l fraude de intercambio de SIM es un ataque de robo de cuenta en el que un delincuente transfiere el número de móvil de la víctima a una tarjeta SIM que controla —mediante ingeniería social del operador o una transferencia interna de número—, de modo que cualquier contraseña de un solo uso (OTP) enviada por SMS a ese número llega al dispositivo del atacante. Dado que el número de teléfono se utiliza como segundo factor de autenticación, una OTP por SMS por sí sola no puede detenerlo.
Este es un análisis exhaustivo sobre cómo combatir el intercambio de tarjetas SIM. Para la comprobación de red sin fricciones que constituye la base de la mayor parte de la defensa, consulta nuestra guía sobre autenticación de red silenciosa; esta publicación muestra cómo encaja con la detección de intercambio de tarjetas SIM y la autenticación por capas.
Cómo funciona realmente un cambio de tarjeta SIM
Un intercambio de SIM (también conocido como secuestro de SIM o portabilidad no autorizada) no ataca en absoluto tus servidores, sino el proceso de recuperación de cuenta de la red móvil. El delincuente primero recopila suficientes datos personales de la víctima para suplantar su identidad: nombre, fecha de nacimiento, dirección, los últimos números marcados o documentos de identidad filtrados. Luego, se pone en contacto con el operador de telefonía móvil de la víctima, alega que la SIM se ha perdido o está dañada y solicita que el número se vuelva a activar en una nueva SIM en su poder o que se transfiera a otro operador.
En ocasiones, el restablecimiento del servicio se logra mediante un empleado sobornado o coaccionado en una tienda o centro de llamadas, razón por la cual incluso los controles técnicos más estrictos deben asumir que la portabilidad puede tener éxito. En el momento en que se transfiere el número, el teléfono real de la víctima pierde el servicio silenciosamente, y todas las llamadas y mensajes de texto —incluidos los códigos OTP, los enlaces para restablecer contraseñas y las alertas de transacciones— se redirigen al atacante. A partir de ahí, la secuencia es rápida y mecánica:
- Activar un restablecimiento de contraseña o un inicio de sesión en una cuenta de destino (banco, monedero, correo electrónico, plataforma de intercambio) que utilice el número de teléfono para la recuperación o la autenticación de dos factores (2FA).
- Reciba la contraseña de un solo uso por SMS en la tarjeta SIM intercambiada y complete el desafío.
- Toma el control de la cuenta, cambia los datos de recuperación y bloquea el acceso al propietario legítimo.
- Drenar fondos, autorizar pagos o redirigir a otras cuentas que compartan el mismo número de recuperación.
Por qué el código OTP por SMS por sí solo no es suficiente
El sistema de contraseña de un solo uso (OTP) por SMS considera que el control del número de teléfono es prueba de posesión. Esta suposición se mantiene hasta que el número cambia de titularidad, y un intercambio de tarjeta SIM lo hace. El código en sí no supone ningún problema; la dificultad radica en que se entrega, en texto plano, a quien posee la tarjeta SIM en ese momento, y la red acaba de entregársela al atacante. Ni el mensaje, ni la longitud del código, ni el plazo de caducidad modifican quién lo recibe.
Por eso, los organismos de normalización ahora consideran los SMS como un canal de menor seguridad en lugar de un segundo factor robusto. El NIST clasifica la autenticación fuera de banda basada en SMS como un autenticador "restringido" en la norma SP 800-63B y exige que los verificadores detecten indicadores como un cambio reciente de SIM o la portabilidad numérica antes de confiar en ella. En la práctica, para un equipo de seguridad o de producto, la conclusión es clara: la OTP por SMS es aceptable como una señal en un diseño por capas, pero nunca debe ser la única puerta de acceso que proteja un restablecimiento de contraseña o una acción de alto valor. Consulte cómo planteamos esta estructura por capas en la descripción general de [seguridad].
Defensas en profundidad
Ningún control por sí solo detiene el intercambio de SIM, ya que el ataque abarca dos sistemas que no se controlan por completo: el proceso de aprovisionamiento del operador y el dispositivo del usuario. La solución más eficaz es la defensa en profundidad: verificar la posesión de la tarjeta SIM de forma que una SIM intercambiada no pueda hacerlo, detectar cuándo se ha producido un intercambio, vincular las sesiones a dispositivos conocidos y reforzar la seguridad cuando aumenta el riesgo. Cada capa inferior detiene el ataque en un punto diferente.
Autenticación de red silenciosa y verificación del número de operador
La autenticación silenciosa de red (SNA) confirma la posesión de la tarjeta SIM mediante una comprobación directa con el operador móvil a través de la sesión de datos activa, sin enviar ningún código. Dado que no se transmite ningún código OTP, una tarjeta SIM intercambiada no puede interceptarlo. Además, y esto es fundamental, la comprobación está vinculada a la conexión de red activa, por lo que refleja la tarjeta SIM que está conectada en ese momento. Las API de verificación de número de operador, estandarizadas bajo la iniciativa GSMA Open Gateway, son las que permiten que esta función esté disponible en todas las redes. La SNA se coloca al principio de la cascada, seguida de la OTP por SMS para mayor alcance. La mecánica completa se encuentra en nuestra guía de autenticación silenciosa de red.
Detección de intercambio/cambio de SIM
La medida más directa para contrarrestar esto es hacerle una pregunta sencilla a la red antes de confiar en una contraseña de un solo uso (OTP): ¿cuándo se cambió esta tarjeta SIM por última vez? La señalización del operador puede devolver la marca de tiempo del último cambio de SIM o portabilidad de un número. Si ese cambio ocurrió dentro de un período de riesgo (generalmente las últimas 24 a 72 horas), se debe tratar el número como de alto riesgo y rechazar una OTP por SMS o cualquier acción sensible en él. En lugar de autenticarse, se debe retener la autenticación, escalar a un factor de autenticación más fuerte o derivar el caso a revisión. Esto convierte el evento en el que se basa el atacante en la señal que lo detiene.
Enlace del dispositivo
Vincula la cuenta a los dispositivos que usa habitualmente. Cuando una credencial o sesión está vinculada a un dispositivo conocido —mediante una clave de hardware, una contraseña o una huella digital del dispositivo verificada—, un atacante que solo tenga el número seguirá estando en un dispositivo no reconocido. El inicio de sesión desde el nuevo dispositivo se convierte en una anomalía visible en lugar de un éxito silencioso, y puede requerir comprobaciones adicionales antes de que se le otorgue la confianza.
Autenticación reforzada en función del riesgo y el valor.
La dificultad del desafío debe ser proporcional al riesgo. Un inicio de sesión rutinario de solo lectura puede permitirse factores de seguridad leves; añadir un beneficiario, cambiar un número de recuperación o transferir dinero debería requerir un nivel de seguridad superior: un factor de seguridad resistente al phishing, una aprobación dentro de la aplicación o una nueva comprobación de la red. Cuando un cambio reciente de tarjeta SIM, un nuevo dispositivo o una ubicación inusual coinciden con una acción de alto valor, esta combinación siempre debería activar un nivel de seguridad más estricto que un código SMS.
Superponer los factores: la OTP es una señal, no el mecanismo completo.
El principio unificador consiste en dejar de permitir que cualquier señal de posesión de número funcione de forma aislada. Combine una verificación de posesión mediante la red, señales de cambio de SIM y del dispositivo, y un factor de resistencia al phishing para los flujos de mayor valor, y mantenga la OTP por SMS como alternativa universal para garantizar el alcance. En función del ataque, las capas lo neutralizan en cada paso:
| Paso de ataque | Lo que gana el atacante | Control que lo rompe |
|---|---|---|
| Transfiere el número a una nueva tarjeta SIM. | Mensajes SMS y llamadas entrantes | Detección de intercambio de SIM en la marca de tiempo del último cambio |
| Activar un código OTP por SMS | El código de un solo uso en su dispositivo | Autenticación de red silenciosa (no se envía ningún código) |
| Iniciar sesión desde un nuevo dispositivo | Una sesión en la cuenta objetivo | Vinculación de dispositivos más autenticación de nivel superior |
| Transferir dinero o cambiar detalles | Pago o adquisición total | Autenticación por capas: la OTP es un factor, nunca el único. |
El ángulo bancario de MENA y GCC
En el Golfo, este no es un riesgo abstracto. Según el informe de GSMA Mobile Economy, el Consejo de Cooperación del Golfo (CCG) se encuentra entre los mercados con mayor penetración de teléfonos inteligentes y adopción de la banca móvil a nivel mundial, y las billeteras móviles y los sistemas de pago instantáneo ya son de uso común en los Emiratos Árabes Unidos, Arabia Saudita y Egipto. Dado que el teléfono es el principal canal para las operaciones bancarias y la identificación gubernamental, el número de teléfono se convierte en un objetivo de gran valor, y un intercambio exitoso tiene repercusiones financieras inmediatas. Por consiguiente, los reguladores y bancos regionales están endureciendo los requisitos de incremento para las transferencias de alto valor y los cambios de beneficiarios.
Para los bancos y las empresas fintech de la región, la estrategia más segura es la descrita anteriormente, implementada mediante infraestructura directa del operador. La verificación de posesión mediante la red y la consulta de cambio de SIM dependen de relaciones de señalización reales con los operadores de destino; la misma huella de ruta directa que garantiza la fiabilidad de la entrega A2P es la que permite una detección precisa del cambio de SIM. Las rutas no oficiales no proporcionan una marca de tiempo fiable del último cambio de SIM.
La pila de OTP y verificación de BroadNet ejecuta primero la autenticación silenciosa de la red, comprueba si ha habido cambios recientes en la SIM antes de validar un código y recurre a SMS únicamente para garantizar la cobertura; por lo tanto, una SIM intercambiada no supera la comprobación de posesión en lugar de aprobarla. Para un widget de verificación fácil de usar con respaldo de voz, basado en la misma red del operador, consulte MyOTP.
Preguntas frecuentes
¿Qué es el fraude de intercambio de SIM?
El fraude de intercambio de SIM es una técnica de robo de cuentas en la que un delincuente convence a un operador de telefonía móvil para que transfiera el número de teléfono de la víctima a una tarjeta SIM que él controla, ya sea mediante ingeniería social, datos de identidad robados o a través de un empleado del operador. Una vez transferido el número, las llamadas y los mensajes de texto, incluidas las contraseñas de un solo uso por SMS, llegan al dispositivo del atacante, lo que le permite eludir la autenticación telefónica y secuestrar las cuentas.
¿Es posible eludir el código OTP por SMS mediante un cambio de tarjeta SIM?
Sí. Esa es la principal vulnerabilidad que explota un intercambio de SIM. El código OTP por SMS asume que el control del número demuestra la posesión, pero un intercambio redirige el número a la SIM del atacante, por lo que el código se entrega directamente a este. La defensa no consiste en un código mejor, sino en una verificación diferente: autenticación de red silenciosa, una consulta de cambio de SIM antes de aceptar el código OTP, vinculación del dispositivo y autenticación reforzada para acciones de alto valor.
¿Cómo previenen los bancos los ataques de intercambio de tarjetas SIM?
Los principales bancos implementan múltiples controles. Consultan la red para obtener la marca de tiempo del último cambio de SIM y rechazan las OTP o las transacciones de alto valor cuando el cambio es reciente; utilizan autenticación de red silenciosa para evitar el envío de código interceptable; vinculan las sesiones a dispositivos conocidos; y refuerzan la seguridad contra el phishing para las transferencias de dinero y los cambios de beneficiarios. La OTP por SMS se mantiene como una señal más entre muchas, no como el único control.
Referencias
- NIST — Directrices de identidad digital SP 800-63B (orientación sobre autenticación y fuera de banda): nist.gov
- GSMA — API de Open Gateway, verificación de números e intercambio de SIM: gsma.com
- BroadNet — OTP y verificación y la descripción general de seguridad.
- BroadNet — Autenticación de red silenciosa en 2026.