SIM swapping

El vector principal es la ingeniería social contra el call center del operador o el soborno de empleados internos. Se han documentado mensajes a empleados de operadoras en EE. UU. ofreciendo sumas modestas por cada SIM swap. Tras el traspaso del número, todo SMS con código de un solo uso, toda verificación por voz y todo reseteo por SMS llega al atacante. Eso permite saltar el 2FA por SMS de exchanges, correo y banca, y de ahí robar cuentas y fondos. Es un ataque a la capa de telecomunicaciones y de identidad, no a la red: no toca la clave privada directamente, pero puede abrir la puerta a ella vía un exchange custodiado o el correo de recuperación.

La regulación ya ha reaccionado. La FCC de EE. UU. adoptó en noviembre de 2023 reglas sobre SIM swap y portabilidad cuya fecha de cumplimiento se fijó en julio de 2024, y obligan a las operadoras a autenticar de forma segura al cliente antes de un cambio de SIM o una portabilidad. Están basadas en resultados, no prescriben una tecnología concreta, por lo que persiste cierto margen para la ingeniería social. La tendencia que reflejan los informes de seguridad es de aumento sostenido de los casos, lo que explica el endurecimiento normativo.

Las mitigaciones son directas: sustituir el 2FA por SMS por una app autenticadora (TOTP) o por llaves de hardware FIDO2 y passkeys, activar un PIN o clave de transferencia con el operador, bloquear la portabilidad del número y nunca usar el teléfono como factor único en cuentas vinculadas a activos. En España, la portabilidad la coordinan los operadores bajo supervisión de la CNMC, y conviene fijar con el proveedor las cautelas anteriores. Iniciativas como el operador Cape, centrado en privacidad, y expedientes como el de EPIC ante la FCC ilustran la respuesta al fenómeno. El SIM swapping es una vía de entrada hacia el compromiso de clave o de cuenta cuando la seguridad depende del teléfono.