Ataques de SIM swap: cómo los hackers secuestran tu teléfono para robar criptomonedas

Un ataque de SIM swap (intercambio de SIM) se produce cuando un delincuente toma el control de tu número de móvil consiguiendo que tu operador lo transfiera a una tarjeta SIM que él controla. Con tu número recibe tus códigos de inicio de sesión por SMS y los enlaces para restablecer contraseñas, y puede entrar en tus cuentas de exchanges de criptomonedas, correo electrónico y redes sociales en cuestión de minutos.

Los poseedores de criptomonedas son objetivos atractivos porque las criptomonedas robadas se mueven rápido y son difíciles de recuperar. Quienes hablan públicamente de sus tenencias corren un riesgo especial. La buena noticia es que unos pocos cambios en la forma de proteger tus cuentas hacen que los SIM swaps sean mucho menos peligrosos.

Cómo funciona un ataque de SIM swap

1. 1Investigación. El atacante reúne datos personales —nombre, dirección, fecha de nacimiento, número de teléfono— a partir de filtraciones de datos, redes sociales o phishing.
2. 2Toma de control en el operador. Contacta con tu operador móvil haciéndose pasar por ti, alega que ha perdido el teléfono o que está roto y solicita una nueva SIM. Algunos ataques implican a empleados sobornados o cuentas comprometidas del operador.
3. 3Transferencia del número. Tu número pasa a su SIM. Tu teléfono se queda sin servicio.
4. 4Restablecimiento de cuentas. Solicita restablecer las contraseñas de tus cuentas de correo y de exchanges, recibe los códigos por SMS e inicia sesión.
5. 5Robo. Cambia tu configuración de seguridad, retira las criptomonedas a sus propias billeteras y, a veces, publica estafas desde tus redes sociales.

Todo el proceso puede durar menos de una hora. También se han visto afectadas cuentas de alto perfil: en enero de 2024, la Securities and Exchange Commission, el regulador de valores de EE. UU., informó de que un tercero no autorizado se había hecho con el control del número de teléfono vinculado a su cuenta de X en lo que parecía un SIM swap y que después había utilizado la cuenta para publicar un anuncio falso.

Qué pueden y qué no pueden hacer los atacantes

Por eso, la defensa principal es impedir que tu número de teléfono sea la llave de tus cuentas.

Señales de alerta de que podrías ser víctima

• Tu teléfono muestra de repente sin servicio o el modo de solo emergencias, mientras el wifi sigue funcionando.
• Recibes mensajes o correos inesperados sobre cambios de SIM, solicitudes de portabilidad o restablecimientos de contraseña.
• Se cierra tu sesión en cuentas o aplicaciones sin explicación.
• Tus amigos te cuentan que han recibido mensajes extraños tuyos.

Si ves estas señales, actúa de inmediato: cada minuto cuenta.

Cómo protegerte de los SIM swaps

Corrige tu autenticación en dos factores

1. 1Cambia del SMS a una app de autenticación o una llave de seguridad física en exchanges, correo y cualquier cuenta vinculada a dinero. Nuestra guía sobre autenticación en dos factores para cuentas de criptomonedas compara las opciones.
2. 2Elimina tu número de teléfono como método de recuperación siempre que el servicio lo permita.
3. 3Guarda los códigos de respaldo sin conexión, no en tu correo.

Refuerza tu cuenta móvil

• Pide a tu operador un PIN de portabilidad, un PIN de cuenta o un bloqueo de SIM. Los nombres y las opciones varían según el operador y el país.
• Usa una contraseña única y robusta para tu cuenta en línea del operador.
• Pregunta si el operador ofrece verificación adicional para los cambios de SIM.

Reduce tu exposición

• No compartas públicamente cuántas criptomonedas tienes.
• Usa un número de teléfono o un correo electrónico aparte y privado para las cuentas financieras, si es viable.
• Restringe los perfiles de redes sociales que revelen tu fecha de cumpleaños, tu dirección o tu número de teléfono.

Guarda tus tenencias a largo plazo en autocustodia

Los fondos en un exchange solo están tan seguros como tu acceso a ese exchange. Los ahorros a largo plazo en una billetera de hardware no son accesibles a través de tu número de teléfono. Consulta cómo proteger tu cuenta en un exchange para ver ajustes específicos de cada plataforma.

Mitos comunes sobre el SIM swap

• «Mi operador nunca caería en eso». Los atacantes usan datos personales robados, ingeniería social y, a veces, cómplices internos. Los operadores han mejorado sus medidas de protección, pero ningún sistema es perfecto.
• «No soy lo bastante famoso como para ser un objetivo». Muchas víctimas son personas corrientes cuyo número de teléfono apareció en una filtración de datos o en un foro relacionado con criptomonedas.
• «Uso 2FA, así que estoy a salvo». Si esa 2FA se basa en SMS, un SIM swap la anula.
• «Basta con una contraseña segura». Los restablecimientos de contraseña por SMS se saltan incluso la contraseña más segura.

Qué hacer si sufres un SIM swap

1. 1Llama a tu operador desde otro teléfono y denuncia el fraude. Pídele que recupere tu número y bloquee la cuenta.
2. 2Protege primero tu correo, ya que controla los restablecimientos de contraseña en otros servicios. Cambia las contraseñas y cierra las demás sesiones.
3. 3Contacta con tus exchanges para congelar las cuentas y los retiros.
4. 4Cambia las contraseñas y la 2FA de todas tus cuentas financieras.
5. 5Avisa a tus contactos de que los mensajes de tu número o de tus redes sociales pueden ser fraudulentos.
6. 6Denuncia el delito ante la policía y cualquier autoridad competente en ciberdelincuencia, y conserva toda la documentación. Nuestra guía sobre qué hacer si tu billetera ha sido comprometida explica pasos relacionados.

Desconfía de cualquiera que se ponga en contacto contigo después ofreciéndose a recuperar tus criptomonedas a cambio de una comisión: es una estafa de seguimiento habitual. Cuando tus cuentas vuelvan a estar seguras, revisa cada ajuste de seguridad que cambiaste con prisas y anota qué métodos de recuperación usa ahora cada cuenta para que no te pille desprevenido la próxima vez.

Conclusión

Los ataques de SIM swap aprovechan que muchas cuentas tratan tu número de teléfono como prueba de identidad. Elimina esa debilidad: pasa del SMS a una app de autenticación o una llave de seguridad, blinda tu cuenta con el operador, limita lo que compartes públicamente y guarda tus ahorros en autocustodia. Así, un número secuestrado será una molestia y no un desastre. Para conocer más defensas, consulta nuestras guías de seguridad.