Estafa del duplicado de SIM (SIM swapping): señales, qué hacer en la primera hora y cómo prevenirla

Qué es la estafa del duplicado de SIM

La estafa del duplicado de SIM, que también se conoce como SIM swapping, consiste en conseguir de forma fraudulenta una copia de tu tarjeta SIM. Quien lo hace se presenta ante tu compañía de teléfono como si fuera tú, en una tienda, por teléfono o por internet, y pide un duplicado o una eSIM con tu número. Tu móvil no se toca: lo que se engaña es el proceso de la compañía.

La Agencia Española de Protección de Datos lo explica en su página sobre el duplicado de SIM o SIM swapping: un duplicado se pide normalmente cuando la SIM se pierde, la roban o se estropea, pero también se puede pedir de forma fraudulenta. Cuando se activa el duplicado, la tuya se desactiva sola.

Hay una variante con el mismo resultado: pedir en tu nombre un cambio de compañía con portabilidad del número. En los dos casos el número deja de funcionar en tu móvil y empieza a funcionar en el de otra persona.

Para hacerse pasar por ti, quien lo intenta necesita algunos datos personales, como el nombre, el DNI, la fecha de nacimiento o la dirección. La Oficina de Seguridad del Internauta de INCIBE explica que esos datos suelen salir de un engaño anterior, como un correo o un SMS falso, una tienda online fraudulenta o una compraventa entre particulares. Que te pase no dice nada de ti: el fallo está entre el delincuente y la compañía, en un trámite que tú no ves.

Por qué el objetivo es tu número de teléfono

Tu número vale tanto porque muchas cuentas lo usan como prueba de que eres tú. Un código por SMS para entrar y un cambio de contraseña que se confirma por SMS dan por hecho que quien tiene el número eres tú.

La AEPD lo resume así: con un duplicado de tu SIM pueden entrar en las aplicaciones y servicios que recuperan la contraseña con un código por SMS, y con eso hacerse con tu correo, tus cuentas bancarias, WhatsApp y tus redes sociales. Desde el correo, además, pueden ver qué banco usas y mucha información de tu vida privada.

El banco es el destino más buscado. Muchas entidades mandan por SMS el código de un solo uso que autoriza una operación concreta, como explica el Banco de España en su artículo sobre para qué sirve la clave que te llega al teléfono. Si ese SMS llega a otro móvil, quien lo tiene puede confirmar operaciones en tu nombre.

Por eso la AEPD recomienda evitar el SMS como método de verificación en dos pasos cuando haya otra opción. El SMS sigue siendo mejor que nada, pero tiene un riesgo que los otros métodos no tienen.

Cómo saber si te han duplicado la SIM

La señal más clara de un duplicado de SIM es quedarte sin cobertura de golpe, sin avería y sin motivo: no puedes llamar, no te llegan SMS y no tienes datos móviles, mientras el wifi sigue funcionando. La AEPD lo dice así: si tu móvil deja de tener cobertura en zonas donde normalmente sí la tiene, puedes sospechar que han duplicado tu SIM.

Otras señales llegan un poco después. INCIBE, en su artículo sobre cómo evitar el SIM swapping, menciona accesos a tus cuentas que no has hecho y avisos por SMS o correo de cambios en tu cuenta que no has pedido. También puede pasar que no consigas entrar en cuentas que usas desde hace años, que te lleguen correos para cambiar una contraseña que no has solicitado o que tu banco te llame por una operación que no conoces.

Qué hacer en la primera hora

Aquí la rapidez importa más que en casi cualquier otra estafa, porque quien tiene tu número está cambiando contraseñas mientras lo tiene. Usa otro teléfono o un ordenador, ya que tu línea es justo lo que ha dejado de funcionar.

1. Llama a tu compañía desde otro teléfono. Pregunta si se ha generado un duplicado de tu SIM o un cambio de compañía y, si es así, pide que lo bloqueen y que te devuelvan el número. Es lo primero que recomienda la AEPD. Busca el teléfono de atención al cliente en tu factura o en la web oficial de la compañía, no en un mensaje que te haya llegado.
2. Llama a tu banco. Avisa de que te han duplicado la SIM para que vigilen y, si hace falta, paren cualquier movimiento sospechoso. INCIBE recomienda pedir que anulen las operaciones ilegítimas y bloqueen las nuevas hasta que todo esté resuelto. Apunta la hora y el número de la incidencia.
3. Cambia la contraseña de tu correo principal desde un dispositivo que no sea el móvil afectado. El correo es el camino para recuperar todo lo demás, así que va antes que el resto.
4. Cambia las contraseñas del banco y de los pagos y cierra todas las demás sesiones desde los ajustes de seguridad de cada cuenta.
5. Quita tu número de teléfono como forma de recuperar la contraseña en las cuentas importantes, como pide la AEPD, y sustitúyelo por una aplicación de autenticación o una llave de seguridad.
6. Revisa qué ha cambiado mientras no tenías el número: correos y teléfonos de recuperación, reglas de reenvío del correo, dispositivos de confianza y beneficiarios nuevos en el banco.
7. Guarda todas las pruebas que puedas, con horas, nombres y números de incidencia. El banco te los pedirá semanas después.
8. Presenta la denuncia cuando la línea vuelva a estar bajo control, como se explica más abajo.

Recuperar el dinero no está garantizado y depende del banco, del tipo de operación y de lo rápido que avisaste. Avisar pronto te da la mejor oportunidad, no una promesa.

Cómo proteger tu línea

La AEPD recuerda que evitar el duplicado no siempre está en tus manos: son las compañías las que tienen que extremar las precauciones y asegurarse de que quien pide el duplicado es de verdad el cliente. Aun así, puedes hacer que, si pasa, el daño sea menor.

1. Pon un PIN a la tarjeta SIM y no se lo digas a nadie. Es la primera recomendación de la AEPD. Sin ese PIN, tu SIM funciona en cualquier móvil en el que la metan.
2. Pregunta a tu compañía qué medidas de seguridad tiene para pedir un duplicado, una eSIM o un cambio de titular, y si puedes añadir una clave o una comprobación extra. Las opciones cambian de una compañía a otra.
3. Comprueba que tienes avisos de cambios en la cuenta y que llegan también a un correo, no solo al número que pueden quitarte.
4. Cuida los datos que compartes en internet. La AEPD recomienda medir la información que publicas, porque es la que se usa para hacerse pasar por ti ante la compañía.
5. Desconfía de quien te pide datos personales por SMS, por correo o por teléfono, aunque diga ser tu banco o tu compañía. Cómo reconocer esos mensajes está en qué es el smishing y en qué es el vishing.

Si tu compañía no atiende bien una reclamación por un duplicado que no pediste, primero hay que reclamarle a ella. Si no contesta en un mes o la respuesta no te convence, tienes tres meses para acudir a la Oficina de Atención al Usuario de Telecomunicaciones, que resuelve los conflictos entre usuarios y compañías. Y si la compañía entregó tus datos o tu línea a otra persona sin comprobar quién era, puedes presentar una reclamación ante la AEPD.

Saca lo importante del código por SMS

Proteger la línea reduce la posibilidad de un duplicado. Sacar tus cuentas importantes de la verificación por SMS quita casi todo lo que valdría ese duplicado, y es el arreglo que más dura.

Empieza por el correo, luego el banco y después cualquier cuenta con dinero o con tus documentos. Cambia el código por SMS por una aplicación de autenticación o una llave de seguridad física donde la cuenta lo permita. INCIBE propone precisamente usar aplicaciones de autenticación en lugar de SMS. En verificación en dos pasos se comparan los métodos, y las passkeys quitan del todo el código que se escribe.

Dos avisos. Si un servicio solo ofrece SMS, mantenlo activado: cualquier segundo paso es mejor que ninguno. Y revisa también cómo se recupera cada cuenta, no solo cómo se entra, porque una cuenta que entra con una aplicación pero se recupera por SMS sigue dependiendo del número.

Con el banco hay un límite: muchas entidades siguen usando el SMS o su propia aplicación para confirmar operaciones, y no siempre puedes elegir. Pregunta en tu banco qué alternativas ofrece y, si puedes, usa la confirmación dentro de la aplicación oficial en lugar del SMS.

Denunciar y qué esperar del dinero

Denunciar no devuelve el dinero por sí solo, pero deja la constancia que el banco, la compañía y la policía necesitan, y el banco suele pedirla para tratar la pérdida como fraude. INCIBE recomienda guardar todas las pruebas, avisar al banco, contactar con la compañía y denunciar ante las fuerzas y cuerpos de seguridad.

La Policía Nacional admite la denuncia por internet en su Oficina Virtual de Denuncias, y hay que firmarla en comisaría como muy tarde en 72 horas, porque sin esa firma no tiene validez. La Guardia Civil tiene una denuncia electrónica para estafas y cargos fraudulentos cometidos por medios informáticos, con firma electrónica. También puedes ir en persona a una comisaría o un cuartel.

Con el dinero, lo que pasa depende de cómo salió. Si no autorizaste la operación, el Real Decreto-ley 19/2018 de servicios de pago obliga al banco a devolverla, como muy tarde al final del día hábil siguiente a tu aviso, salvo que demuestre fraude o negligencia grave por tu parte, y tienes hasta 13 meses para comunicarla. El Banco de España lo explica en su página sobre transferencias no autorizadas. Si el banco se niega, los pasos de la reclamación están en me han estafado con una transferencia.

Si necesitas que alguien te oriente, la Línea de Ayuda en Ciberseguridad de INCIBE atiende en el 017, gratis, de ocho de la mañana a once de la noche. Y si además del número hay otras cosas raras en el móvil, repasa cómo saber si te han hackeado el móvil.

Preguntas frecuentes sobre el duplicado de SIM