El SIM swap es el ataque de fraude digital de más rápido crecimiento en América Latina. El FBI reportó pérdidas de más de $68 millones de dólares por SIM swap solo en 2021 en EE.UU. (FBI IC3, 2022), y en países como Colombia, México y Argentina los casos se han multiplicado desde entonces con el crecimiento de la banca móvil y los exchanges de criptomonedas.
El ataque es brutalmente efectivo porque no requiere hackear sistemas. Requiere hackear personas.
TL;DR: El SIM swap ocurre cuando un atacante convence a tu operadora de transferir tu número a una SIM que controla, accediendo luego a todas tus cuentas que usan SMS como 2FA. Las tres protecciones más efectivas: activar PIN de portabilidad en tu operadora, migrar el 2FA a app autenticadora y usar números virtuales para verificaciones online (sin SIM física que transferir).
Para un panorama completo de cómo proteger tu número, consulta nuestra guía de cómo proteger tu número de celular en internet.
Cómo funciona un ataque de SIM swap paso a paso
Entender el mecanismo del ataque es el primer paso para defenderse. El SIM swap típico sigue este flujo:
Fase 1: Reconocimiento
El atacante investiga a la víctima antes de actuar. Busca:
- Nombre completo (redes sociales, LinkedIn)
- Número de teléfono (puede haberlo comprado en una base de datos filtrada)
- Nombre de la operadora telefónica (a veces visible en apps de contactos como TrueCaller)
- Información personal para responder preguntas de seguridad (fecha de nacimiento, ciudad natal, nombre de mascota — todo disponible en redes sociales si el perfil es público)
- Qué servicios financieros y plataformas usa la víctima
Esta fase puede durar días o semanas. Los objetivos de alto valor — emprendedores con cuentas de cripto, influencers con cuentas monetizadas, ejecutivos — son investigados meticulosamente.
Fase 2: El engaño a la operadora
Con la información recolectada, el atacante contacta a la operadora de la víctima. Las tácticas varían:
Por teléfono: El atacante llama al servicio al cliente, se hace pasar por la víctima y solicita una “reposición de SIM” — diciendo que perdió el chip, que el teléfono fue robado, que el chip está dañado. El agente de atención hace algunas preguntas de verificación (nombre, documento, últimas llamadas realizadas, fecha de nacimiento) que el atacante puede responder con la información recolectada.
En sucursal física: Más audaz pero más efectivo. El atacante va a una tienda con un documento falsificado o de alta calidad, se presenta como la víctima y solicita el cambio de SIM en persona. Muchas operadoras tienen procesos débiles de verificación facial.
Con complicidad interna: El caso más grave — empleados de operadoras que participan activamente a cambio de un pago. Esto ha sido documentado en varios países de LATAM.
Un análisis de 200 casos de SIM swap en Colombia entre 2023 y 2025 realizado por la Policía Nacional encontró que el 45% de los ataques exitosos involucraron la táctica del “teléfono perdido” por teléfono, el 32% implicaron presencia física con documentación falsificada, y el 23% tuvieron participación de empleados de telecomunicaciones (Policía Nacional de Colombia, 2025).
Fase 3: Toma de control
Una vez que la operadora transfiere el número, la SIM original de la víctima pierde señal. El atacante ahora recibe todos los SMS que van a ese número. Inmediatamente empieza a:
- Solicitar recuperación de contraseña en Gmail, Outlook, Apple ID — los servicios de email son la puerta de entrada a todo lo demás
- Solicitar recuperación en exchanges de cripto (Binance, Bitso, Lemon)
- Tomar control de WhatsApp y usar la cuenta para engañar a contactos de la víctima
- Solicitar transferencias en apps bancarias que usan OTP por SMS
El tiempo entre el SIM swap y el primer ataque puede ser de minutos. La ventana de respuesta es muy estrecha.
Señales de alerta de que estás siendo atacado
- Tu teléfono pierde señal sin razón aparente (no estás en zona sin cobertura)
- Recibes mensajes de tu operadora sobre cambios en tu cuenta que no solicitaste
- Alguien en tu red de contactos recibe mensajes extraños “de ti” en WhatsApp
- Recibes emails de recuperación de contraseña en servicios que no solicitaste
Si experimentas cualquiera de estas señales, actúa inmediatamente.
¿Por qué el SMS como segundo factor es el punto más débil?
La autenticación por SMS fue adoptada masivamente en los 2010 porque era universal — cualquier teléfono puede recibirlo. Sin embargo, el SMS tiene vulnerabilidades estructurales que la industria de seguridad reconoce desde hace años.
El NIST (Instituto Nacional de Estándares y Tecnología de EE.UU.) dejó de recomendar el SMS como único factor de autenticación desde 2017, exactamente por estas vulnerabilidades (NIST SP 800-63B, 2017). A pesar de esto, la mayoría de servicios en LATAM aún dependen del SMS como primer o único factor de recuperación.
Hay una paradoja interesante: cuantos más servicios vinculan tu número de teléfono, más valioso se vuelve ese número para los atacantes. Un número que es la llave de Gmail + WhatsApp + cuenta bancaria + exchange de cripto es un objetivo mucho más atractivo que un número solo vinculado a una cuenta de email. Minimizar la cantidad de servicios importantes vinculados a tu número real reduce tu perfil de objetivo.
Las 5 medidas de protección más efectivas
Medida 1: PIN de portabilidad en tu operadora (esencial)
Contacta a tu operadora y solicita activar una clave adicional para cualquier solicitud de cambio de SIM o portabilidad. Esta clave debe ser diferente de tu PIN de tarjeta y de cualquier contraseña que uses online.
En las principales operadoras de LATAM:
- Telcel (México): Llama al 800 000 0100 y solicita el “PIN de línea” o “contraseña de portabilidad”
- Claro Colombia: Actívalo en la app MiClaro o en sucursal física
- Personal / Claro Argentina: Configura la “clave de gestión” en la app o en tienda
- Entel Chile: Activa la “contraseña de portabilidad” en sucursal o por teléfono
Consulta también la guía completa de cómo proteger tu número de celular en internet para una visión más amplia.
Medida 2: Migra el 2FA a app autenticadora
Reemplaza el 2FA por SMS con una app autenticadora en todas tus cuentas importantes. Las apps TOTP (Time-based One-Time Password) generan códigos que cambian cada 30 segundos y no dependen de ninguna red telefónica.
Prioridad de migración:
- Email principal (Gmail, Outlook)
- Exchanges de criptomonedas
- Banca digital
- Redes sociales monetizadas (Instagram, YouTube, TikTok)
- Mercado Libre / PayPal / otras billeteras
Apps recomendadas: Google Authenticator, Authy, Microsoft Authenticator, Aegis (Android, open source).
Por qué TOTP es más seguro que SMS: Los códigos TOTP se generan localmente en tu dispositivo usando un secreto compartido y la hora actual. No pasan por ninguna red de telecomunicaciones. No pueden ser interceptados por SIM swap ni por ataques SS7 (protocolo de señalización de telefonía). El único vector de ataque es acceso físico a tu dispositivo.
Medida 3: Usa números virtuales para nuevos registros
Para cualquier cuenta nueva que crees, usa un número virtual desechable en lugar de tu número personal. Si ese número virtual nunca está vinculado a tu cuenta bancaria ni a tus cuentas más importantes, un SIM swap de tu número personal no puede usarse como palanca para acceder a esas cuentas.
Los números virtuales de SMSCode no tienen SIM física en ninguna red de telecomunicaciones. No existe el mecanismo de “transferencia de SIM” para estos números — el acceso al número está protegido por las credenciales de tu cuenta SMSCode, no por una operadora que puede ser engañada.
Para entender en detalle qué hace que un número virtual sea seguro, lee nuestro análisis sobre si es seguro usar un número virtual.
Medida 4: Usa llaves de recuperación físicas
Para las cuentas más importantes, descarga y guarda físicamente los códigos de recuperación de emergencia. Gmail, GitHub y la mayoría de exchanges serios ofrecen una lista de códigos de un solo uso. Imprímalos y guárdalos en un lugar físico seguro — no en el teléfono ni en la nube.
Si algo sale mal con el teléfono, con el número o con la app autenticadora, estos códigos son tu último recurso.
Medida 5: Email de recuperación dedicado y seguro
Configura un email secundario — que no uses para nada más — como email de recuperación en tus cuentas más importantes. Este email debe tener 2FA por app autenticadora (no SMS) y una contraseña única y fuerte. Así, incluso si tu email principal es comprometido, el atacante no llega automáticamente a tus cuentas protegidas.
Protecciones adicionales para perfiles de alto riesgo
Si sos un objetivo de alto valor — emprendedor con cuentas de cripto significativas, influencer con cuentas monetizadas, ejecutivo con acceso a sistemas corporativos — las cinco medidas básicas pueden no ser suficientes. Considerá estas capas adicionales:
Número de teléfono “señuelo”
Registrá la mayoría de tus plataformas con un número secundario (puede ser virtual o una segunda SIM de prepago barata), y reservá tu número principal para comunicaciones personales únicamente. Así, incluso si un atacante intenta SIM swap de tu número principal, no tiene acceso a tus cuentas de valor porque están vinculadas a un número diferente.
Llaves físicas de hardware (FIDO2 / WebAuthn)
Para las cuentas más críticas, las llaves físicas como YubiKey o Google Titan ofrecen autenticación que no puede ser phisheada ni interceptada remotamente. Son el estándar de seguridad que usan los ingenieros de seguridad de empresas de tecnología para sus cuentas personales. El costo es de $25-50 por llave, y protegen prácticamente todos los servicios principales.
Congelación de crédito preventiva
En algunos países de LATAM, es posible solicitar a las agencias de crédito (como Equifax, TransUnion o sus equivalentes locales) una congelación preventiva de tu historial crediticio. Esto previene que un atacante, incluso después de un SIM swap exitoso, pueda abrir líneas de crédito o préstamos a tu nombre.
Alertas de cambios de cuenta en tiempo real
Activá todas las notificaciones disponibles en tus servicios financieros: alertas por email y notificación push por cada transacción, cambio de contraseña, o acceso desde nuevo dispositivo. Estas alertas dan la señal de alerta más rápida si algo está pasando.
Qué hacer en las primeras horas si eres víctima
Si sospechas que estás siendo víctima de SIM swap, cada minuto cuenta:
Minuto 1-5: Llama a tu operadora Llama desde otro teléfono (un vecino, un familiar, un teléfono fijo) al servicio al cliente de tu operadora y reporta que tu SIM puede haber sido transferida fraudulentamente. Solicita bloqueo del número y reversión de cualquier cambio reciente.
Minutos 5-15: Cambia contraseñas críticas Desde una red WiFi (no datos móviles, que podrían estar comprometidos) cambia inmediatamente las contraseñas de tu email principal, cuenta bancaria y exchange de cripto. Hazlo desde un dispositivo que no haya sido comprometido.
Minutos 15-30: Activa 2FA por app Una vez que cambias las contraseñas, activa inmediatamente el 2FA por app en todas las cuentas que recuperes. Esto corta el acceso del atacante incluso si ya tiene tu número.
Horas siguientes: Reporta y documenta Denuncia ante las autoridades locales (en México: CONDUSEF y Policía Cibernética; en Colombia: CAI Virtual; en Argentina: UFECI). Reporta también a los servicios comprometidos para iniciar disputas de transacciones no autorizadas.
Plataformas con mayor riesgo en LATAM
Exchanges de criptomonedas. El daño es irreversible — los cripto transferidos generalmente no se recuperan. Binance, Bitso, Lemon Cash, Buda y similares deben tener 2FA por app autenticadora, no SMS.
Banca digital. Nubank, Mercado Pago, Nequi, Yape, Plin, BBVA App, Ualá — muchos siguen usando SMS como factor de recuperación. Activa las opciones de seguridad adicionales que ofrezcan y nunca confíes solo en el SMS.
WhatsApp Business. Perder el WhatsApp Business significa perder el canal de comunicación con todos los clientes. Activa la verificación en dos pasos de WhatsApp (PIN de 6 dígitos) que funciona independientemente del SMS.
Cuentas monetizadas de redes sociales. Instagram, TikTok, YouTube con ingresos generados — una cuenta con 100,000 seguidores puede valer miles de dólares en el mercado negro. Protégelas con 2FA por app.
FAQ
¿Un número virtual puede ser víctima de SIM swap?
Los números virtuales de SMSCode no tienen SIM física en ninguna red de telecomunicaciones. No existe el mecanismo de portabilidad o reposición de SIM para estos números. El vector de SIM swap — convencer a una operadora de transferir el número — no aplica. El acceso al número virtual está protegido por las credenciales de tu cuenta de SMSCode, que no son vulnerables al mismo tipo de ingeniería social dirigida a operadoras telefónicas.
¿Debo cambiar todos mis registros a números virtuales inmediatamente?
No necesitas cambiar todo de golpe. El cambio más impactante es en las cuentas de mayor valor: exchanges de cripto, banca digital y cuentas profesionales monetizadas. Para estas cuentas, migra el 2FA a app autenticadora como paso prioritario. Los números virtuales son más útiles para nuevos registros — evitar que tu número personal siga acumulando exposición en más plataformas.
¿Qué hace el SIM swap diferente de un hackeo convencional?
Un hackeo convencional explota vulnerabilidades técnicas en software. El SIM swap explota vulnerabilidades humanas en los procesos de atención al cliente de las operadoras. No requiere conocimientos técnicos avanzados — solo habilidad de persuasión e información básica sobre la víctima. Por eso es tan efectivo: las defensas técnicas no lo detienen. Las defensas humanas (PIN de portabilidad, escepticismo de los agentes de atención) son las que marcan la diferencia.
¿Las apps autenticadoras son 100% seguras?
Son significativamente más seguras que el SMS, pero no son infalibles. El riesgo principal es el acceso físico al dispositivo — si alguien tiene tu teléfono desbloqueado, puede ver los códigos TOTP. También hay malware específico diseñado para robar tokens de autenticadoras. Para protección máxima, combina app autenticadora con llaves de hardware (como YubiKey) en las cuentas más críticas. Para el usuario promedio en LATAM, la combinación de PIN de portabilidad + app autenticadora cubre el 95% de los riesgos de SIM swap.
¿El SIM swap también funciona con roaming internacional?
Sí. Si viajas a otro país y tienes roaming activado, tu número sigue siendo vulnerable al SIM swap en tu país de origen. El atacante contacta a tu operadora en tu país — no importa dónde estés físicamente. Si viajas frecuentemente, considera activar medidas de seguridad adicionales en tu operadora antes de salir.
¿Cuánto tiempo tarda la operadora en revertir un SIM swap fraudulento?
El tiempo varía significativamente según la operadora y el país. En el mejor caso, con un agente disponible y la política correcta, el proceso puede tomar entre 30 minutos y 2 horas. En el peor caso — fines de semana, festivos, o si la operadora tiene procesos lentos — puede demorar 24-48 horas. Esta ventana de tiempo es exactamente donde ocurre el daño mayor: el atacante actúa en los primeros minutos, mucho antes de que la operadora revierta el cambio. Por eso la prevención es esencial.
¿Registrar la SIM con mi nombre real me protege del SIM swap?
Parcialmente. La vinculación SIM-identidad (obligatoria en muchos países de LATAM) complica el SIM swap porque el agente de la operadora debe verificar más información. Pero no lo elimina: los atacantes con documentos falsificados de calidad o con complicidad interna pueden superar esa barrera. El registro real de la SIM reduce el riesgo pero no lo elimina — las medidas adicionales (PIN de portabilidad, 2FA por app) siguen siendo necesarias.