Un ataque de intercambio de SIM no apunta directamente a una billetera cripto o cuenta de exchange. Apunta al número de teléfono que hay detrás de ellas. Al convencer a un operador móvil de transferir ese número a una tarjeta SIM que el atacante controla, todo lo que dependa de ese número para la identidad o verificación se vuelve alcanzable, incluidas cuentas bancarias, correo electrónico y cualquier cuenta de exchange que todavía use códigos basados en SMS como segundo factor de autenticación.
El Centro de Quejas por Delitos en Internet del FBI registró 982 quejas de intercambio de SIM en 2024 con pérdidas reportadas de casi veintiséis millones de dólares, aunque esa cifra subestima la verdadera escala, ya que el intercambio de SIM es típicamente el paso de acceso en un crimen mayor y el robo financiero resultante a menudo se registra en categorías separadas una vez que se mueven los fondos. En marzo de 2025, se ordenó a T-Mobile pagar treinta y tres millones de dólares en arbitraje después de que un solo intercambio de SIM permitiera a los atacantes vaciar la billetera de criptomonedas de un cliente, lo que ilustra lo catastrófico que puede ser un solo intercambio exitoso específicamente para un poseedor de criptomonedas.
Cómo se lleva a cabo el ataque
Reunir información sobre el objetivo
Antes de contactar a un operador, un atacante normalmente reúne suficiente información personal para suplantar de forma convincente a la víctima, a menudo obtenida de filtraciones de datos previas, actividad en redes sociales o phishing dirigido. Los indicadores públicos de que alguien posee criptomonedas significativas, discusiones en comunidades en línea, direcciones de billetera visibles o un perfil público vinculado al trading, pueden convertir a esa persona en un objetivo específico para este tipo de investigación.
Ingeniería social del operador o un infiltrado
Con suficiente detalle personal en mano, el atacante contacta al operador móvil de la víctima, afirma que la SIM original se perdió o se dañó, y solicita que el número se transfiera a una nueva tarjeta SIM en su posesión. Algunos casos documentados han involucrado a un empleado del operador sobornado o cómplice que completa la transferencia directamente, sin necesidad de manipular a un representante de soporte en absoluto, lo cual es parte de por qué los reguladores han presionado a los operadores para reforzar sus procedimientos internos de verificación para esta solicitud específica.
Tomar el control de cuentas a través del número robado
Una vez que el número está activo en el dispositivo del atacante, este puede interceptar los códigos de verificación por SMS y usarlos para restablecer contraseñas o aprobar intentos de inicio de sesión en cuentas de correo electrónico, exchange y billetera. El correo electrónico suele ser el primer objetivo, ya que una cuenta de correo comprometida frecuentemente permite más restablecimientos de contraseñas en todos los demás servicios vinculados a ella, creando una toma de control en cascada que puede alcanzar una cuenta de exchange de criptomonedas en cuestión de minutos desde el intercambio inicial.
La autenticación de dos factores basada en SMS es significativamente más débil que la basada en aplicación o en hardware específicamente porque el propio número de teléfono, no solo el dispositivo, se puede redirigir sin que la víctima lo sepa hasta que el servicio deja de funcionar de forma inesperada.
Intercambio de eSIM: una variante más reciente del mismo ataque
El auge de la tecnología eSIM, que almacena el perfil de un operador digitalmente en lugar de en una tarjeta física extraíble, ha introducido una versión más rápida del mismo ataque subyacente. En lugar de solicitar un reemplazo físico de la SIM, un atacante convence a un operador, o en algunos casos documentados manipula directamente la aplicación o el portal web de autoservicio de un operador, para transferir el perfil de eSIM a un nuevo dispositivo. Debido a que no es necesario enviar ni intercambiar en persona ninguna tarjeta física, una toma de control basada en eSIM puede completarse enteramente de forma remota y a menudo más rápido que un intercambio de SIM tradicional, a veces en cuestión de minutos desde que el atacante obtiene suficiente acceso a la cuenta. Este cambio ha llevado a algunos operadores a añadir verificación adicional específicamente para las transferencias de eSIM, aunque la adopción de esa protección adicional no es universal en todos los operadores y todos los tipos de plan.
Un escenario realista: de una filtración de un intermediario de datos a una cuenta de exchange vaciada
- Una filtración de datos anterior y no relacionada en un minorista en línea expone el nombre, la dirección particular, la fecha de nacimiento y los últimos cuatro dígitos de una tarjeta de pago de una víctima, todo lo cual más tarde se agrega y se vende en un mercado criminal.
- Un atacante compra estos datos y los combina con información pública de redes sociales para construir un perfil lo bastante convincente como para responder a las preguntas estándar de verificación de identidad de un operador móvil.
- El atacante contacta al operador a través de un chat en línea o una llamada telefónica, afirma que el teléfono original se perdió, y solicita con éxito que el número se transfiera a una nueva SIM o eSIM.
- En cuestión de minutos, el atacante usa el número secuestrado para recibir un código de restablecimiento de contraseña para la cuenta de correo electrónico de la víctima, y luego usa el correo comprometido para activar más restablecimientos de contraseña en una cuenta de exchange de criptomonedas.
- La autenticación de dos factores basada en SMS de la cuenta del exchange, vinculada al mismo número secuestrado, aprueba el inicio de sesión, y el atacante retira los fondos a una nueva billetera antes de que la víctima note que su teléfono ha perdido el servicio.
Cada paso de esta cadena depende de un fragmento de la identidad de la víctima que ya se había filtrado en otro lugar, meses o años antes, a través de una filtración completamente ajena a sus tenencias de criptomonedas. Esto es parte de por qué monitorear la exposición de datos personales importa incluso para alguien que nunca ha interactuado directamente con una estafa específica de criptomonedas.
Ataques de intercambio de SIM comparados con la toma de control de cuenta basada en phishing
La toma de control de cuenta basada en phishing generalmente requiere que la víctima participe activamente en su propio compromiso, introduciendo una contraseña o un código de un solo uso directamente en una página falsa. Un intercambio de SIM no requiere ninguna acción de la víctima en absoluto una vez que se ha convencido al operador de transferir el número. Esto hace que el intercambio de SIM sea considerablemente más difícil de prevenir para una persona solo con vigilancia, ya que no hay ningún correo fraudulento ni enlace sospechoso que una persona cautelosa pueda notar y evitar. La defensa, en cambio, tiene que ocurrir a nivel de la cuenta del operador y los métodos de autenticación vinculados a ella, en lugar de a nivel de un mensaje o clic individual.
Reconocer un ataque en curso
- Un teléfono pierde repentinamente todo el servicio celular, mostrando ninguna barra o un estado de solo llamadas de emergencia, sin una explicación clara como una interrupción conocida.
- Llegan correos inesperados de restablecimiento de contraseña o notificaciones de inicio de sesión para cuentas a las que usted no intentó acceder.
- Un operador confirma un cambio de SIM o una solicitud de transferencia de número que usted no inició.
- Es desconectado de una cuenta de correo electrónico, exchange o billetera sin advertencia.
Si un teléfono pierde el servicio de forma inesperada, la respuesta correcta es tratarlo como un probable intercambio de SIM en curso en lugar de un fallo técnico, y actuar rápido para asegurar las cuentas de correo electrónico y exchange desde otro dispositivo mientras se contacta directamente al operador. Esperar a ver si el servicio vuelve por sí solo le da al atacante más tiempo para completar una toma de control de cuenta.
Reducir la exposición antes de que ocurra un ataque
- Establezca un PIN o un requisito de verificación adicional directamente con su operador móvil para cualquier cambio de SIM o solicitud de portabilidad, un paso que CISA recomienda específicamente como defensa básica contra el intercambio de SIM.
- Aléjese de la verificación basada en SMS siempre que sea posible, sustituyéndola por una aplicación de autenticación o una llave de seguridad física para cuentas de correo electrónico, exchange y billetera.
- Evite vincular públicamente su identidad a tenencias de criptomonedas visibles, ya que esa visibilidad es parte de lo que hace que una persona específica valga el esfuerzo de un intercambio de SIM dirigido.
- Use una dirección de correo electrónico dedicada y difícil de adivinar para las cuentas de exchange que no se reutilice en otros servicios, limitando el daño en cascada si una cuenta se ve comprometida.
También vale la pena contactar a un operador móvil de forma proactiva, antes de que ocurra cualquier incidente, para preguntar específicamente sobre las protecciones disponibles en la cuenta.
- Si se puede establecer en la cuenta un PIN de portabilidad o cambio de SIM, separado de una contraseña de cuenta estándar, y si se aplica tanto a las solicitudes de transferencia de SIM física como de eSIM.
- Si el operador requiere verificación de identidad en persona en un local minorista para cualquier solicitud de transferencia de SIM o número, y si ese requisito se puede habilitar como una preferencia permanente de la cuenta.
- Si el operador envía una notificación independiente, como un correo electrónico a una dirección no vinculada al propio número de teléfono, cada vez que se solicita un cambio de SIM o número.
- Si se puede colocar un bloqueo temporal en la cuenta que impida cualquier cambio de SIM o número hasta que el titular de la cuenta lo levante manualmente en persona o a través de un canal separado verificado.
Una vez que una cuenta de exchange ya ha sido comprometida tras un intercambio de SIM, la respuesta pasa de la prevención a la contención y la recopilación de pruebas, lo cual se trata en detalle en nuestra guía sobre qué ocurre cuando se compromete una cuenta de exchange. La superposición entre estos dos temas es significativa, ya que un intercambio de SIM es con frecuencia el mecanismo específico detrás de una toma de control de cuenta de exchange en lugar de un evento separado y no relacionado.
Qué hacer después de recuperar el control de su número
- Contacte a su operador móvil para confirmar que la transferencia fraudulenta se revirtió por completo y pida un número de referencia del incidente por escrito para sus registros.
- Cambie la contraseña de cada cuenta que use el número de teléfono para verificación o recuperación, comenzando por el correo electrónico, ya que un correo comprometido es frecuentemente el punto de apoyo hacia todo lo demás.
- Revise el historial de inicio de sesión y los dispositivos conectados en sus cuentas de correo electrónico y exchange en busca de cualquier sesión que no coincida con su propia actividad, y revoque cualquiera que no reconozca.
- Presente un reporte ante su organismo nacional de denuncia de ciberdelitos y, si se vio afectada una cuenta de exchange de criptomonedas, siga los pasos específicos de reporte del exchange tratados en nuestra guía sobre el compromiso de cuentas de exchange.
Recuperar el propio número de teléfono es solo el primer paso. Cada cuenta que dependía de él para la verificación durante la ventana en que el atacante tuvo control debe tratarse como potencialmente expuesta, no solo la única cuenta que realmente fue vaciada.
Preguntas frecuentes
El objetivo subyacente es el mismo, secuestrar un número de teléfono, pero una transferencia de eSIM a menudo puede completarse enteramente de forma remota a través de los sistemas digitales de un operador, sin necesidad de enviar ni intercambiar físicamente una tarjeta, lo que puede hacerla más rápida y en algunos casos más difícil de detectar a tiempo para los sistemas antifraude de un operador.
Una vez que un número se transfiere con éxito, un atacante con conocimiento previo de las cuentas del objetivo a menudo puede completar restablecimientos de contraseña y vaciar una cuenta de exchange en cuestión de minutos, por lo que reconocer rápidamente la pérdida del servicio celular importa más que casi cualquier otra señal de advertencia.
Un PIN de operador aumenta significativamente la dificultad de un intercambio exitoso y CISA lo recomienda como protección básica, pero no es absoluto, ya que tanto los intercambios asistidos por infiltrados como la ingeniería social suficientemente convincente se han documentado eludiendo los requisitos de PIN en algunos casos.
Sí, de forma significativa. Una aplicación de autenticación o una llave de hardware está vinculada a un dispositivo específico en lugar de a un número de teléfono, por lo que no se puede redirigir mediante una transferencia de SIM a nivel del operador, eliminando la vía de ataque específica de la que depende un intercambio de SIM.
Use inmediatamente otro dispositivo o una línea fija para contactar a su operador móvil y reportar la transferencia no autorizada, y al mismo tiempo intente asegurar su correo electrónico y cualquier cuenta de exchange desde ese otro dispositivo antes de que el atacante pueda completar más restablecimientos de contraseña.
Fuentes y lecturas adicionales
- Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public · FBI Internet Crime Complaint Center (IC3)
- Mobile Communications Best Practice Guidance · Cybersecurity and Infrastructure Security Agency (CISA)
- SIM Swap Scam Statistics 2025: $26M Lost & Rising Threats · DeepStrike