— es un ataque en el que un delincuente consigue vincular el número telefónico de la víctima a otra SIM o dispositivo que controla.
La FTC explica un escenario típico: el estafador se comunica con el operador móvil, afirma que el teléfono se perdió o se dañó y trata de convencerlo de activar otra SIM con el número de la víctima.
Si lo consigue, las llamadas y mensajes destinados a ese número pueden comenzar a llegar al dispositivo controlado por el atacante.
No es necesario robar tu celular
Esta es una diferencia fundamental respecto al robo físico de un smartphone.
En un SIM swap puedes continuar teniendo el teléfono en tu poder.
Lo que cambia de manos es el control del número telefónico.
Por eso nuestra guía sobre qué hacer si te roban o pierdes el celular y esta guía resuelven problemas relacionados, pero diferentes.
SIM swapping y port-out fraud: ¿son lo mismo?
Los conceptos están estrechamente relacionados, aunque técnicamente pueden describir procesos diferentes.
En un SIM swap, el número de la víctima se vincula fraudulentamente a otra SIM dentro del ecosistema del operador.
En el fraude de portabilidad o port-out fraud, un atacante puede hacerse pasar por la víctima para intentar transferir el número a una cuenta o proveedor bajo su control.
El resultado práctico para la víctima puede parecer similar: pierde el control de su número y el atacante comienza a recibir comunicaciones destinadas a él.
¿Cómo consigue un delincuente hacer un SIM swap?
No existe un único procedimiento.
Una parte importante del ataque consiste en superar los controles de identidad del operador.
Para intentarlo, el delincuente puede utilizar información obtenida mediante:
- phishing;
- filtraciones de datos;
- redes sociales;
- sitios de búsqueda de personas;
- ingeniería social;
- información comprada o robada;
- cuentas previamente comprometidas.
El objetivo es reunir suficiente información para hacerse pasar por el titular de la línea o aprovechar otras debilidades del proceso.
Por qué tus datos personales pueden facilitar el ataque
Nombre, dirección, teléfono, fecha de nacimiento y otros datos biográficos no deberían considerarse secretos fuertes.
Muchos pueden terminar expuestos mediante filtraciones, directorios o publicaciones públicas.
Si quieres reducir esa superficie de exposición, consulta nuestra guía sobre cómo proteger tu identidad digital y reducir datos personales en Internet.
¿Qué consigue el atacante al controlar tu número?
El número telefónico puede funcionar como una pieza de identidad dentro de numerosos servicios.
Si un atacante consigue controlarlo, podría intentar:
- recibir SMS destinados a ti;
- recibir llamadas;
- interceptar códigos enviados por SMS;
- iniciar recuperaciones de cuentas;
- restablecer determinadas contraseñas;
- hacerse pasar por ti;
- atacar cuentas financieras, correo o redes sociales.
El SIM swapping no concede automáticamente acceso a todas tus cuentas.
Para entrar en determinados servicios, el atacante todavía puede necesitar otros factores, como una contraseña.
Pero controlar tu número puede eliminar una barrera importante cuando un servicio utiliza SMS para autenticación o recuperación.
El problema de utilizar SMS como segundo factor
La autenticación en dos pasos sigue siendo mucho mejor que depender exclusivamente de una contraseña.
Pero no todos los segundos factores ofrecen la misma resistencia.
CISA clasifica SMS y voz como métodos vulnerables a ataques como phishing, SS7 y SIM swapping.
Por eso recomienda utilizar autenticación resistente al phishing, como FIDO/WebAuthn, cuando esté disponible.
En servicios que todavía no admitan esa opción, una aplicación autenticadora puede evitar específicamente que el código dependa de la recepción de un SMS, aunque los códigos de autenticador siguen pudiendo ser robados mediante phishing.
¿Las passkeys ayudan contra SIM swapping?
Sí, cuando el servicio utiliza correctamente una passkey como mecanismo de autenticación y no permite que el SMS siga funcionando como una vía débil equivalente de acceso o recuperación.
Una passkey no depende de recibir un código por SMS.
Los sistemas basados en FIDO también están diseñados para resistir phishing.
Esto no significa que una passkey proteja mágicamente todos los aspectos de tu número telefónico.
Significa que apoderarse de tu número no proporciona por sí mismo ese método de autenticación.
Puedes consultar las diferencias en nuestra guía de 2FA, MFA y passkeys.
Señales de un posible SIM swap
Una pérdida inesperada de servicio puede ser una de las primeras señales.
Presta atención especialmente si varias cosas ocurren juntas:
- el teléfono pierde llamadas, SMS y datos móviles sin explicación;
- el operador informa que una SIM fue activada;
- recibes avisos sobre cambios que no solicitaste;
- dejas de recibir códigos SMS;
- aparecen intentos de recuperación de cuentas;
- recibes notificaciones de accesos desconocidos;
- tu contraseña deja de funcionar en alguna cuenta.
Ninguna señal aislada demuestra necesariamente un SIM swap.
Una interrupción de servicio también puede deberse a cobertura, mantenimiento, configuración o una avería.
Lo importante es investigar rápidamente cuando la pérdida de servicio sea inesperada y coincida con actividad sospechosa.
Qué hacer si sospechas un SIM swap
El tiempo importa porque el atacante puede intentar utilizar el número para atacar otras cuentas.
Un orden práctico es:
- contactar al operador desde un canal confiable;
- recuperar el control del número;
- proteger el correo electrónico;
- revisar cuentas financieras;
- revisar otras cuentas que dependan del SMS;
- cambiar credenciales comprometidas;
- reforzar los métodos de autenticación.
Paso 1: contacta inmediatamente a tu operador
La FTC recomienda contactar al proveedor móvil de inmediato para recuperar el control del número.
Utiliza la aplicación oficial, el sitio oficial o información de contacto que ya sepas que pertenece a tu operador.
No utilices un número enviado en un mensaje sospechoso.
Explícale al operador que sospechas una transferencia o cambio de SIM no autorizado y pregunta qué cambios se realizaron en tu cuenta.
Paso 2: protege tu cuenta del operador
Recuperar el número no es suficiente si la cuenta del operador continúa vulnerable.
Después de recuperar el acceso:
- cambia la contraseña si pudo estar comprometida;
- configura un PIN o código de seguridad;
- activa MFA si el operador lo ofrece;
- revisa información de contacto y recuperación;
- pregunta por protecciones adicionales contra transferencias o portabilidad no autorizada.
CISA recomienda específicamente añadir un PIN y MFA a la cuenta del operador para reducir el riesgo de SIM swapping.
Paso 3: protege inmediatamente tu correo electrónico
El correo vuelve a ser una de las cuentas prioritarias.
Muchos servicios utilizan email para restablecer contraseñas o confirmar cambios.
Desde un dispositivo seguro:
- revisa sesiones abiertas;
- cierra las que no reconozcas;
- comprueba dispositivos conectados;
- revisa métodos de recuperación;
- busca reglas de reenvío que no hayas creado;
- cambia la contraseña si existe señal de compromiso.
Paso 4: revisa las cuentas que utilizan SMS
Haz una lista rápida de los servicios importantes que envían códigos a tu número.
Prioriza:
- banca;
- correo;
- cuentas de Apple o Google;
- gestor de contraseñas;
- redes sociales;
- servicios financieros;
- cuentas profesionales;
- plataformas con información sensible.
Busca cambios de contraseña, accesos nuevos o modificaciones de recuperación.
Paso 5: revisa tus cuentas financieras
La FTC recomienda comprobar tarjetas, cuentas bancarias y otros servicios financieros en busca de cargos o cambios no autorizados.
Si detectas actividad que no reconoces, contacta directamente a la institución mediante sus canales oficiales.
No esperes a recuperar absolutamente todas tus demás cuentas para informar de una operación financiera sospechosa.
Paso 6: cambia las contraseñas que realmente estén en riesgo
Prioriza las cuentas:
- comprometidas;
- con intentos de recuperación;
- con accesos desconocidos;
- que reutilicen la misma contraseña;
- que dependieran del número robado.
Utiliza contraseñas únicas y un gestor de contraseñas si necesitas administrar muchas credenciales.
Paso 7: reemplaza SMS por un método más fuerte cuando puedas
Después de recuperar las cuentas, revisa sus opciones de autenticación.
Una jerarquía práctica es:
- passkeys o llaves FIDO/WebAuthn cuando estén disponibles;
- aplicaciones autenticadoras cuando FIDO no sea una opción;
- SMS cuando el servicio no ofrezca una alternativa mejor.
No desactives MFA simplemente porque SMS tenga limitaciones.
Una segunda capa imperfecta puede seguir siendo preferible a utilizar únicamente una contraseña cuando no existe una alternativa más fuerte.
Revisa también los métodos de recuperación
Este punto suele olvidarse.
Puedes activar una passkey y seguir manteniendo el SMS como mecanismo alternativo de recuperación.
En ese caso, tu cuenta todavía podría conservar una ruta vulnerable.
CISA recomienda revisar y, cuando sea posible, deshabilitar métodos SMS menos seguros después de configurar alternativas más fuertes.
Cómo prevenir un SIM swap antes de que ocurra
No existe una medida individual que elimine completamente el riesgo.
La mejor estrategia combina seguridad del operador, reducción de información personal y autenticación fuerte.
1. Configura un PIN con tu operador
CISA y la FTC recomiendan añadir un PIN o contraseña a la cuenta celular.
Este PIN debe ser diferente de tu código de desbloqueo del teléfono.
2. Utiliza una contraseña única para la cuenta móvil
No reutilices la contraseña de tu operador en correo, redes sociales u otros servicios.
3. Activa MFA en la cuenta del operador
Si tu proveedor ofrece opciones adicionales de autenticación, actívalas.
4. Pregunta por bloqueos de portabilidad
Las funciones disponibles varían entre operadores.
Revisa si el tuyo ofrece controles específicos para impedir o dificultar cambios de SIM o transferencias de número no autorizadas.
5. Reduce la información personal pública
La FTC recomienda limitar la información personal compartida públicamente porque puede utilizarse para responder preguntas de verificación o facilitar la suplantación.
No publiques tu número personal si no existe una razón para hacerlo.
6. Desconfía del phishing
Un atacante puede intentar obtener la información necesaria antes de atacar al operador.
No respondas solicitudes inesperadas de información personal.
Si una empresa supuestamente necesita verificar algo, contacta tú mismo a la organización utilizando un canal conocido.
7. Migra las cuentas importantes fuera de SMS
Empieza por:
- correo principal;
- banca cuando ofrezca alternativas;
- cuentas Apple, Google o Microsoft;
- gestor de contraseñas;
- cuentas profesionales;
- servicios que almacenen información sensible.
¿Una aplicación autenticadora es inmune a todo?
No.
Una aplicación autenticadora evita específicamente que el código dependa de tu número telefónico.
Por eso un SIM swap no redirige automáticamente esos códigos al atacante.
Sin embargo, los códigos de un autenticador todavía pueden ser robados mediante una página de phishing que te convenza de introducirlos.
CISA considera FIDO/WebAuthn más resistente al phishing.
¿Y las llamadas de voz como segundo factor?
También dependen del número telefónico.
CISA agrupa SMS y voz entre los mecanismos susceptibles a SIM swap.
Si una cuenta crítica ofrece una alternativa más fuerte, úsala.
¿Un SIM swap permite leer mis mensajes antiguos?
No automáticamente.
Transferir el número permite recibir nuevas comunicaciones dirigidas a ese número, pero no equivale por sí mismo a obtener el contenido histórico almacenado físicamente en tu teléfono o en servicios protegidos por otras credenciales.
El riesgo aumenta si el atacante utiliza el número para conseguir acceso posterior a esas cuentas.
¿Un SIM swap permite entrar automáticamente a WhatsApp u otras aplicaciones?
No debería describirse de forma tan simple.
Cada servicio utiliza sus propios mecanismos de registro, recuperación y protección.
Controlar el número puede ayudar al atacante a superar verificaciones basadas en SMS, pero pueden existir PIN, contraseñas, dispositivos ya registrados u otras barreras.
Activa las protecciones adicionales que cada servicio ofrezca.
¿Cambiar de eSIM elimina el riesgo?
No.
El problema central no es exclusivamente la pequeña tarjeta física.
El ataque busca que el operador asocie tu número con un medio controlado por otra persona.
Utilizar eSIM puede cambiar algunos procedimientos técnicos, pero no elimina el riesgo de una transferencia fraudulenta de la línea.
SIM swapping después de una filtración de datos
Una filtración puede proporcionar información que facilite ataques posteriores de ingeniería social.
Si tu teléfono, correo u otros identificadores aparecieron en una brecha, eso no significa que sufrirás automáticamente un SIM swap.
Pero es una buena razón para revisar las protecciones de la cuenta móvil.
Consulta nuestra guía sobre cómo saber si tus datos fueron filtrados y qué hacer después.
Checklist de prevención
PIN en la cuenta móvil Dificulta cambios no autorizados
Contraseña única del operador Reduce el impacto de credenciales filtradas
MFA en la cuenta del operador Añade una barrera adicional
Bloqueo de portabilidad, si está disponible Dificulta transferencias fraudulentas
Passkeys/FIDO en cuentas críticas Reduce dependencia del número y resiste phishing
Aplicación autenticadora Evita depender del SMS para generar códigos
Menos datos personales públicos Dificulta determinados intentos de suplantación
Checklist si sospechas que ya ocurrió
- Contacta inmediatamente al operador.
- Recupera el control del número.
- Cambia la contraseña/PIN de la cuenta móvil.
- Protege tu correo principal.
- Revisa banca y tarjetas.
- Comprueba accesos y recuperaciones de cuentas.
- Cambia credenciales comprometidas.
- Migra desde SMS cuando exista una alternativa mejor.
- Guarda evidencia de cambios no autorizados.
- Reporta fraude o robo de identidad cuando corresponda.
La siguiente capa: recuperar una cuenta ya comprometida
SIM swapping, phishing, contraseñas filtradas y robo del teléfono pueden terminar en el mismo problema: alguien consigue entrar en una de tus cuentas.
Cuando eso ocurre, simplemente cambiar la contraseña puede no ser suficiente.
Hay que revisar sesiones, recuperación, dispositivos, reglas de correo, aplicaciones conectadas y otras vías que el atacante podría haber modificado.
En nuestra siguiente guía veremos qué hacer si hackearon una de tus cuentas y cómo recuperarla de forma segura.
Conclusión
El SIM swapping demuestra por qué un número telefónico no debería funcionar como la única llave de una identidad digital.
El atacante no necesita necesariamente robar tu celular.
Su objetivo es conseguir que las llamadas y mensajes destinados a ti lleguen a un dispositivo que controla.
Por eso la defensa comienza en dos lugares.
Primero, protege la cuenta de tu operador con contraseña única, PIN, MFA y las restricciones adicionales que estén disponibles.
Segundo, reduce la dependencia del SMS en tus cuentas más importantes.
Cuando puedas utilizar passkeys o FIDO/WebAuthn, tendrás una autenticación que no depende de recibir un código en tu número y que además está diseñada para resistir phishing.
Y si tu teléfono pierde inesperadamente el servicio mientras aparecen cambios de cuentas o avisos que no reconoces, no asumas que se trata simplemente de una falla de cobertura.
Contacta al operador desde un canal confiable y comprueba qué ocurrió.
Preguntas frecuentes sobre SIM swapping
¿Qué es un SIM swap?
Es un ataque mediante el cual un delincuente consigue vincular el número telefónico de una víctima a una SIM o dispositivo bajo su control.
¿Necesitan robar mi celular?
No. Puedes continuar teniendo físicamente el teléfono mientras pierdes el control del número.
¿Cómo sé si ocurrió?
Una pérdida inesperada del servicio combinada con avisos de cambios de SIM, recuperaciones de cuentas o accesos desconocidos puede ser una señal. Contacta al operador para confirmar qué ocurrió.
¿El SMS es inseguro?
SMS ofrece una segunda barrera frente a utilizar únicamente una contraseña, pero es vulnerable a SIM swapping y otros ataques. Para cuentas importantes, utiliza métodos más fuertes cuando estén disponibles.
¿Una aplicación autenticadora evita el SIM swapping?
No evita que alguien intente apropiarse de tu número, pero los códigos generados por la aplicación no dependen de recibir SMS y, por tanto, no se redirigen simplemente mediante el cambio de SIM.
¿Las passkeys protegen contra este ataque?
Las passkeys no dependen de SMS y FIDO está diseñado para resistir phishing. Sin embargo, debes revisar también los métodos alternativos de recuperación de la cuenta.
¿Debo poner un PIN a mi cuenta del operador?
Sí. Tanto CISA como la FTC recomiendan utilizar un PIN o código adicional en la cuenta móvil.
¿Qué hago si ya ocurrió?
Contacta inmediatamente al operador para recuperar el número y después protege correo, cuentas financieras y servicios que dependan de ese número.