SIM swapping: cómo duplican tu tarjeta SIM y cómo evitarlo

Si tu móvil se queda "Sin servicio" de golpe, sin que hayas cambiado de operador ni de tarjeta, y minutos después no puedes entrar en tu banca online, no es una avería. Es SIM swapping: alguien ha conseguido que tu operador active tu número en una SIM que no es la tuya. A partir de ahí recibe tus SMS de verificación y puede vaciar tus cuentas mientras tú sigues sin cobertura.

Qué es y a quién afecta

El SIM swapping (o duplicado fraudulento de SIM) consiste en que un estafador se hace pasar por ti ante tu compañía telefónica y pide un cambio de SIM o una portabilidad a otra operadora, alegando que ha perdido el móvil o la tarjeta está dañada. Si lo consigue, tu número —y con él, los SMS con códigos de verificación de tu banco, tu correo o tus apps de pago— pasa a su terminal.

No hace falta que hayas hecho nada mal ese día. El ataque se prepara antes, normalmente combinando:

• Datos personales obtenidos por phishing, smishing o filtraciones previas (DNI, nombre completo, dirección, número de línea).
• En algunos casos, un cómplice dentro de una tienda de telefonía o un fallo en la verificación de identidad del operador.
• A veces, ingeniería social pura por teléfono, haciéndose pasar por ti con datos que ya tienen.

Afecta especialmente a quien usa el SMS como único segundo factor de autenticación en banca, cripto o correo, y a mayores que llevan la misma línea desde hace años y son objetivo fácil de suplantación porque hay más datos suyos circulando en registros antiguos.

Señales de que te lo están haciendo

La ventana de actuación es corta, así que conviene reconocer los avisos:

• Tu móvil pierde cobertura total ("Sin servicio" o "Solo llamadas de emergencia") sin explicación, y no se soluciona reiniciando ni cambiando de zona.
• Recibes un SMS o email de tu operador confirmando una solicitud de cambio de SIM o portabilidad que tú no has pedido.
• Dejan de llegarte llamadas o WhatsApp aunque tengas wifi (WhatsApp deja de funcionar con normalidad porque también depende de la verificación por SMS en algunos flujos).
• Tu banco te envía una notificación por email (no por SMS, porque ese canal ya no es tuyo) avisando de un acceso o cambio de dispositivo.
• No puedes iniciar sesión en tu correo o en tu banca porque el código de verificación se ha enviado a un número que "ya no reconoces como tuyo".

Paso a paso: qué hacer si crees que te están duplicando la SIM

El paso 1 es el que marca la diferencia. Cada minuto que tu número está en manos ajenas es una ventana abierta para que reciban el SMS con el código que da acceso a tu cuenta.

Ejemplo real: el caso de Ramón

Ramón, 58 años, de Zaragoza, recibió un email unos días antes que parecía de su operador pidiéndole "verificar sus datos" tras una supuesta incidencia técnica. Rellenó nombre, DNI y número de línea. Tres días después, un domingo por la tarde, su móvil se quedó sin cobertura. No le dio importancia hasta que, dos horas más tarde, quiso pagar con Bizum en un restaurante y no pudo. Al llegar a casa, desde el wifi, comprobó que le habían transferido 4.100 € de su cuenta a otra a nombre de un tercero, en dos operaciones de 2.000 € y 2.100 € realizadas mientras su línea estaba duplicada. Llamó a su operador a primera hora del lunes, bloquearon la SIM fraudulenta, y presentó denuncia esa misma mañana. El banco tardó 45 días en resolver su reclamación y le devolvió el importe íntegro al considerar que no hubo negligencia grave por su parte, solo la respuesta a un phishing que imitaba con precisión las comunicaciones reales del operador.

Cuánto cuesta y qué recuperas

No hay un "coste" fijo del ataque en sí, pero sí de sus consecuencias:

• El importe sustraído, que puede ir desde unos cientos de euros hasta el límite operativo de tus tarjetas y líneas de crédito.
• El tiempo sin línea telefónica, que en la práctica te deja incomunicado y sin poder recibir códigos de verificación de ningún servicio.
• Los gastos de gestión si necesitas nueva SIM, cambio de número en garantía de algunos casos, o asesoría legal si el banco se resiste a devolver el dinero.

Sobre la devolución: el Real Decreto-ley 19/2018 y la normativa de servicios de pago (que traspone la PSD2) obligan al banco a devolver el importe de una operación no autorizada, salvo que demuestre negligencia grave por tu parte. Compartir un código OTP porque te lo pidieron por teléfono cuenta como negligencia; ser víctima de un duplicado de SIM sin haber entregado códigos de banca directamente suele jugar a tu favor en la reclamación.

Errores habituales

• Pensar que la falta de cobertura es un problema de la operadora y esperar "a ver si se soluciona solo" antes de llamar.
• Usar el SMS como único segundo factor en el banco cuando existe la opción de token físico, app de autenticación o notificación push.
• No poner un PIN o clave adicional en la cuenta con el operador para autorizar cambios de SIM o portabilidad.
• Compartir el número de línea y el DNI en formularios de dudosa procedencia, algo habitual en el smishing que suplanta a Correos, la Seguridad Social o el propio operador.
• Tardar más de 24 horas en denunciar, lo que complica después la reclamación al banco porque no hay constancia oficial rápida del fraude.

Cómo protegerte antes de que pase

• Activa en tu operador el bloqueo de cambio de SIM o portabilidad con clave adicional. Movistar, Vodafone, Orange y Yoigo lo tienen bajo nombres distintos: pregunta explícitamente por "verificación reforzada" o "PIN de portabilidad" en atención al cliente.
• En el banco, sustituye el SMS como segundo factor por una app de autenticación (Google Authenticator, la propia app del banco) siempre que esté disponible.
• No compartas tu DNI ni tu número de línea en respuesta a emails o SMS, aunque parezcan del operador: llama tú al número oficial que tengas guardado, nunca al que aparece en el mensaje.
• Revisa periódicamente que tu correo electrónico principal tenga verificación en dos pasos que no dependa solo del móvil.
• Si eres familiar de una persona mayor, revisad juntos si su línea tiene activado algún bloqueo de portabilidad; es la medida más eficaz y la que menos suele estar activada por desconocimiento.

Cuándo conviene un abogado o un profesional

Si el banco rechaza tu reclamación alegando negligencia grave y tú consideras que no la hubo, o si la cantidad sustraída supera los 3.000-4.000 €, merece la pena consultar con un abogado especializado en derecho bancario antes de aceptar la resolución del banco. También conviene asesoría legal si el fraude se combinó con apertura de créditos rápidos a tu nombre usando tu identidad duplicada, porque ahí entra en juego además la Ley de protección de datos y posible usurpación de identidad, que se denuncia aparte.

Nuestra recomendación en Vurnix: no esperes a sufrir un SIM swapping para actuar. Llama hoy mismo a tu operador y activa el bloqueo de cambio de SIM; es una llamada de cinco minutos que cierra la puerta de entrada más habitual de este fraude. El resto de medidas (verificación por app, cuidado con los datos que compartes) reducen el riesgo, pero el bloqueo en origen es lo único que impide que el ataque llegue a producirse.

Si ya te ha pasado, la sede electrónica de la Policía Nacional y la Guardia Civil permiten iniciar la denuncia online, y el Banco de España tiene un servicio de reclamaciones al que acudir si el banco no responde en el plazo legal de dos meses.