Ese código de seis dígitos que te llega por SMS parece algo privado, pero el canal que lo transporta nunca se diseñó pensando en seguridad. El Centro de Quejas de Delitos en Internet del FBI registró pérdidas superiores a 48 millones de dólares solo por casos de SIM swapping denunciados en Estados Unidos durante 2023, y esa cifra cuenta únicamente los casos reportados, lo que sugiere que el impacto real a escala mundial es aún mayor. Más en general, según una encuesta del Pew Research Center realizada en Estados Unidos, el 81% de los encuestados cree que los riesgos de que las empresas recopilen sus datos personales superan los beneficios, un malestar que también se refleja en lo fácil que resulta tratar un número de teléfono como si fuera una prueba sólida de identidad. Ninguna de las dos cifras mide directamente la interceptación de SMS, pero juntas describen el terreno en el que opera un número de teléfono secuestrado: dinero real perdido y una desconfianza generalizada hacia cómo se gestionan los datos.
Cómo se roba realmente un código de verificación
La verificación por SMS nunca se diseñó como protocolo de seguridad: se reutilizó un sistema de mensajería pensado para la comodidad, no para proteger transferencias bancarias. El ataque más común es el SIM swapping: alguien reúne suficientes datos personales, muchas veces extraídos de filtraciones, redes sociales o listados de corredores de datos, para convencer al soporte de tu operadora de que es el titular de la línea. Cuando esa historia cuela, el agente traslada tu número a una tarjeta SIM que controla el atacante. A partir de ese momento, cada SMS que te correspondía, incluidos los códigos de acceso, llega a sus manos en lugar de a las tuyas, y es posible que no lo notes hasta que tu propio teléfono se quede sin cobertura. Una segunda vía explota el SS7, el protocolo de señalización de décadas de antigüedad que enruta llamadas y mensajes entre operadoras de todo el mundo. Investigadores han demostrado repetidamente que sus fallos permiten interceptar mensajes de forma remota, sin tocar tu teléfono ni necesitar estar en el mismo país. Una tercera vía, más sencilla, es el phishing dirigido a un empleado de atención al cliente o, en casos más raros, el soborno a alguien con acceso a los controles de la cuenta. En todos los casos, el código SMS es tan seguro como el eslabón más débil entre tu operadora, su personal, la tienda que emite las tarjetas SIM y la red de telecomunicaciones global en la que nunca elegiste confiar.
Un número desviado, un titular bloqueado
Este es un escenario ilustrativo, no un caso documentado.
Alguien recibe un SMS extraño de su operadora confirmando la activación de una SIM que nunca solicitó. En pocos minutos su teléfono se queda sin señal. Cuando consigue pedir prestado el móvil de un vecino para llamar a soporte, el estafador ya ha disparado restablecimientos de contraseña en una app bancaria y en dos redes sociales, cada una protegida por un código SMS que ahora llega a una SIM clonada al otro lado de la ciudad. La espera en la línea de la operadora es de 40 minutos. El servicio antifraude del banco pide un código de verificación, el mismo tipo de código que el atacante ya usó para entrar, de modo que el propio mecanismo de seguridad acaba jugando en contra del titular real. Recuperar el control lleva tres días de llamadas, una nueva tarjeta SIM y un banco que acepta revertir una de las dos transferencias fraudulentas. La segunda se pierde para siempre, y las semanas siguientes se van en cambiar contraseñas de todo lo que estaba vinculado, aunque fuera de forma indirecta, a ese número.
Reducir lo que un número secuestrado puede desbloquear
No puedes hacer imposible la interceptación de SMS, porque la debilidad vive dentro de una infraestructura de telecomunicaciones que no controlas ni controlarás nunca. Lo que sí puedes hacer es reducir el daño que un número robado puede causar y poner trabas serias a un SIM swapping.
Saca las cuentas críticas del código por SMS
Allí donde el servicio lo permita, cambia la verificación en dos pasos de SMS a una aplicación autenticadora o a una llave de seguridad física. Banca, correo electrónico y almacenamiento en la nube deben ser la prioridad, porque son las cuentas que un atacante encadena en cuanto controla tu número; el correo en particular suele ser la llave maestra que abre todo lo demás a través de enlaces de restablecimiento de contraseña. Una app autenticadora genera códigos localmente en tu dispositivo, así que no hay nada viajando por la red de la operadora que alguien pueda interceptar, y una llave física va aún más lejos al exigir la posesión material del dispositivo.
Bloquea tu línea directamente con la operadora
Llama a tu operadora y solicita un PIN de portabilidad o una marca de ‘sin cambio de SIM sin identificación presencial’ en tu cuenta. La mayoría de las operadoras principales ofrecen alguna versión de esto, aunque casi nunca se activa por defecto ni se menciona de forma proactiva en atención al cliente. Este único paso cierra exactamente el resquicio que convierte una llamada de ingeniería social en un robo de cuenta completo, porque el personal de soporte queda obligado a verificar la identidad más allá de un nombre, una dirección y unas preguntas de seguridad adivinables.
Separa tu correo de recuperación de tu número de teléfono
Muchos procesos de recuperación de cuenta recurren al SMS cuando falla el método principal, lo que reintroduce en silencio el mismo eslabón débil que acabas de intentar eliminar. Usa un correo de recuperación dedicado que no esté vinculado a tu número y revisa la configuración de recuperación de cada cuenta importante por separado, sin asumir que heredó tu elección más segura de verificación en dos pasos: los valores por defecto suelen volver al número de teléfono registrado sin aviso.
Vigila las señales de alerta temprana
Un SMS inesperado de ‘SIM activada’, una pérdida repentina de cobertura sin explicación o alertas de inicio de sesión que no provocaste son los primeros indicios de un SIM swapping en curso. Trata cualquiera de estas señales como urgente: contacta a tu operadora de inmediato por chat web o desde otro teléfono, y empieza a congelar o vigilar tus cuentas financieras antes de que el atacante termine de recorrer tus demás accesos. Aquí los minutos importan mucho más de lo que parece.
Por qué una VPN centrada en privacidad y la vigilancia de filtraciones siguen importando
Una VPN no va a impedir un SIM swapping ni va a corregir las fallas de SS7, porque esos ataques ocurren dentro de la infraestructura de telecomunicaciones, no en tu conexión Wi-Fi. Lo que sí aborda es la etapa anterior y más silenciosa del problema: el rastro de datos que permite a un atacante construir un perfil lo bastante convincente como para engañar al soporte de tu operadora. Números de teléfono, direcciones y datos de cuentas se filtran a través de sesiones de navegación sin cifrar, rastreo de corredores de datos y redes Wi-Fi públicas inseguras, todo ello material en bruto para la ingeniería social que precede a un SIM swapping. Una VPN confiable cifra tu tráfico para que tus hábitos de navegación, inicios de sesión y ubicación no queden expuestos en redes que no controlas, lo que reduce el conjunto de detalles personales disponibles para quien está armando el relato de una solicitud fraudulenta de portabilidad. Combina eso con un servicio de vigilancia que avise cuando tu número de teléfono o correo aparezca en una filtración, y tendrás un sistema de alerta temprana en lugar de enterarte solo cuando tu teléfono se quede sin señal. Nada de esto sustituye el PIN de portabilidad a nivel de operadora ni la verificación en dos pasos por aplicación, pero elimina una de las materias primas que los atacantes usan para hacerse pasar por ti de forma convincente, que suele ser lo que decide si un intento de SIM swapping tiene éxito o es rechazado por un agente de soporte desconfiado. Piénsalo como reducir la tarea de investigación del atacante: cuanto menos pueda averiguar sobre ti a partir de datos filtrados y tráfico interceptado, más floja sonará su historia cuando finalmente llame a tu operadora haciéndose pasar por ti.
Numero eSIMenlace de afiliado
Un segundo número sin tarjeta SIM, en más de 80 países