En 2023, un emprendedor colombiano perdió acceso a su cuenta de Instagram con 80,000 seguidores y a su cuenta bancaria digital en el mismo fin de semana. El atacante no hackeó ningún sistema. No usó malware ni ninguna vulnerabilidad técnica sofisticada. Llamó a la operadora de telefonía móvil, se hizo pasar por la víctima usando información personal recopilada de redes sociales, y convenció al agente de atención al cliente de transferir el número de teléfono a una SIM diferente que el atacante controlaba.
Eso es un ataque de SIM swap. Y en América Latina, es uno de los vectores de fraude de más rápido crecimiento en los últimos tres años.
TL;DR: El SIM swap ocurre cuando un atacante convence a tu operadora de transferir tu número a una SIM que controla. Una vez que tiene tu número, puede solicitar recuperación de contraseña en cualquier servicio que use SMS como 2FA. Los números virtuales para verificaciones online no tienen SIM física que se pueda secuestrar, lo que elimina este vector de ataque para esas cuentas específicas.
Cómo funciona un ataque de SIM swap
El ataque sigue un patrón predecible que los investigadores de seguridad han documentado en detalle. Entender cada paso ayuda a identificar los puntos débiles y las defensas efectivas:
1. Recopilación de información sobre la víctima. El atacante reúne datos personales: nombre completo, documento de identidad, dirección, fecha de nacimiento, y ocasionalmente información sobre el plan telefónico. Mucha de esta información está disponible en redes sociales (Instagram, LinkedIn, Facebook), en bases de datos filtradas disponibles en la dark web, o mediante ingeniería social directa — llamadas telefónicas pretextando ser un banco o empresa de servicios.
2. Contacto con la operadora. El atacante llama al servicio al cliente de la operadora móvil o visita una sucursal física con documentos falsificados o información personal suficiente para pasar las preguntas de verificación básicas. Se hace pasar por la víctima y solicita una “portabilidad” o “reposición de SIM” argumentando que perdió el chip, que el teléfono fue robado, o que necesita cambiar a un formato diferente de SIM.
3. Transferencia del número. Si el agente de atención es convencido — y en LATAM, los estándares de verificación de identidad en muchas operadoras son sorprendentemente bajos — transfiere el número a la SIM del atacante. Desde ese momento, el número ya no funciona en el teléfono de la víctima y empieza a funcionar en el teléfono del atacante.
4. Toma de cuentas en cadena. Con el número en su poder, el atacante actúa rápidamente: solicita recuperación de contraseña en Gmail, WhatsApp, Instagram, LinkedIn, banca móvil, exchanges de cripto — cualquier cuenta que use ese número como factor de autenticación por SMS. Los OTPs llegan a su teléfono, no al tuyo. Las contraseñas se cambian en minutos.
5. Daño financiero y reputacional. En cuestión de horas o incluso minutos, puede cambiar contraseñas, vaciar billeteras cripto, tomar control de cuentas de redes sociales con audiencias valiosas, autorizar transferencias bancarias, o vender el acceso a las cuentas robadas a terceros.
La velocidad es parte del modelo del ataque: el atacante sabe que la víctima pronto se dará cuenta de que su teléfono perdió señal y contactará a la operadora. La ventana de acción es de minutos a pocas horas.
El panorama específico en América Latina
El SIM swap es un problema global, pero en LATAM tiene características particulares que lo hacen especialmente prevalente y difícil de combatir:
Corrupción interna en operadoras. En varios países de la región, empleados de empresas de telecomunicaciones han sido arrestados por participar activamente en esquemas de SIM swap, facilitando transferencias fraudulentas a cambio de pagos en efectivo o un porcentaje del robo. Esto convierte el ataque en un problema más profundo que simplemente capacitar mejor a los agentes de atención al cliente.
Estándares de verificación inconsistentes. La validación de identidad al solicitar una reposición de SIM varía enormemente entre operadoras, entre sucursales de la misma operadora, y entre distintos agentes de atención al cliente. Algunos sistemas solo piden el número de documento y el nombre, información que cualquier atacante con búsqueda básica puede obtener.
Concentración de activos digitales. Los emprendedores digitales, creadores de contenido con cuentas monetizadas, traders de cripto, y personas con cuentas bancarias digitales concentran activos valiosos vinculados a un solo número de teléfono. Son objetivos especialmente atractivos porque el botín potencial justifica el esfuerzo del ataque.
Crecimiento acelerado del ecosistema cripto. A medida que más personas en LATAM adoptan criptomonedas — impulsado por la inflación, la inestabilidad monetaria, y el acceso a remesas — aumentan los ataques dirigidos a robar wallets mediante SIM swap. Los cripto robados son prácticamente irrecuperables, a diferencia de las transferencias bancarias que tienen procesos de reversión.
Marco legal insuficiente. La legislación sobre fraude digital y responsabilidad de las operadoras en casos de SIM swap varía significativamente entre países de LATAM. En muchos casos, las víctimas tienen recursos limitados para recuperar lo robado o para hacer responsables a las operadoras por su negligencia en el proceso de verificación.
Por qué el SMS como segundo factor es problemático por diseño
La autenticación de dos factores por SMS se adoptó masivamente porque era conveniente y universalmente accesible — no requería app adicional ni dispositivo especial, cualquier teléfono podía recibirlo. Pero el SMS nunca fue diseñado con seguridad como prioridad.
La vulnerabilidad del SS7. Las redes de telefonía global usan un protocolo de señalización llamado SS7 (Signaling System 7), diseñado en los años 70 cuando la telefonía era un sistema cerrado confiado. Ese protocolo puede ser explotado por actores sofisticados para interceptar SMS en tránsito, redirigir llamadas, y rastrear la ubicación de teléfonos. Esta vulnerabilidad es estructural y no tiene una solución simple a corto plazo.
El factor humano como punto más débil. El SIM swap explota no una vulnerabilidad técnica sino una humana: el agente de atención al cliente que puede ser engañado con información personal básica, que puede estar bajo presión de cumplir métricas de tiempo de atención, o que puede estar directamente sobornado. Los sistemas técnicos pueden ser robustos, pero los procesos que dependen de humanos tienen siempre este punto débil.
Recomendaciones de organismos de seguridad. Por estas razones, organizaciones como NIST (el Instituto Nacional de Estándares y Tecnología de EE.UU.) llevan años desaconsejando el uso del 2FA por SMS como único segundo factor de autenticación, especialmente para cuentas de alto valor. La recomendación es migrar a apps autenticadoras (TOTP) o llaves de hardware (FIDO2).
Cómo los números virtuales reducen tu exposición
Un número virtual de SMSCode, usado para registrar y verificar cuentas online, no tiene SIM física en ninguna red de telecomunicaciones convencional. No existe el chip físico que alguien pueda transferir llamando a una operadora. No hay ningún agente de atención al cliente que pueda ser engañado o sobornado para mover ese número.
Esto elimina el vector de ataque del SIM swap para las cuentas que verificaste con ese número virtual.
Separación de identidades como protección activa. Si usás un número virtual de SMSCode para crear tu cuenta de Gmail, Instagram, Binance, o cualquier exchange de cripto, tu número personal queda completamente desvinculado de esas cuentas. Un atacante que logra hacer SIM swap de tu número personal no puede usar ese número para recuperar las contraseñas de cuentas que están registradas con el número virtual — el ataque falla porque apunta a la cuenta equivocada.
Desechabilidad controlada y configuración de métodos alternativos. Los números virtuales temporales, una vez usados para la verificación inicial, pueden dejar de ser el factor de recuperación de la cuenta si configurás métodos alternativos más robustos: apps autenticadoras, llaves de recuperación descargadas, correo de recuperación dedicado. El número virtual cumplió su función de verificación inicial y ya no es el único punto de acceso — el ataque de SIM swap sobre ese número virtual tampoco sirve para nada.
Sin exposición ante operadoras. No hay operadora de telecomunicaciones con acceso a ese número que pueda ser comprometida, no hay empleado que pueda ser sobornado, no hay proceso de portabilidad que pueda ser explotado. El número existe como un recurso digital gestionado directamente por la plataforma.
Estrategia de seguridad en capas para LATAM
El número virtual es una pieza importante pero no suficiente por sí sola en un sistema de seguridad real. Para una protección efectiva, la estrategia es de capas complementarias:
Capa 1: Usar número virtual para verificaciones iniciales. Registrá cuentas importantes usando un número de SMSCode en lugar de tu número personal. Esto desvincula tu identidad física de esas cuentas desde el primer momento. Para cuentas de redes sociales con audiencias valiosas, para exchanges de cripto, y para cualquier cuenta con activos económicos vinculados, este paso es el más impactante.
Capa 2: Migrar a app autenticadora inmediatamente. Una vez que la cuenta esté creada, configurá Google Authenticator, Authy, o una app equivalente como tu 2FA principal. Desvinculá el número de teléfono como factor de autenticación si la plataforma lo permite. La app autenticadora genera códigos TOTP que no dependen de operadoras ni de redes telefónicas — no hay ningún SIM swap que los pueda interceptar.
Capa 3: Usar llaves de recuperación donde estén disponibles. Gmail, GitHub, Binance, exchanges serios de cripto — todos ofrecen códigos de recuperación de emergencia al configurar el 2FA. Descargalos y guardalos en un lugar físico seguro: papel en una caja fuerte, un dispositivo de almacenamiento offline. No los guardes en el teléfono o en servicios cloud que podrían ser comprometidos.
Capa 4: Activar protección por PIN en tu operadora. Muchas operadoras de LATAM permiten configurar un PIN adicional de seguridad para solicitudes de portabilidad y cambios de SIM. Este PIN actúa como una barrera adicional que el atacante tendría que superar además de la información personal básica. En Claro, Movistar, Telcel, y las principales operadoras de la región, preguntale explícitamente al servicio al cliente sobre esta función.
Capa 5: Email dedicado para recuperaciones de cuentas críticas. Configurá un email dedicado — que no uses para ninguna otra cosa, que no aparezca en tus redes sociales, que no sea tu email de trabajo — como dirección de recuperación en tus cuentas más importantes. Incluso si comprometen tu email principal, no tienen acceso a las cuentas protegidas por el email dedicado.
Plataformas de alto riesgo en LATAM donde el SIM swap causa más daño
Exchanges de criptomonedas (Binance, Bitso, Lemon, Buenbit, Belo): El daño puede ser inmediato e irreversible. Los cripto robados son prácticamente imposibles de recuperar — las transacciones en blockchain son finales. Un ataque exitoso puede vaciar una cartera en minutos.
Banca digital (Nubank, Mercado Pago, Nequi, BBVA App, Yape, Plin, Ualá): Muchos bancos digitales y fintechs usan SMS como 2FA principal. Con el número en su poder, el atacante puede autorizar transferencias, cambiar contraseñas, y acceder a líneas de crédito vinculadas a la cuenta.
Cuentas monetizadas en redes sociales: Instagram con decenas de miles de seguidores, canales de YouTube con ingresos de AdSense, cuentas de TikTok con audiencias comprometidas. El valor económico de estas cuentas puede ser enorme — se venden en mercados oscuros por miles de dólares. Perder una cuenta de Instagram con 100,000 seguidores construidos durante años es un daño difícilmente cuantificable.
WhatsApp Business para negocios: Los negocios que operan a través de WhatsApp Business como canal principal de ventas o atención al cliente son especialmente vulnerables. Perder el número significa perder el canal de comunicación con todos los clientes, potencialmente destruyendo la operación comercial. Para negocios en LATAM donde WhatsApp es el canal primario de ventas, esto puede ser catastrófico.
Qué hacer si fuiste víctima de SIM swap
Los primeros minutos son críticos. Estas son las acciones en orden de prioridad:
-
Verificá que no es un problema técnico tuyo. Si de repente perdés señal y otros en tu área tienen señal normal, es una señal de alerta de SIM swap.
-
Llamá a tu operadora desde otro teléfono — el de un familiar, un fijo, lo que sea disponible. Reportá la portabilidad fraudulenta y pedí que bloquen el número y lo retornen a tu SIM inmediatamente.
-
Cambiá contraseñas desde una red WiFi confiable — no desde datos móviles, ya que esos datos van por el número comprometido. Prioridad: email, banca, cripto, redes sociales con mayor valor.
-
Activá 2FA por app en todas las cuentas importantes tan pronto como recuperes el acceso — así el número de teléfono ya no es el factor de seguridad principal.
-
Reportá el fraude a la Policía o fiscalía local, y a los servicios afectados. Algunos servicios financieros tienen procesos de reversión de transacciones si el reporte es rápido.
-
Revisá movimientos bancarios de las últimas 24-48 horas e iniciá disputas para cualquier transacción no autorizada.
Para más información sobre seguridad de números virtuales en general, consultá nuestra guía de seguridad de números virtuales. Para entender cómo verificar cuentas de forma segura sin exponer tu número personal, podés registrarte en SMSCode y explorar el catálogo de números por verificación.
FAQ
¿Un número virtual puede ser objeto de SIM swap?
Los números virtuales de SMSCode no tienen SIM física asociada a ninguna red de telecomunicaciones convencional. No existe el mecanismo de portabilidad ni el proceso de atención al cliente que hace posible el SIM swap tradicional. El acceso al número está protegido por las credenciales de tu cuenta en SMSCode — una contraseña y potencialmente 2FA — no por una operadora con agentes de atención al cliente que pueden ser engañados o sobornados.
¿Debo cambiar todos mis registros de cuentas a números virtuales?
El cambio más impactante es en las cuentas de mayor valor: exchanges de cripto, banca digital, cuentas profesionales con ingresos monetizados. Para cuentas de menor valor, la prioridad más urgente es migrar de 2FA por SMS a app autenticadora (Google Authenticator, Authy). El número virtual es especialmente útil en la fase de registro inicial para desligar tu número personal de esas cuentas desde el principio.
¿Las apps autenticadoras son completamente seguras?
Son significativamente más seguras que el 2FA por SMS. No dependen de operadoras ni de la red telefónica. El punto débil de las apps autenticadoras es el acceso físico al dispositivo desbloqueado — si alguien tiene tu teléfono desbloqueado con la app visible, puede acceder a los códigos. La recomendación es combinar app autenticadora con códigos de recuperación guardados offline, y configurar el teléfono con bloqueo de pantalla seguro.
¿Por qué las plataformas siguen usando SMS como 2FA si es inseguro?
Por tasa de adopción masiva y facilidad de uso. El SMS funciona en cualquier teléfono, incluyendo los más básicos sin capacidad de instalar apps. Las plataformas equilibran seguridad con fricción de usuario — no todos los usuarios quieren instalar y configurar una app autenticadora. La tendencia actual es ofrecer múltiples opciones de 2FA y educar a los usuarios para que migren al método más seguro. Los principales servicios de alto valor (exchanges cripto, servicios financieros) ya están migrando obligatoriamente a apps autenticadoras o llaves de hardware.
¿El SIM swap afecta a WhatsApp específicamente?
Sí, y es especialmente destructivo para WhatsApp. La aplicación vincula la cuenta directamente al número de teléfono. Si alguien hace SIM swap de tu número, puede reinstalar WhatsApp, solicitar el SMS de verificación — que llega a su teléfono — y tomar control completo de tu cuenta de WhatsApp, incluyendo todos tus chats, grupos y contactos. Para protegerte, activá la verificación en dos pasos de WhatsApp (un PIN de 6 dígitos que solo vos conocés) en Ajustes → Cuenta → Verificación en dos pasos. Con este PIN activo, incluso si un atacante tiene tu número, no puede acceder a tu cuenta de WhatsApp sin también saber el PIN.
¿Las operadoras son responsables si ocurre un SIM swap?
En teoría, las operadoras tienen la responsabilidad de verificar adecuadamente la identidad antes de hacer cambios en una línea. En la práctica, hacer efectiva esa responsabilidad es difícil en la mayoría de países de LATAM — el proceso legal es lento y costoso, y la evidencia de negligencia es difícil de probar. Algunas operadoras en ciertos países han sido multadas por reguladores de telecomunicaciones por protocolos de seguridad insuficientes, pero el avance en este área es lento. La mejor defensa sigue siendo reducir la dependencia del SMS como factor de seguridad.