SIM swapping: cómo funciona y cómo proteger sus cripto

Un ataque de SIM swapping (duplicado de SIM) se produce cuando un delincuente convence a su operador móvil de trasladar su número de teléfono a una tarjeta SIM que él controla. Desde ese momento, sus llamadas y SMS, incluidos los enlaces para restablecer contraseñas y los códigos de inicio de sesión por SMS, llegan al atacante, que los usa para entrar en sus cuentas de correo, de exchange y bancarias.

Los poseedores de cripto son un objetivo predilecto porque las monedas robadas se mueven rápido y son difíciles de recuperar. Esta guía explica cómo funcionan los SIM swaps, lo habituales que son, dos casos judiciales que muestran el patrón, qué ha hecho la Federal Communications Commission (FCC) de EE. UU. al respecto y los pasos que realmente le protegen.

Qué es un SIM swap

La FCC define el SIM swapping como el hecho de que un actor malicioso convenza «al operador inalámbrico de una víctima para que transfiera el servicio de la víctima desde su teléfono móvil a un teléfono móvil en posesión del actor malicioso». Una variante cercana es el fraude de portabilidad (port-out fraud): el atacante abre una cuenta con otro operador a nombre de la víctima y hace que el número se transfiera, o «porte», a ella (nota de prensa de la FCC, 15 de noviembre de 2023).

En ambos casos, el atacante nunca necesita tocar su teléfono. Solo necesita que su operador crea que es usted, o un empleado del operador dispuesto a ayudarle.

Cómo funciona un ataque de SIM swap

El FBI describe tres vías de acceso al operador (FBI IC3, febrero de 2022):

• Ingeniería social. El delincuente se hace pasar por la víctima y convence al operador para que pase el número a una nueva SIM. La FCC señala que los estafadores obtienen los datos necesarios de las redes sociales o los compran a hackers: dirección, fecha de nacimiento, PIN o contraseñas de la cuenta y los cuatro últimos dígitos de un número de la seguridad social estadounidense (Social Security number).
• Ayuda interna. El delincuente paga a un empleado del operador para que haga el cambio.
• Phishing al personal del operador. Se engaña a empleados para que instalen malware que permite al atacante realizar los cambios directamente.

Una vez trasladado el número, el ataque es una carrera. El delincuente envía solicitudes de «He olvidado mi contraseña» a todas las cuentas vinculadas al número, recibe por SMS los enlaces de restablecimiento y los códigos de un solo uso, y deja fuera al titular. La FCC describe cómo el atacante intenta restablecer «tantas cuentas financieras y de redes sociales de la víctima como sea posible antes de que la víctima se dé cuenta de que ha perdido el servicio».

El FBI advierte también de dos variantes más sutiles: el desvío de llamadas y el timbre simultáneo, en las que el delincuente consigue que el operador desvíe las llamadas o haga sonar un segundo teléfono, lo que también puede burlar la verificación telefónica (FBI IC3, abril de 2024).

Con qué frecuencia se producen los ataques de SIM swap

Las cifras públicas más detalladas proceden de los datos de denuncias del FBI. De enero de 2018 a diciembre de 2020, el IC3 recibió 320 denuncias por SIM swap con pérdidas ajustadas de unos 12 millones de dólares. Solo en 2021 recibió 1.611 denuncias con pérdidas ajustadas de más de 68 millones de dólares. La advertencia del FBI en aquel momento se refería específicamente a delincuentes que usaban SIM swaps para robar de «cuentas en moneda fiat y moneda virtual».

Los datos de denuncias solo recogen lo que las víctimas comunican, así que conviene tomarlos como un mínimo y no como un recuento completo.

Casos destacados de SIM swap

Dos procesos recientes en EE. UU. muestran cómo se usa el ataque en la práctica:

• La cuenta de X de la SEC (enero de 2024). Unos atacantes tomaron el control de la cuenta en X de la Securities and Exchange Commission de EE. UU. y anunciaron falsamente que se habían aprobado los fondos cotizados (ETF) de Bitcoin. Según el Departamento de Justicia, Eric Council Jr. realizó el SIM swap imprimiendo un documento de identidad falso con los datos personales de la víctima y usándolo para hacerse con su número de teléfono. Bitcoin subió más de 1.000 $ tras la publicación falsa y luego cayó más de 2.000 $ tras la corrección. Council fue condenado el 16 de mayo de 2025 a 14 meses de prisión (US Department of Justice).
• Robos de cripto vinculados a Scattered Spider. Noah Michael Urban, de Palm Coast (Florida), fue condenado el 21 de agosto de 2025 a 10 años de prisión federal. Según la fiscalía, de agosto de 2022 a marzo de 2023 robó criptomonedas a al menos 59 víctimas mediante SIM swaps, con pérdidas totales superiores a 13 millones de dólares. Se le ordenó pagar 13 millones de dólares en concepto de restitución (US Attorney's Office, Middle District of Florida).

El caso de la SEC recuerda que ser una organización grande y con recursos no sirve de nada si un número de teléfono es el eslabón débil.

Qué exigen las normas de la FCC

El 15 de noviembre de 2023, la FCC aprobó normas contra el SIM swap y el fraude de portabilidad. Obligan a los operadores inalámbricos a usar métodos seguros para autenticar a los clientes antes de trasladar un número a un nuevo dispositivo u operador, a notificar de inmediato a los clientes cuando se solicita un cambio de SIM o una portabilidad, y a adoptar otras medidas contra este fraude.

La situación jurídica tiene más matices de lo que sugieren muchos artículos. Las normas se publicaron en el Federal Register el 8 de diciembre de 2023, pero las disposiciones que implican recopilación de información, incluidos los requisitos de notificación a clientes, se aplazaron hasta que la FCC anunciara una fecha de entrada en vigor (Federal Register). A 7 de octubre de 2026, la sección de las normas sobre cambio de SIM, 47 CFR 64.2010(h), sigue mostrando los apartados de notificación como «reserved» y establece que su cumplimiento «no será exigible hasta que este apartado se elimine o contenga una fecha de cumplimiento» (eCFR). Ese texto prohíbe además a los operadores autenticar cambios de SIM con información biográfica o de cuenta fácilmente accesible.

En la práctica, los operadores ya ofrecen PIN de cuenta y bloqueos de SIM o de portabilidad. No espere a la regulación para activarlos.

Cómo protegerse de un SIM swap

No puede impedir que los delincuentes le elijan como objetivo, pero sí puede hacer que un número de teléfono secuestrado no les sirva de nada:

1. Bloquee su cuenta móvil. Configure un PIN o clave de cuenta con su operador y pídale que bloquee los cambios de SIM y las transferencias de número salvo que usted mismo levante el bloqueo. El FBI también recomienda pedir al operador que desactive el desvío de llamadas y el timbre simultáneo.
2. Elimine el SMS como método de inicio de sesión o recuperación en exchanges, correo y gestores de contraseñas. Las directrices del NIST, organismo del Gobierno de EE. UU., clasifican los códigos por SMS y por voz como autenticadores «restringidos» (NIST SP 800-63B-4).
3. Use passkeys o una llave de seguridad física. La CISA señala que los ataques de SIM swap no se aplican a la autenticación FIDO/WebAuthn, que califica como la referencia de oro (CISA). Una app de autenticación es la siguiente mejor opción.
4. Proteja primero su correo electrónico. Su cuenta de correo permite restablecer todo lo demás, así que dele la máxima protección.
5. Mantenga en privado sus tenencias. El primer consejo del FBI es no presumir de tener cripto en redes sociales o foros. Los atacantes eligen objetivos que parecen merecer el esfuerzo.
6. Ponga una contraseña única al buzón de voz y limite los datos personales que publica.

Guardar sus cripto a largo plazo en una wallet no custodial también ayuda, porque una wallet de autocustodia se controla con una clave privada y no con un número de teléfono. Así, el riesgo pasa a ser la protección de su frase semilla (seed phrase), que nunca debe guardarse en las notas, las fotos ni la copia de seguridad en la nube de su teléfono.

Señales de alerta y qué hacer

Según la FCC, la primera señal suele ser que el teléfono se queda sin servicio o solo permite llamadas de emergencia. Otras pistas son SMS sobre un cambio de SIM que usted no solicitó, o alertas de inicio de sesión que llegan mientras su teléfono no tiene cobertura.

Si sospecha un SIM swap, el FBI y la FCC aconsejan:

1. Contactar de inmediato con su operador desde otro teléfono para recuperar el control del número.
2. Cambiar las contraseñas de su correo y de sus cuentas financieras, empezando por el correo.
3. Contactar con sus exchanges y bancos y pedirles que congelen las retiradas y marquen los inicios de sesión sospechosos.
4. Denunciarlo ante la policía local y, en EE. UU., ante el FBI en ic3.gov. También puede presentar una queja ante la FCC, que sugiere colocar una alerta de fraude en sus informes de crédito.

Un SIM swap suele ser el primer paso de una toma de control de cuentas más amplia, así que revise todas las cuentas que usaban su número de teléfono, no solo aquella en la que detectó el problema.

Preguntas frecuentes

¿Qué es un ataque de SIM swap?

Es una estafa en la que un delincuente convence a su operador móvil de trasladar su número de teléfono a una tarjeta SIM que él controla. Después recibe sus llamadas y SMS, incluidos los códigos de inicio de sesión por SMS y los enlaces para restablecer contraseñas, y los usa para hacerse con sus cuentas.

¿Cómo sé si he sufrido un SIM swap?

La señal más habitual es que su teléfono pierda de repente el servicio o solo permita llamadas de emergencia. También puede recibir un aviso sobre un cambio de SIM que no solicitó, o alertas de inicio de sesión y de restablecimiento de contraseña que usted no provocó.

¿Puede un SIM swap robar cripto de una hardware wallet?

No directamente. Una hardware wallet u otra wallet de autocustodia se controla con una clave privada, no con un número de teléfono. El riesgo afecta a las cuentas de exchange y de correo que usan códigos SMS, y a cualquier frase semilla que haya guardado en el teléfono o en copias de seguridad en la nube.

¿Protege una app de autenticación frente a los SIM swaps?

Sí, frente al SIM swap en sí, porque los códigos de la app no se envían por la red telefónica. Las passkeys y las llaves de seguridad físicas van más allá, porque también resisten el phishing.

¿Están obligados por ley los operadores a impedir los SIM swaps?

La FCC aprobó en noviembre de 2023 normas que exigen una autenticación segura antes de los cambios de SIM y notificaciones inmediatas a los clientes. A 7 de octubre de 2026, el texto de la normativa federal indica que el cumplimiento de la sección sobre cambio de SIM aún no es exigible hasta que se fije una fecha de cumplimiento, así que compruebe qué protecciones ofrece su operador.

Siga leyendo

• Fraude por toma de control de cuentas en cripto
• Guía de autocustodia de cripto
• ¿Qué es una frase semilla?
• Estafas cripto en 2026
• Hot wallet vs cold wallet

Este artículo es educativo y no constituye asesoramiento jurídico, de seguridad ni financiero. Las cifras de denuncias proceden del aviso I-020822-PSA del FBI IC3 (febrero de 2022); los detalles de los casos, de comunicados del Departamento de Justicia de EE. UU. del 16 de mayo de 2025 y del 21 de agosto de 2025; la situación del 47 CFR 64.2010(h) se comprobó con el texto del eCFR vigente el 7 de octubre de 2026. Fuentes comprobadas el 9 de octubre de 2026.