Un ataque de SIM swap no fuerza tu cerradura: convence al cerrajero
Las empresas blindan la puerta principal con passkeys y doble factor mientras la recuperación de cuenta sigue dependiendo de un número de móvil que un solo empleado de atención al cliente puede reasignar. La cerradura más cara del mundo no sirve de nada si el cerrajero trabaja para otro.
La credencial más valiosa que tienes es una que nunca elegiste, no puedes rotar y no controlas del todo: tu número de móvil. Un ataque de SIM swap nunca toca tu contraseña ni tu app de autenticación. Trabaja sobre una persona de tu operadora, a la que se convence para mover tu número a una tarjeta SIM que tiene el atacante. A partir de ahí, cualquier servicio que trate «recibir un SMS en este número» como prueba de identidad cree que el atacante eres tú, y para los sistemas de recuperación eso pasa a ser, sencillamente, cierto.
Sigue el mecanismo y la parte incómoda se vuelve evidente. Tu banco, tu proveedor de correo y tu consola en la nube dan por hecho que el atacante entra por la puerta principal, donde viven las contraseñas y los avisos de doble factor. Pero todos esos servicios mantienen también una puerta trasera llamada recuperación de cuenta, pensada para el cliente que lo ha olvidado todo. La recuperación tiene que saltarse tu seguridad por diseño, es su función. Y en un número sorprendente de sistemas, ese camino termina en un SMS.
Así que la raíz de confianza real de tu arquitectura de cuentas resulta ser una persona a la que nunca has visto, autenticando a un desconocido bajo presión de tiempo. Esto no es una exageración retórica, se ha comprobado. Investigadores de Princeton realizaron cincuenta intentos fraudulentos de SIM swap contra cinco operadoras de prepago estadounidenses y descubrieron que las cinco tenían al menos un procedimiento de autenticación que un atacante podía sortear, a veces con datos tan triviales como las últimas llamadas realizadas. Tu modelo de amenazas se detiene en la pantalla de acceso. El del atacante empieza justo detrás.
¿Cómo funciona en realidad un ataque de SIM swap?
El guion no tiene ninguna sofisticación, y ese es precisamente el problema. El atacante reúne suficientes datos personales para hacerse pasar por ti: nombre, dirección, el tipo de respuestas que años de filtraciones de datos ya han puesto en circulación. Contacta con tu operadora alegando un móvil perdido o dañado y pide que el número se traslade a una SIM nueva. Si convence a quien atiende la llamada, tu teléfono se queda sin cobertura y el del atacante se enciende.
Entonces llega la reacción en cadena. «He olvidado mi contraseña» en tu correo, con el código de recuperación llegando por SMS. En cuanto cae el correo, cae con él todo lo que dependía de ese correo, porque el email es la segunda llave maestra y el número de teléfono la abre. En ningún momento el atacante ha roto un control de seguridad. El sistema de recuperación está haciendo exactamente lo que se diseñó para hacer, solo que no para lo que se pretendía.
Fíjate en lo que nunca entra en juego: la fortaleza de tu contraseña, tu app de autenticación, tu flamante passkey. Las organizaciones llevan años blindando la autenticación mientras dejan intacta la capa de recuperación debajo, lo que significa que el control más fuerte de toda la pila casi nunca es el que el atacante tiene que vencer.
La comodidad que nadie factura
Hay una razón para haber llegado hasta aquí, y no es la falta de sentido común. La identidad centralizada respaldada por biometría ha ganado porque es lo que la gente realmente elige. La identidad autosoberana, en la que tú custodias tus propias credenciales y ninguna empresa puede entregárselas a otro, es técnicamente viable desde hace años y sigue fallando en el mismo punto: la adopción. Puesto a elegir entre custodiar su propia identidad y un escaneo facial que simplemente funciona, el usuario elige el escaneo facial. Comodidad y vulnerabilidad son la misma decisión de diseño vista desde dos ángulos.
El número de móvil es la expresión más pura de ese intercambio. Es corto, es universal y alguien ya lo ha verificado por ti, lo que lo hace irresistible como identificador. Así que fue acumulando funciones que nadie asignó de forma deliberada: dato de contacto, luego usuario, luego segundo factor, luego ancla de recuperación. Cada paso tenía sentido por separado. La suma es una llave maestra custodiada por una operadora cuyo personal de atención nunca estuvo pensado para ser el guardián de tu acceso corporativo.
¿Qué están haciendo los reguladores contra el fraude de SIM swap?
Pregúntaselo a la Comisión del Mercado de Valores de Estados Unidos (SEC). El 9 de enero de 2024, su cuenta oficial en X anunció la aprobación de los ETF de bitcoin al contado un día antes de la decisión real, y el precio del bitcoin se movió por una publicación que la SEC nunca hizo. La propia versión de los hechos de la SEC confirmó que un tercero no autorizado había tomado el control del número de teléfono asociado a la cuenta mediante un SIM swap en la operadora, y que el doble factor de esa cuenta llevaba meses desactivado, restablecido solo después del incidente. Uno de los reguladores más vigilados del planeta perdió un canal de comunicación capaz de mover mercados por el mismo ataque que vacía cuentas de ahorro particulares, y la puerta de entrada fue un número de teléfono.
El marco normativo empieza a reaccionar, al menos en Estados Unidos. En noviembre de 2023 la FCC aprobó nuevas normas contra el fraude de SIM swap y port-out que obligan a las operadoras móviles estadounidenses a autenticar de forma segura al cliente antes de trasladar un número a otra SIM o a otro proveedor, y a notificárselo de inmediato cada vez que se produce una solicitud así. Piensa en lo que eso implica: un regulador federal ha tenido que ordenar a las operadoras que comprueben con quién están hablando antes de entregar un número. Así de débil era el punto de partida.
En España no existe todavía una obligación equivalente y específica. La CNMC regula la portabilidad numérica como asunto de competencia, para que cambiar de operadora sea sencillo, y esa misma facilidad es exactamente la propiedad que explota un atacante de SIM swap. Mientras eso no cambie, lo difícil que sea robar tu número depende de con qué operadora estés y qué protecciones hayas pedido expresamente, lo que lo convierte en un problema que tienes que gestionar tú, no en una red de seguridad que puedas dar por hecha.
¿Cómo evitar que tu número de teléfono sea la llave maestra de tu identidad?
Trátalo como un problema de auditoría, porque lo es. En algún lugar de tu organización hay una lista, todavía sin escribir, de cada sistema en el que un número de teléfono puede resetear el acceso. Escríbela. Incluye las cuentas más importantes y menos auditadas: el registrador de dominios, el DNS, la facturación en la nube, el correo personal del fundador que sigue siendo la dirección de recuperación de las cuentas de administración de la empresa. Nadie ha escrito esta lista porque el trabajo es poco vistoso; sacarlo a la luz es media batalla de una revisión de estrategia técnica.
Después, corta por orden de impacto. Sustituye el segundo factor por SMS por opciones basadas en app o en hardware, y elimina el SMS como alternativa en lugar de limitarte a añadir la opción más fuerte encima; una puerta trasera no deja de serlo por instalar una puerta principal mejor. Pregunta a tu operadora qué protección de port-out ofrece, por su nombre. El bloqueo de número gratuito de Verizon, Number Lock, por ejemplo, impide portabilidades y traslados de SIM hasta que el titular lo desactiva; la mayoría de operadoras tienen algo equivalente, y una que no sepa nombrarte el suyo ya te está diciendo algo sobre tu nivel de riesgo. Mueve la recuperación de las cuentas críticas a canales que no pasen por un número en absoluto.
Aplica el mismo razonamiento allí donde se concentran credenciales. A medida que las organizaciones conectan agentes de IA a sistemas de producción, están creando nuevas anclas de identidad a toda velocidad, y la lección del número de teléfono es lo que ocurre cuando un identificador se convierte, sin que nadie lo decida, en una credencial. Es la misma disciplina que describimos en cómo proteger sistemas agénticos: saber qué puede actuar, saber a qué puede llegar y saber cómo se recupera el acceso cuando algo falla.
Nada de esto es trabajo exótico, y precisamente por eso no se hace. Tu seguridad vale lo que valga el camino más barato para volver a entrar en tus cuentas, y hoy ese camino es una llamada de teléfono que nunca vas a oír.
Preguntas frecuentes
¿El doble factor por SMS es mejor que nada?
Sí, frente a ataques oportunistas como el relleno de credenciales sube el listón. Pero también convierte a tu operadora en parte de tu perímetro de seguridad, y el atacante siempre busca el camino más débil que le dejes abierto. Si el SMS sigue disponible como alternativa, trata la cuenta como protegida solo por SMS al margen de qué factores más fuertes hayas añadido, porque así es como la va a tratar el atacante.
¿Qué hago si mi móvil se queda sin cobertura de repente y sin motivo?
Trátalo como un incidente en marcha, no como un fallo de red. Desde otro dispositivo, contacta con tu operadora por un posible cambio de SIM no autorizado y después asegura primero tu correo principal: cambia la contraseña y revoca las sesiones activas antes de tocar nada más. El correo es el eje del que cuelgan el resto de tus cuentas, y un atacante con tu número estará usando el tiempo con el teléfono apagado para resetear contraseñas, así que cada minuto que pases al teléfono con la operadora antes de asegurar el correo es un minuto vigilando la puerta equivocada.
¿Puede una empresa eliminar por completo el número de teléfono de la recuperación de cuentas?
Para cuentas de administración y las de mayor valor, en gran medida sí: llaves de seguridad físicas, códigos de respaldo guardados fuera de línea y procedimientos de emergencia documentados pueden sustituir la recuperación basada en número. Algunos servicios de consumo todavía lo exigen; para esos casos, usa un número dedicado que nunca publiques ni uses para llamadas, y mantén un registro por escrito de qué servicios siguen anclados a él.
Relacionado
- En Ubuntu 26.04 LTS, el coreutils del que depende tu build ya no es de GNU
- La prima de la soberanía: por qué las soluciones de IA soberana para empresas ganan por acceso, no por velocidad
- Los pleitos por secretos comerciales se ganan años antes de que nadie dimita. Que se lo pregunten a Faccenda Chicken.
- Security & Trust
Escrito por una persona editorial de IA del sistema editorial propietario de Abyshire y revisado por nuestro equipo.