SIM swapping

SIM swapping

En el Reino Unido se registraron casi 3.000 casos de SIM swap no autorizado en 2024, un 1.055 % más que el año anterior, según la National Fraud Database de Cifas —literal: «nearly 3,000 cases… surging by 1,055%»—. La nota de Cifas da el año 2024 y la variación, no el dato de partida: calcular la base de 2023 dividiendo hacia atrás produce una cifra que la fuente no publica, y ese es un cálculo que en un informe no se sostiene. En Australia, IDCARE atendió un 240 % más de casos, y añade el dato que más importa a efectos de prueba: el 90 % ocurrió sin que la víctima hiciera nada. En España, la Operación Quinientos Dusim —Policía Nacional y Guardia Civil con Europol— se saldó con 12 detenidos de entre 22 y 52 años, de nacionalidad italiana, rumana, colombiana y española, que habían golpeado más de cien veces robando entre 6.000 y 137.000 euros por ataque, más de tres millones en total. La Operación Fontana-Almabahía, en el sur de Tenerife, se saldó con 106 detenidos por blanquear más de diez millones de euros procedentes de estafa informática —phishing, SIM swapping y fraude del CEO— a través de una red de mulas y sociedades pantalla, para varios clanes de la mafia italiana. La investigación fue de la Policía Nacional con la Polizia di Stato y Europol. En Estados Unidos, el FBI registró 982 denuncias de SIM swap con pérdidas de 25.983.946 dólares en 2024 y 971 denuncias con 17.366.758 en 2025 (Internet Crime Report 2025, PDF). Conviene leer la serie entera antes de sacar conclusiones: desde los 72.652.571 de 2022, las pérdidas caen tres años seguidos mientras las denuncias apenas se reducen a la mitad. La serie muestra una caída de las denuncias y de las pérdidas reportadas a IC3; por sí sola no permite atribuirla a una mayor dificultad del ataque ni a una medida de control concreta.

Definición técnica

El SIM swapping (también llamado “SIM hijacking” o “duplicado fraudulento de SIM”) es una técnica de ataque en la que el ciberdelincuente obtiene el control del número de teléfono de la víctima transfiriéndolo a una tarjeta SIM en su posesión. No es un ataque técnico al protocolo de telecomunicaciones, sino un ataque de ingeniería social contra los procesos de verificación de identidad de la operadora.

Flujo de un ataque SIM swap:

Fase 1: Reconocimiento
──────────────────────
Atacante recopila datos de la víctima:
- Nombre completo, DNI, fecha nacimiento
- Número de teléfono, operadora
- Datos de redes sociales, preguntas de seguridad
(Fuentes: dark web, OSINT, phishing previo)

Fase 2: Ingeniería social / Insider
────────────────────────────────────
Opción A: Llamada/visita a tienda de operadora
            con DNI falso o datos suficientes
Opción B: Empleado corrupto de la operadora
            (insider: empleado captado por la organización)
Opción C: Acceso al portal web de la operadora
            con credenciales robadas del empleado

Fase 3: Activación de nueva SIM
────────────────────────────────
- Operadora desactiva SIM de la víctima
- Activa nueva SIM con el mismo número
- Víctima pierde cobertura inmediatamente
- Atacante recibe llamadas y SMS de la víctima

Fase 4: Acceso a cuentas
─────────────────────────
- Atacante solicita "Olvidé mi contraseña"
- SMS OTP llega a la SIM del atacante
- Accede a banca online, email, redes sociales
- Realiza transferencias, cambia contraseñas
- El vaciado es **rápido**: el atacante actúa mientras controla el número. No se da aquí un tiempo medio —las cifras que circulan varían entre sí dentro de este mismo artículo y ninguna procede de una serie publicada—

Cómo detectar un SIM swap: indicadores forenses

La detección temprana es crítica porque la ventana del atacante es corta: dura mientras controla el número y antes de que la víctima recupere la línea.

Indicadores durante el ataque:

Artefactos forenses post-incidente:

• Registros de la operadora: Fecha, hora, ubicación y método del cambio de SIM. Identificación utilizada (DNI real o falso). Empleado que procesó la solicitud
• Logs bancarios: IPs de acceso, timestamps de login y operaciones, user-agent, resultado de verificación 2FA
• Registros del dispositivo de la víctima: Momento exacto de pérdida de cobertura (logs de red del smartphone), última torre celular conectada
• Email y redes sociales: Logs de login, cambios de configuración de seguridad, actividad realizada durante el compromiso

Investigación forense de SIM swapping

Caso práctico: SIM swap para vaciado de cuenta bancaria

Nota: El siguiente caso es un ejemplo compuesto y anonimizado basado en tipologías reales de peritaje informático. No representa un caso específico real.

Contexto: Un autónomo de Málaga perdió 28.000 EUR de su cuenta de negocio en una transferencia no autorizada. El banco rechazó el reembolso argumentando que la operación fue validada con SMS OTP y por tanto fue “autorizada por el cliente”. El afectado denunció y contrató peritaje forense.

Investigación forense:

1. Registros de la operadora: Se obtuvieron judicialmente. Revelaron que un duplicado de SIM fue emitido en una tienda de la operadora en Madrid (a 550 km de la residencia del afectado), presentando una fotocopia del DNI del titular
2. Logs del smartphone: El análisis del iPhone del afectado mostró pérdida de cobertura a las 14:23h. Los registros de la operadora confirmaban la activación de la nueva SIM a las 14:21h
3. Logs bancarios: A las 14:31h (8 minutos después del SIM swap), se realizó un login en banca online desde una IP de un datacenter de VPN. A las 14:38h se ejecutó la transferencia de 28.000 EUR a una cuenta en un neobanco lituano
4. Análisis de la cuenta destino: Se identificó como cuenta mula, abierta 48 horas antes con documentación falsa. Los fondos fueron convertidos a criptomonedas en 20 minutos
5. Evidencia de diligencia: El afectado tenía contraseña robusta (16 caracteres), no había caído en phishing conocido, y la única 2FA ofrecida por el banco era SMS

Qué se juega en un caso así: el escenario es compuesto, de modo que no tiene informe, resultado procesal ni investigación que puedan citarse. Lo que sí es real es el precepto sobre el que se discute: el art. 44 del Real Decreto-ley 19/2018 sitúa en el proveedor de servicios de pago la carga de probar que la operación fue autenticada y que hubo fraude o negligencia grave del usuario, y el art. 45 obliga a devolver el importe de una operación no autorizada.

Eso no significa que un SIM swap excluya por definición la negligencia del usuario: significa que no es el cliente quien tiene que probar que fue diligente. Y si el proveedor acredita negligencia grave, la pérdida puede recaer sobre el usuario. Lo que el peritaje aporta a esa discusión es acreditar el vector —duplicado emitido sin verificación adecuada— y descartar las conductas que sí serían negligentes.

Marco legal en España

Responsabilidad bancaria (PSD2):

• RDL 19/2018, art. 44 — «Prueba de la autenticación y ejecución de las operaciones de pago»: si el usuario niega haber autorizado la operación, corresponde al proveedor probar que se autenticó y registró correctamente.
• RDL 19/2018, art. 45 — «Responsabilidad del proveedor de servicios de pago en caso de operaciones de pago no autorizadas»: es aquí donde está el deber de devolver el importe, con las excepciones de fraude o negligencia grave del usuario. Son dos artículos distintos y conviene no fundirlos: uno reparte la carga, el otro fija la consecuencia. El SIM swapping NO constituye negligencia del usuario
• RDL 19/2018, art. 43.1 — «Notificación y rectificación de operaciones de pago no autorizadas o ejecutadas incorrectamente». El titular debe notificar sin demora indebida, con un máximo de trece meses desde el cargo. (El art. 36 es otra cosa: consentimiento y su retirada.)
• Directiva PSD2 (UE 2015/2366): exige autenticación reforzada del cliente (SCA) con dos elementos de categorías independientes —conocimiento, posesión, inherencia— y vinculación dinámica al importe y al beneficiario.

Responsabilidad de la operadora:

Aquí conviene ser preciso, porque es donde más se cita mal. Ni el RD 899/2009 —la carta de derechos del usuario de servicios de comunicaciones electrónicas— ni la Ley 11/2022, General de Telecomunicaciones mencionan la emisión de duplicados de SIM: la segunda impone obligaciones generales de seguridad e integridad del servicio, pero ninguna de las dos desciende a ese trámite. Citar el RD 899/2009 como si obligara a identificar al solicitante es un error frecuente y comprobable en treinta segundos.

Pero eso no significa que no haya vía. La hay, y está confirmada judicialmente por la vía de protección de datos:

Con eso, la reclamación se puede levantar por dos vías distintas e independientes:

• Protección de datos, ante la AEPD, por el art. 5.1.f) RGPD —y, según cómo se articule el caso, también por el 6.1 o por el 32—. Lo que se discute es si la operadora aplicó medidas suficientes para identificar a quien pidió el duplicado.
• Civil, acreditando la falta de diligencia del caso concreto (art. 1104 y art. 1902 del Código Civil): qué comprobó y qué no al emitir el duplicado, por qué canal, con qué documentación y si avisó al titular.

Buena parte de esa prueba la tiene la operadora, no la víctima: por eso el peritaje se orienta a fijar la ventana temporal con lo que sí está al alcance —registros del terminal, avisos del banco, correos— y a fundamentar la petición de los registros que solo ella conserva. Lo que pese cada elemento lo decide después el tribunal conforme a la sana crítica del art. 348 LEC.

Código Penal:

• Art. 249.1.a) CP: tras la reforma de la LO 14/2022, la estafa informática vive en este apartado — «los que, con ánimo de lucro, (…) valiéndose de cualquier otra manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro». El SIM swap seguido de transferencia encaja ahí, no en el art. 248, que es el engaño clásico a una persona
• Art. 399 bis CP: Falsificación de tarjetas de crédito y débito. Aplicable si se utilizan los datos para clonar tarjetas
• Art. 390-392 CP: Falsificación de documentos. El uso de DNI falso para realizar el SIM swap
• Art. 301 CP: Blanqueo de capitales. El movimiento de fondos a cuentas mula y conversión a criptomonedas

Medidas de protección

Protección personal:

Plan de respuesta inmediata ante sospecha de SIM swap:

Protección para empresas:

• Implementar MFA con tokens hardware (FIDO2) para todos los accesos corporativos, eliminando la dependencia de SMS
• Establecer acuerdos con operadoras de telefonía para cuentas corporativas con verificación reforzada de identidad
• Formar a empleados sobre el riesgo de SIM swapping y la importancia de reportar inmediatamente la pérdida de servicio móvil
• Monitorizar accesos a sistemas corporativos desde nuevas ubicaciones geográficas o dispositivos

Estadísticas de SIM swapping por sector

A quién se ataca, y por qué. No hay un reparto porcentual por sector que alguien publique —desconfíe de las tablas que lo dan con dos decimales—, pero sí un patrón claro en las operaciones documentadas y en los avisos del FBI:

Los ataques de SIM swapping contra tenedores de criptomonedas son especialmente devastadores porque, a diferencia de una transferencia bancaria, una transacción confirmada no tiene mecanismo central de reversión ni devolución de cargo.

Evolución del SIM swapping: de ingeniería social a herramienta organizada

El SIM swapping ha evolucionado significativamente en los últimos años:

Evolución cronológica:

• 2015-2018: Ataques aislados, principalmente contra holders de criptomonedas en EE.UU. Técnica conocida en círculos reducidos
• 2019-2020: Expansión a Europa. Primeras detenciones masivas (Operación Quinientos Dusim en España, Fontana-Almabahía en Tenerife). El SIM swapping se convierte en servicio en la dark web
• 2021-2022: profesionalización. Las organizaciones criminales captan empleados de operadoras para saltarse la verificación de identidad. Se documenta la existencia de un mercado de servicios, aunque no de sus precios: las tarifas que circulan no proceden de una medición
• 2023-2024: Escalada masiva. El Reino Unido reporta incremento del 1.055%. Las operadoras comienzan a implementar medidas adicionales de verificación
• Respuesta regulatoria, que no forma un hito único ni es de 2025-2026: la FCC adoptó su orden sobre SIM swap y portabilidad fraudulenta en 2023; el documento de Ofcom localizado es de 2022 y describe un compromiso voluntario impulsado por la industria; y NIS2 es una directiva de 2022, aplicable desde octubre de 2024, que incluye la protección de infraestructura de telecomunicaciones

SIM swapping como servicio (SaaS criminal):

En la dark web, el SIM swapping se ha convertido en un servicio profesionalizado:

(Se describen las modalidades, no sus precios: los importes que circulan proceden de listas de vendedores y no de una medición, y varían entre foros y momentos.)

Esta profesionalización hace que la defensa individual (PIN de SIM, migración a TOTP) sea más importante que nunca.

Conceptos relacionados

• 2FA (Autenticación de dos factores) - El SIM swapping explota la vulnerabilidad de la 2FA por SMS
• Ingeniería social - Técnica principal utilizada para engañar a la operadora
• Vishing - Muchos SIM swaps se inician con una llamada fraudulenta a la operadora
• Credential harvesting - Obtención previa de datos personales necesarios para el SIM swap
• Mula bancaria - Las cuentas destino de las transferencias fraudulentas suelen ser cuentas mula
• Phishing - Método común de recopilación de datos previo al SIM swap

Preguntas frecuentes

¿Cómo puedo saber si soy víctima de un SIM swap?

La señal más inmediata es la pérdida repentina de cobertura móvil. Si tu teléfono muestra “Sin servicio” y no se restablece en pocos minutos, contacta inmediatamente con tu operadora desde otro teléfono. Otras señales incluyen: no recibir llamadas ni SMS, recibir notificaciones de login en cuentas desde dispositivos desconocidos, o descubrir transferencias bancarias no autorizadas.

¿El banco debe devolverme el dinero si sufro un SIM swap?

En la mayoría de casos, sí. El art. 45 del RDL 19/2018 (transposición de la PSD2) hace responsable al banco de las operaciones no autorizadas salvo que demuestre fraude o negligencia grave del usuario. El SIM swapping no constituye negligencia del usuario, ya que es un ataque contra la infraestructura de telecomunicaciones, no contra el propio usuario. Un informe pericial que documente la mecánica del ataque refuerza significativamente la reclamación.

¿Puedo demandar a la operadora que emitió el duplicado?

Si. Si la operadora emitió un duplicado de SIM sin verificar adecuadamente la identidad del solicitante (por ejemplo, aceptando una fotocopia de DNI o sin verificación presencial), incumplió sus obligaciones de seguridad. Se puede reclamar responsabilidad civil extracontractual por los daños derivados del SIM swap, incluyendo las pérdidas económicas y los daños morales.

¿Cuánto tarda un atacante en vaciar una cuenta tras un SIM swap?

Los ataques están altamente automatizados. Entre la activación de la nueva SIM y la transferencia transcurre muy poco tiempo, lo que explica que la reacción tenga que ser inmediata. No se da un intervalo: los que circulan no proceden de una serie publicada y se contradicen entre sí. Los atacantes profesionales tienen preparados los accesos a banca online y las cuentas destino (mulas) antes de ejecutar el SIM swap. Por eso la velocidad de respuesta es crítica: cada minuto que pasa reduce las posibilidades de bloquear la transferencia.

El análisis lo firma Jonathan Izquierdo, perito informático forense.

Referencias y fuentes

1. Cifas — 1,055% surge in unauthorised SIM swaps as mobile and telecoms sector hit hard by rising fraud, a partir de su informe Fraudscape. El porcentaje solo se entiende con la cifra absoluta que da la propia entidad: casi 3.000 casos en 2024 en la National Fraud Database, con un aumento del 1.055 % — la base de 2023 no la publica. En el mismo ejercicio, el 48 % de todos los casos de apropiación de cuentas afectó a cuentas de telefonía móvil

2. IDCARE (Australia y Nueva Zelanda) — Hijacked Connections: The Reality of Phone Porting and SIM swap scams: 240 % más casos atendidos en 2024 respecto a 2023, y un dato que importa al peritaje — el 90 % ocurrió sin intervención alguna de la víctima, que solo se entera cuando el teléfono pasa a modo «SOS»

3. Europol — The SIM highjackers: how criminals are stealing millions by highjacking phone numbers, 13 de marzo de 2020. Conviene no confundir las dos operaciones que recoge: Quinientos Dusim fue en España —Policía Nacional y Guardia Civil con el EC3, 12 detenidos en Benidorm, Granada y Valladolid, más de 100 ataques y más de 3 millones de euros, con importes de 6.000 a 137.000 € por víctima— mientras que la actuación en Austria y Rumanía fue la operación Smart Cash

4. FBI IC3. Internet Crime Report 2024. PDF oficial — comprobado en el informe: «SIM Swap 982» denuncias y «SIM Swap $25.983.946» en pérdidas.

5. Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago — transposición de la PSD2. El art. 44 reparte la carga de la prueba en operaciones no autorizadas, que es el precepto que se discute cuando el banco alega que el cliente autorizó la transferencia. Texto consolidado en el BOE

6. Directiva (UE) 2015/2366 (PSD2) — autenticación reforzada de cliente. Texto en EUR-Lex

7. Europol, SIM SWAPPING – A MOBILE PHONE SCAM (título del propio documento). europol.europa.eu

8. NIST SP 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management — ⚠️ retirada el 1 de agosto de 2025 y sustituida por la SP 800-63B-4. Se cita por su valor histórico en el debate sobre el OTP por SMS; para el criterio vigente hay que ir a la edición 4. csrc.nist.gov

9. Europol — The SIM highjackers: how criminals are stealing millions by highjacking phone numbers. Nota de prensa oficial de las operaciones contra el SIM swapping en España, Austria y Rumanía, incluida la Operación Quinientos Dusim. Fuente primaria.