SIM swapping: Ataque en el que un delincuente logra que el número de la víctima se transfiera a una SIM o eSIM bajo su control, para recibir sus llamadas y sus códigos de verificación por SMS.
También conocido como: Duplicado de SIM, Secuestro de SIM, SIM swap
Puntos clave
- El SIM swapping pasa tu número a la SIM del atacante y desvía tus códigos por SMS.
- Suele empezar con ingeniería social o con alguien de dentro del operador, no hackeando tu teléfono.
- Señal de alerta: tu teléfono se queda sin servicio de golpe mientras otros cerca tienen señal.
- Prevención: PIN o bloqueo de portabilidad, menos datos personales públicos y factores que no sean SMS cuando se pueda.
- C Chat te deja entrar por SMS o por correo; proteger el número y el correo que usas es esencial.
Mucha gente cree que su número está a salvo porque el teléfono está en su bolsillo. El SIM swapping ni siquiera toca el teléfono: ocurre en el operador, y la primera señal suele ser que el teléfono deja de funcionar.
SIM swapping: definición sencilla
El SIM swapping es el robo de un número de teléfono. Los operadores mueven números a SIM nuevas todos los días, de forma legítima, cuando alguien pierde el teléfono, lo cambia o pasa a eSIM. Los atacantes abusan de ese proceso haciéndose pasar por ti, o sobornando a un empleado, para que tu número quede en una SIM suya.
Desde ese momento, cada SMS que llega a tu número, incluidos los códigos de un solo uso, aparece en su dispositivo.
Cómo funciona
El ataque suele seguir estos pasos:
- Reunir datos personales como nombre, número, dirección, fecha de nacimiento o PIN de la cuenta, muchas veces con ingeniería social, filtraciones de datos o perfiles públicos.
- Contactar al operador en tienda, por teléfono o en línea, haciéndose pasar por ti y alegando que perdiste o rompiste el teléfono.
- Activar el número en una SIM o eSIM nueva. Tu teléfono se queda sin red.
- Pedir restablecimientos o accesos por SMS en el correo, el banco y las apps de mensajería.
- Quedarse con esas cuentas antes de que te des cuenta y usarlas para estafar.
El paso 5 es un robo de cuentas. Muchas veces los atacantes envían antes mensajes de smishing o correos de phishing para conseguir los datos que necesitan en el paso 2.
Por qué importa en la mensajería de empresa
Las apps que dan acceso con un código por SMS están expuestas directamente: quien controla el número puede pedir un código nuevo. Para una empresa, el daño va más allá de una persona. Un atacante dentro del chat de trabajo puede leer grupos operativos, suplantar al empleado y pedir pagos o información a sus compañeros.
El personal operativo con teléfono propio suele ser el más expuesto, porque su cuenta con el operador rara vez tiene protección extra y su número circula mucho.
Qué relación tiene con C Chat
C Chat usa acceso sin contraseña: entras con un código enviado por SMS a tu número o por correo a tu dirección de email. Por eso la seguridad de tu cuenta de C Chat depende de la seguridad de ese número o de ese correo. El razonamiento y las ventajas y límites están en ¿es seguro iniciar sesión sin contraseña? y en registro sin contraseña.
Medidas prácticas para los equipos:
- Bloquear las líneas. Pide a cada persona que active un PIN o un bloqueo de portabilidad con su operador. Lleva unos minutos.
- Atención al «sin servicio». Si un teléfono pierde la señal de golpe, la persona debe llamar a su operador desde otro teléfono y avisar al administrador del equipo.
- Contener rápido. Propietarios y administradores pueden quitar del equipo a un miembro comprometido, sacándolo de sus grupos hasta que recupere el número, y luego volver a invitarlo.
- Avisar a los compañeros. Publica en el grupo correspondiente que, por ahora, los mensajes de esa cuenta pueden ser falsos.
- Denunciar a los impostores con bloquear y denunciar, y revisar después los grupos con la auditoría de administradores.
Comparte la seguridad básica en los teléfonos del personal en cada incorporación y usa cómo detectar phishing en apps de chat para enseñar los anzuelos que suelen preceder al robo del número.
Términos relacionados y confusiones comunes
- «Para esto hay que hackear el teléfono». No. Se ataca el proceso de atención al cliente del operador.
- «Solo les pasa a inversores de criptomonedas». Los objetivos de alto valor son habituales, pero cualquier cuenta con acceso por SMS resulta atractiva.
- «La autenticación de dos factores me protege». Solo si el segundo factor no es un SMS al número robado; mira la autenticación de dos factores.
Cómo empezar
Si tu equipo ya usa C Chat, añade hoy «activar el PIN del operador» a tu checklist de incorporación. Los equipos nuevos pueden empezar en getcchat.com/c, y el modelo completo de protección está en la página de seguridad.
Preguntas frecuentes
¿Cómo sé si me hicieron SIM swapping?
La señal más clara es que el teléfono pierde el servicio sin motivo y muestra «Sin SIM» o «Solo emergencias» mientras la gente a tu alrededor tiene señal. También pueden llegarte correos sobre un cambio de SIM o accesos que no hiciste. Llama a tu operador desde otro teléfono de inmediato.
¿Cómo evito el SIM swapping?
Pide a tu operador un PIN, una clave o un bloqueo de portabilidad en tu cuenta; no publiques tu número, tu fecha de nacimiento ni tu dirección; y, en tus cuentas más importantes, usa una app autenticadora o una passkey en lugar de SMS cuando sea posible.
¿También puede pasar con una eSIM?
Sí. El atacante solo tiene que pedir al operador que active tu número en una eSIM suya. La defensa es la misma: bloquear tu cuenta con el operador y limitar los datos personales que alguien podría usar para hacerse pasar por ti.
¿Qué debe hacer una empresa si a un empleado le roban el número?
Ayudarle a recuperarlo con el operador, quitar o suspender su acceso a las herramientas de trabajo hasta que vuelva a controlarlo y avisar a los compañeros de que, por un tiempo, los mensajes de esa persona pueden ser falsos. Revisa la actividad de los grupos en ese periodo.