¿Qué es el intercambio o duplicado de SIM?
El intercambio de SIM (en inglés, SIM swapping) es un fraude en el que un delincuente consigue que tu operadora de telefonía active tu número en una tarjeta SIM o eSIM que controla él. En España se conoce popularmente como fraude del duplicado de SIM, porque el mecanismo más habitual es solicitar un duplicado de tu tarjeta haciéndose pasar por ti.
En el momento en que el duplicado se activa, tu tarjeta deja de funcionar y todas las llamadas y SMS dirigidos a tu número llegan al teléfono del atacante. El objetivo casi nunca es tu línea en sí: lo que buscan son los códigos de verificación por SMS que usan bancos, correos y redes sociales para confirmar operaciones o recuperar contraseñas.
No hace falta ningún conocimiento técnico avanzado. Es, sobre todo, un ataque de ingeniería social: engañar a personas (a ti primero y a la operadora después) para que entreguen algo que no deberían.
¿Cómo funciona el ataque paso a paso?
Aunque cada caso es distinto, la secuencia típica que describen las fuerzas de seguridad y los organismos de ciberseguridad tiene cuatro fases:
Anatomía de un fraude de duplicado de SIM
- Recopilación de datos personales.El atacante obtiene tu nombre, DNI, número de teléfono y, a menudo, las credenciales de tu banca online. Las vías habituales son SMS o correos falsos que imitan a tu banco (phishing y smishing), llamadas fraudulentas, filtraciones de datos y lo que publicas en redes sociales.
- Suplantación ante la operadora.Con esos datos, solicita un duplicado de tu SIM o la activación de una eSIM: por teléfono, en una tienda con documentación falsificada o a través de canales online con verificaciones débiles.
- Recepción de tus SMS.Tu móvil se queda sin servicio. A partir de ese momento, los códigos de un solo uso que te envía el banco llegan al atacante.
- Acceso y vaciado.Entra en tu banca online con las credenciales robadas, confirma transferencias o compras con los códigos SMS y, en algunos casos, cambia la contraseña de tu correo para que no puedas recuperar las cuentas.
La clave está en la combinación: el duplicado de SIM por sí solo no da acceso a tu banco, y la contraseña robada por sí sola tampoco si el banco exige un código. Juntos, sí. Por eso el ataque suele empezar mucho antes de que notes nada, con un mensaje de phishing aparentemente inofensivo.
¿Qué señales indican que te están haciendo un SIM swap?
El aviso más claro es también el más fácil de ignorar:
- Tu móvil se queda de repente sin cobertura («Sin servicio» o «Solo emergencias») en un lugar donde normalmente tienes señal, y no vuelve al reiniciarlo.
- Recibes un SMS o correo de tu operadora sobre un cambio de SIM, una activación de eSIM o una portabilidad que no has pedido.
- Dejas de recibir llamadas y SMS, y tus contactos te dicen que el teléfono da apagado o que contesta otra persona.
- Te llegan avisos de inicio de sesión o de cambio de contraseña en tu correo o redes sociales que no reconoces.
- Movimientos bancarios desconocidos o alertas de nuevos dispositivos vinculados a tu banca.
¿Cómo protegerte del duplicado de SIM?
1. Deja de depender del SMS como segundo factor
Es la medida más eficaz. Si el atacante consigue tu número pero tus cuentas no usan el SMS para verificar, el duplicado le sirve de poco. Siempre que el servicio lo permita, cambia la verificación en dos pasos a una aplicación de autenticación (códigos TOTP) o, mejor aún, a una llave física FIDO2 o una passkey, que además resisten el phishing.
En banca, muchas entidades españolas ya confirman las operaciones mediante su propia app (una notificación que apruebas en el móvil vinculado) en lugar de un SMS. Si tu banco lo ofrece, actívalo y revisa que el SMS no siga siendo una vía alternativa para autorizar pagos.
Revisa también los métodos de recuperación de cuenta: en muchos servicios el número de teléfono sigue funcionando como puerta trasera para restablecer la contraseña aunque uses una app para el segundo factor. Si puedes quitarlo, hazlo, o al menos asegúrate de tener alternativas como códigos de respaldo.
2. Refuerza tu línea con la operadora
- Pregunta a tu operadora si permite configurar una clave o PIN de cliente que se exija para cualquier gestión, incluido el duplicado de SIM.
- Comprueba qué avisos envía cuando se solicita un duplicado o una eSIM, y a qué correo o teléfono llegan.
- Protege el área de cliente online de la operadora con una contraseña única y verificación en dos pasos: desde ahí también se pueden gestionar eSIM.
Este tipo de fraude ha estado en el punto de mira de las autoridades españolas. La Agencia Española de Protección de Datos (AEPD) ha sancionado a operadoras por entregar duplicados sin comprobar adecuadamente la identidad del solicitante, y reguladores y Administración han presionado al sector para endurecer las verificaciones. Aun así, ninguna verificación es infalible frente a documentación falsificada, así que no delegues toda tu seguridad en la operadora.
3. Expón menos datos personales
El duplicado empieza con información sobre ti. Cuanto menos haya disponible, más difícil es suplantarte:
- No publiques tu número de teléfono, DNI ni fecha de nacimiento en redes sociales.
- Desconfía de cualquier SMS, correo o llamada que te pida datos o te dirija a una web para «verificar tu cuenta». Tu banco no te pedirá nunca códigos ni contraseñas por esas vías.
- Comprueba si tu correo aparece en filtraciones conocidas con nuestra guía sobre contraseñas filtradas y cambia las claves afectadas.
4. Activa las alertas del banco
Configura notificaciones en la app del banco para cada movimiento, cada nuevo dispositivo vinculado y cada cambio de datos de contacto. Asegúrate de que estas alertas llegan por notificación de la app o por correo, no solo por SMS: si el atacante tiene tu número, también recibirá esos avisos.
5. Usa contraseñas únicas en banca y correo
Recuerda que el SIM swap necesita, casi siempre, tu contraseña además del código. Una contraseña única para el banco y otra para el correo, guardadas en un gestor de contraseñas, hacen que una filtración de otro servicio no le sirva al atacante.
¿Qué hacer si ya te ha pasado?
Plan de respuesta inmediata
- Llama a tu operadora desde otro teléfono.Explica que sospechas de un duplicado fraudulento, pide que bloqueen la SIM activa y que te emitan una nueva tras verificar tu identidad. Solicita información sobre cuándo y por qué canal se pidió el duplicado.
- Contacta con tu banco.Usa el teléfono de urgencias que aparece en su web o en tu tarjeta. Pide el bloqueo de la banca online y de las tarjetas, y comunica cualquier operación que no reconozcas para iniciar la reclamación.
- Recupera tu correo electrónico.Cambia la contraseña, cierra las sesiones abiertas y revisa reglas de reenvío y métodos de recuperación añadidos por el atacante.
- Denuncia ante la Policía Nacional o la Guardia Civil.Lleva toda la documentación: capturas de los mensajes, extractos bancarios y la información que te haya dado la operadora. La denuncia suele ser necesaria para las reclamaciones.
- Pide ayuda al 017.La línea gratuita y confidencial de ayuda en ciberseguridad de INCIBE te orienta sobre los pasos a seguir y cómo proteger el resto de tus cuentas.
Después del incidente, revisa todas las cuentas que usaban tu número de teléfono como segundo factor o como método de recuperación y migra a métodos más robustos. Si quieres hacerlo con orden, sigue nuestra auditoría de cuentas en 15 minutos.