Tu número de celular es uno de los datos más sensibles que tenés en internet. Según un informe de Javelin Strategy & Research, el fraude de identidad por teléfono móvil afectó a 15.4 millones de personas solo en los Estados Unidos en 2023 — y en América Latina las cifras crecen cada año (Javelin Strategy & Research, 2024). Una vez que tu número está en circulación, es prácticamente imposible retirarlo de todas las bases de datos donde terminó.
TL;DR: La mejor protección para tu número de celular en internet es no darlo en primer lugar cuando no es necesario. Usá números virtuales desechables para registros en plataformas, activá un PIN de portabilidad en tu operadora y migrá el 2FA de SMS a app autenticadora. Estas tres medidas eliminan el 90% de los vectores de ataque más comunes.
Para entender mejor cómo funcionan los números virtuales como capa de protección, consultá la guía completa sobre qué es un número virtual.
¿Por qué tu número de celular es tan valioso para los atacantes?
El número de celular se convirtió en el identificador digital universal durante la última década. La mayoría de servicios — bancos, redes sociales, marketplaces, billeteras digitales, apps de delivery, exchanges de cripto — usan el número para recuperación de contraseña y autenticación de dos factores. Quien controla tu número controla el acceso a casi todo lo que importa.
Hay tres formas principales en que tu número puede ser comprometido:
1. Bases de datos de brokers de datos. Cada vez que le das tu número a una aplicación o servicio, ese número puede terminar en bases de datos de terceros que se venden legalmente. Los brokers de datos agregan información de millones de fuentes y construyen perfiles que incluyen nombre, dirección, número de teléfono, hábitos de compra y patrones de comportamiento. En LATAM, la regulación de datos personales es menos estricta que en Europa, lo que hace este mercado especialmente activo y los datos especialmente accesibles para actores maliciosos.
2. Filtraciones de datos. Las brechas de seguridad en servicios donde registraste tu número exponen ese dato junto con otros. En 2024 se filtraron los datos de más de 533 millones de usuarios de Facebook en un foro público — incluyendo números de teléfono de usuarios de más de 100 países (CNET, 2024). Tu número podría estar en esa filtración sin saberlo, y una vez en circulación es prácticamente imposible retirarlo de todos los repositorios donde se copió.
3. SIM swap (clonación de SIM). Un atacante convence a tu operadora de transferir tu número a una SIM que controla. Una vez que tiene tu número, puede recuperar contraseñas de cualquier servicio que use SMS como segundo factor de autenticación. En Argentina, Colombia y México, este tipo de fraude ha crecido significativamente desde 2022, especialmente dirigido a usuarios con activos en exchanges de cripto.
Para profundizar en el riesgo específico de SIM swap, consultá la guía de protección contra SIM swap.
¿Qué información real se puede obtener solo con tu número de celular?
Más de lo que la mayoría imagina. Con tu número de celular, una persona con acceso a herramientas básicas puede:
- Encontrar tu nombre completo en directorios de teléfonos o apps como TrueCaller, que indexan números de contactos de millones de dispositivos
- Asociar tu número con perfiles de redes sociales: WhatsApp muestra el nombre de perfil y la foto a cualquiera que tenga el número guardado; Telegram puede mostrar tu cuenta si la sincronización de contactos está activa
- Iniciar intentos de recuperación de contraseña en Gmail, Instagram, Facebook y otros servicios para saber qué cuentas están asociadas a ese número — el mensaje “te enviamos un código” confirma que existe una cuenta
- Enviarte mensajes de phishing personalizados con información que ya conoce sobre vos, haciéndolos más creíbles
- Verificar si tenés cuenta en exchanges de cripto específicos — simplemente intentando registrarse y viendo si el sistema responde “este número ya está en uso”. Esto les da un mapa de los activos digitales de la víctima antes de lanzar el ataque
Una práctica documentada por investigadores de seguridad en LATAM: los atacantes construyen perfiles de potenciales víctimas combinando el número de teléfono con búsquedas en redes sociales y directorios públicos. Después usan esa información para personalizar el ataque de ingeniería social hacia la operadora.
Estrategia 1: Usá números virtuales para todos los registros online que no son críticos
La protección más efectiva es la más directa: no dar tu número real cuando no es absolutamente necesario. Para registros en plataformas, verificaciones de cuenta y formularios que piden número de teléfono pero donde no necesitás recibir llamadas reales, un número virtual desechable es la solución.
Cuándo usar número virtual vs número real
Usá número virtual para:
- Crear cuentas en redes sociales, foros y comunidades online (Facebook, Instagram, Twitter/X, Reddit, Discord)
- Registrarte en marketplaces de e-commerce (Mercado Libre, Amazon, OLX, Rappi)
- Verificar aplicaciones de delivery, transporte y servicios puntuales
- Crear cuentas en plataformas de gaming y entretenimiento
- Formularios de registro en servicios que piden número “para seguridad” pero que en realidad solo lo usan para marketing
- Plataformas de citas (Tinder, Bumble) donde no querés que tu número personal esté vinculado al perfil
- Apps de prueba que querés explorar antes de comprometerte con tu número real
Usá tu número real para:
- Cuentas bancarias y financieras donde necesitás soporte telefónico real
- Servicios de salud y emergencias
- Negocios donde tus clientes necesitan llamarte al número registrado
- Cuentas donde la verificación por llamada es obligatoria y no podés evitarla
- Servicios gubernamentales que vinculan el número a tu identidad legal
En la práctica, más del 80% de los servicios online que piden número de teléfono solo lo usan para verificación SMS inicial — no para llamarte. En todos esos casos, un número virtual desechable cumple exactamente la misma función sin exponer tu número real.
Cómo obtener un número virtual para registros
SMSCode ofrece números virtuales en más de 200 países desde $0.05 por verificación. El proceso toma menos de 5 minutos:
- Creá una cuenta gratuita en SMSCode — no requiere tarjeta de crédito
- Cargá saldo mínimo (desde $1 USD para empezar)
- Cuando un servicio pida tu número, andá al catálogo de SMSCode, buscá la plataforma y seleccioná un país y número
- Ingresá ese número en el servicio
- Recibí el código OTP en tu panel de SMSCode en segundos
- Completá la verificación
Tu número personal nunca sale de tu teléfono. El número virtual cumplió su función y puede expirar — no afecta la cuenta que creaste.
Estrategia 2: Activá el PIN de portabilidad en tu operadora
El SIM swap es posible porque las operadoras procesan solicitudes de transferencia de número con verificación insuficiente. La solución directa es agregar una capa adicional de seguridad en tu operadora que ningún atacante pueda bypasear sin ese PIN.
Cómo activar la protección en las principales operadoras de LATAM
En México (Telcel, AT&T, Movistar): Llamá al servicio al cliente de tu operadora y solicitá activar un “PIN de portabilidad” o “contraseña de línea”. Este PIN será requerido antes de procesar cualquier solicitud de portabilidad o cambio de SIM. Algunas operadoras también permiten configurarlo desde la app oficial.
En Colombia (Claro, Movistar, Tigo): Activá la “contraseña de gestión” en tu cuenta de usuario. Claro Colombia permite hacerlo desde Mi Claro. Cualquier solicitud de cambio de SIM o portabilidad requiere esta contraseña adicional.
En Argentina (Claro, Personal, Movistar): Solicitá la activación del “PIN de portabilidad” al servicio al cliente. Algunas operadoras en Argentina permiten configurar restricciones de portabilidad desde sus apps. También podés solicitar que tu cuenta quede marcada con “protección especial” que requiere verificación en persona.
En Chile (Entel, Movistar, Claro, WOM): Activá la restricción de portabilidad desde la app de tu operadora o contactá al servicio al cliente para solicitar una clave adicional de autorización para cualquier cambio de SIM.
En Brasil (Vivo, TIM, Claro, Oi): Cada operadora tiene su proceso — contactá el servicio al cliente o visitá una tienda física para solicitar la protección adicional contra portabilidad no autorizada.
Un análisis de incidentes de SIM swap en LATAM realizado por investigadores de seguridad colombianos en 2024 encontró que el 78% de los ataques exitosos ocurrieron en líneas que no tenían PIN de portabilidad configurado (Asobancaria Colombia, 2024).
Estrategia 3: Migrá el 2FA de SMS a app autenticadora
Si tenés el 2FA de SMS activado en tus cuentas importantes, estás dependiendo de la seguridad de tu operadora telefónica — que, como vimos, puede ser comprometida con un ataque de SIM swap. El paso siguiente es migrar a una app autenticadora, que genera códigos localmente en tu dispositivo sin dependencia de ninguna red de telecomunicaciones.
Con una app autenticadora, aunque alguien hiciera SIM swap de tu número, no puede acceder a las cuentas que protegiste con la app — porque esos códigos no viajan por SMS.
Apps autenticadoras recomendadas
- Google Authenticator — Simple, sin cuenta necesaria, con sincronización disponible en versiones recientes. Disponible para Android e iOS.
- Authy — Respaldo en la nube encriptado, funciona en múltiples dispositivos. Útil si tenés varios teléfonos o querés recuperabilidad.
- Microsoft Authenticator — Integra bien con cuentas de Microsoft y servicios empresariales. Disponible para Android e iOS.
- Aegis (Android) — Open source, sin dependencias de nube, con cifrado local del vault. Ideal para usuarios avanzados que quieren control total.
Cómo migrar el 2FA de SMS a app en las principales plataformas
Gmail / Google: Configuración de cuenta → Seguridad → Verificación en 2 pasos → Agregar método → App autenticadora. Escaneá el código QR con tu app y guardá los códigos de respaldo en papel en un lugar seguro.
Instagram: Configuración → Seguridad → Autenticación en dos factores → App de autenticación. El proceso genera un código QR para escanear.
WhatsApp: Configuración → Cuenta → Verificación en dos pasos → Activar PIN de 6 dígitos. Este PIN protege la cuenta aunque alguien obtenga control de tu número — necesitan el PIN para reinstalar WhatsApp con ese número.
Binance / exchanges de cripto: Perfil → Seguridad → Autenticación de dos factores → Google Authenticator (o equivalente). Los exchanges de cripto son los servicios donde esta migración tiene el mayor impacto porque son los objetivos más frecuentes de SIM swap en LATAM.
Facebook: Configuración → Seguridad e inicio de sesión → Autenticación en dos factores → Usar app de autenticación.
Para entender los criterios de seguridad al evaluar proveedores de números virtuales, consultá el análisis de si es seguro usar un número virtual.
Estrategia 4: Monitoreá si tu número ya está comprometido
Aunque tomés todas las precauciones desde hoy, tu número puede ya estar en bases de datos de filtraciones anteriores. Vale la pena verificarlo para saber el punto de partida.
Herramientas para verificar si tu número fue filtrado
Have I Been Pwned (haveibeenpwned.com) — buscá tu email en filtraciones conocidas. Si tu email aparece en filtraciones de plataformas donde registraste tu número, ese número también quedó expuesto en esa filtración.
TrueCaller — si tu número aparece en la base de datos de TrueCaller sin que vos lo hayas registrado, significa que está en la libreta de contactos de alguien que instaló la app con permisos de acceso a contactos. TrueCaller permite solicitar la eliminación del número desde su sitio web.
Google tu propio número — buscá tu número en Google entre comillas: "+52 55 1234 5678". Si aparece en directorios públicos, anuarios telefónicos online o formularios filtrados, sabés que está circulando activamente.
Verificación en servicios importantes — en servicios como Gmail, Facebook e Instagram, intentá el proceso de recuperación de contraseña con tu número para ver qué cuentas están vinculadas a él. Esto te da el mapa de exposición de tu número actual.
Estrategia 5: Usá emails secundarios para servicios de bajo valor
Muchos servicios que piden número de teléfono también piden email. Si usás el mismo email en todos los registros, la correlación de datos entre plataformas se vuelve mucho más fácil — un actor con acceso a datos de múltiples fuentes puede conectar tu actividad en distintas plataformas. Tener un email secundario para registros de bajo valor reduce la superficie de exposición de tu identidad digital.
La combinación efectiva para privacidad de registros:
- Email secundario (puede ser gratuito: Gmail, ProtonMail) + número virtual de SMSCode
- Esta “identidad desechable” para registros de bajo valor protege tu identidad real de la circulación masiva de datos
Para servicios que realmente importan y donde necesitás soporte real, usá tu email e identidad principales. Para registros de prueba, plataformas que vas a usar ocasionalmente y servicios donde no sabés si confiar, usá la identidad desechable.
Estrategia 6: Controlá qué apps tienen acceso a tu lista de contactos
Muchas apps de redes sociales, de citas y de mensajería solicitan acceso a la lista de contactos del teléfono “para ayudarte a encontrar amigos”. Al dar ese acceso, estás cargando el número de teléfono de todas las personas en tu agenda a los servidores de esa app — incluyendo personas que no dieron su consentimiento para estar en esa base de datos.
Qué hacer:
- En Android: Configuración → Aplicaciones → [nombre de la app] → Permisos → Contactos → Denegar
- En iOS: Configuración → Privacidad y seguridad → Contactos → revisá app por app
Apps que es especialmente importante revisar: WhatsApp, Facebook, Instagram, TikTok, Snapchat, apps de citas. Estas plataformas pueden funcionar sin acceso a tus contactos — la función “encontrar amigos” es opcional.
La estrategia combinada: nivel de protección según el tipo de cuenta
No todas las cuentas merecen el mismo nivel de protección. Distribuí tus esfuerzos según el valor de la cuenta:
Cuentas de alto valor (banco, cripto, email principal, trabajo)
- Número real + PIN de portabilidad activo en la operadora
- 2FA por app autenticadora (NO por SMS)
- Email separado con contraseña fuerte y 2FA por app
- Verificación periódica de actividad inusual
Cuentas de valor medio (redes sociales principales, marketplaces habituales)
- Número virtual de SMSCode para el registro inicial
- 2FA por app autenticadora
- Email secundario
Cuentas de bajo valor (foros, servicios de prueba, apps ocasionales)
- Número virtual desechable de SMSCode
- Email secundario o temporal
- Contraseña generada (no hay cuenta bancaria en riesgo)
Resumen de la estrategia de protección
| Amenaza | Solución recomendada | Dificultad | Costo |
|---|---|---|---|
| Spam por número registrado en plataformas | Número virtual para registros | Baja | Desde $0.05 |
| SIM swap | PIN de portabilidad + 2FA por app | Media | Gratis |
| Filtraciones de datos | Número virtual desechable | Baja | Desde $0.05 |
| Rastreo cruzado de identidad | Email secundario + número virtual | Media | Gratis |
| Phishing personalizado | No dar número real en servicios no críticos | Baja | Gratis |
| Acoso digital por número | Número virtual en plataformas de riesgo | Baja | Desde $0.05 |
| Vinculación involuntaria de contactos | No dar permisos de contactos a apps no esenciales | Baja | Gratis |
FAQ
¿Es suficiente con activar solo el PIN de portabilidad?
El PIN de portabilidad protege contra el SIM swap, pero no protege contra las filtraciones de datos de plataformas donde registraste tu número ni contra el spam. Para una protección completa, necesitás combinar todas las estrategias: número virtual para registros nuevos, PIN de portabilidad en tu operadora y migración a app autenticadora para los servicios importantes. Ninguna medida aislada cubre todos los frentes.
¿Los números virtuales desechables son legales en LATAM?
Sí. El uso de números virtuales para verificación SMS es completamente legal en toda América Latina — México, Colombia, Argentina, Chile, Brasil, Perú y el resto de la región. No hay legislación en ninguno de estos países que prohíba el uso de números telefónicos virtuales para verificación de identidad en plataformas online. Son números de teléfono reales — simplemente no están vinculados a una SIM física en tu poder.
¿Puedo recuperar mi número si ya fue víctima de SIM swap?
Sí, pero hay que actuar rápido. Llamá a tu operadora desde otro teléfono (o desde un teléfono fijo) para reportar la portabilidad fraudulenta. La operadora puede revertir la transferencia si actuás dentro de las primeras horas. Después de recuperar el número, inmediatamente cambiá contraseñas de cuentas críticas y migrá el 2FA a app autenticadora para que el número deje de ser el factor único de acceso.
¿WhatsApp está especialmente en riesgo?
Sí. WhatsApp vincula la cuenta directamente al número de teléfono. Si alguien hace SIM swap, puede reinstalar WhatsApp en su dispositivo y tomar control de tu cuenta en minutos — porque el código de verificación llega al número que ahora controla el atacante. La protección específica para WhatsApp es activar la verificación en dos pasos (un PIN de 6 dígitos) desde Configuración → Cuenta → Verificación en dos pasos. Este PIN adicional que solo vos conocés bloquea el acceso aunque el atacante tenga control de tu número.
¿Vale la pena pagar por un número virtual solo para protegerme?
El costo de un número virtual para verificación es entre $0.05 y $0.50 por uso — menos que un café. El costo de recuperar una cuenta hackeada, disputar transacciones fraudulentas o perder una cuenta de redes sociales con seguidores construidos durante años puede ser de cientos o miles de dólares en tiempo y dinero. La relación costo-beneficio es muy favorable a la prevención. Además, el saldo no utilizado en SMSCode no expira — lo que no uses esta vez queda disponible para la próxima.
¿Qué tan rápido actúan los atacantes después de un SIM swap exitoso?
Muy rápido. Los ataques de SIM swap están automatizados o semiautomatizados — una vez que el número es transferido a la SIM del atacante, los scripts pueden iniciar intentos de recuperación de contraseña en múltiples servicios en segundos. La ventana de oportunidad para actuar antes de que el atacante tome el control es de minutos, no horas. Por eso el PIN de portabilidad y el 2FA por app son preventivos — una vez que el número fue transferido, la carrera contra el tiempo ya empezó.
¿Mis datos en SMSCode son seguros?
SMSCode opera con política de minimización de datos — recopila lo necesario para operar el servicio (tu email de cuenta, historial de transacciones y el hecho de que se entregó un SMS). No retiene el contenido de los mensajes OTP después de la entrega. El panel usa HTTPS en todas las comunicaciones. Para más detalle sobre la seguridad del uso de números virtuales en general, consultá la guía de seguridad de números virtuales.