Duplicado de SIM (SIM swapping): cómo te pueden robar el número y vaciar la cuenta

En la estafa del duplicado de SIM (en inglés, SIM swapping), un delincuente consigue que tu operadora le entregue una tarjeta SIM con tu número de teléfono. A partir de ese momento, los SMS con códigos del banco le llegan a él. Si además tiene tus claves (por un SMS falso o una filtración anterior), puede entrar en tu banca y hacer transferencias. La señal clave: tu móvil se queda de repente sin cobertura sin motivo aparente.

Lo que hace peligrosa esta estafa es que ataca justo la pieza que muchos usamos como “seguro”: el SMS con el código de confirmación. Si tu número pasa a otra SIM, ese segundo factor deja de protegerte y empieza a trabajar para el delincuente.

Por qué tu número de teléfono vale tanto

Tu número de móvil se ha convertido en una especie de llave maestra. Lo usan los bancos para enviarte códigos de un solo uso, los servicios de correo para recuperar la contraseña, las redes sociales para verificar tu identidad y muchas tiendas online para confirmar compras. Quien controla tu número puede, en muchos casos, pedir “he olvidado mi contraseña” y recibir el código de recuperación.

Por eso el duplicado de SIM rara vez es un ataque aislado. Suele ser la segunda fase de algo que empezó antes: un SMS falso de tu banco, una llamada que se hacía pasar por la entidad o una filtración de datos de algún servicio en el que estabas registrado. Con tus claves en la mano, al delincuente solo le falta recibir el código que confirma la operación, y eso es lo que consigue con el duplicado.

Cómo lo hacen

1. Reúnen tus datos: nombre, DNI, dirección, a veces tus claves del banco, mediante SMS falsos, correos fraudulentos o filtraciones.
2. Se hacen pasar por ti ante la operadora (en tienda, por teléfono o por internet) y piden un duplicado de la SIM, a veces con documentación falsificada.
3. Tu SIM deja de funcionar y la suya se activa con tu número.
4. Reciben tus códigos de verificación y operan en tu banco o cambian contraseñas de tu correo.

Hay una variante cada vez más relevante con la eSIM: en lugar de una tarjeta física, el delincuente pide que se active un perfil eSIM en un móvil suyo. El efecto para ti es exactamente el mismo: tu línea deja de funcionar.

Señales de alarma

• El móvil muestra “Sin servicio” o “Solo llamadas de emergencia” en un lugar donde normalmente tienes cobertura.
• Recibes un aviso de la operadora sobre un cambio de SIM o una portabilidad que no has pedido.
• Dejas de recibir llamadas y SMS.
• Te llegan correos de cambio de contraseña o de inicio de sesión desde un dispositivo nuevo que no reconoces.
• Tu banco te avisa por correo o por notificación de un nuevo dispositivo vinculado a tu banca.

Ninguna de estas señales por separado demuestra que te estén atacando; quedarse sin cobertura es algo que pasa a menudo. Lo que debe ponerte en alerta es la combinación: sin línea en un sitio donde siempre tienes, sobre todo si en los días anteriores recibiste algún SMS o llamada sospechosa del “banco”.

Qué hacer en los primeros minutos

El tiempo importa. Cuanto antes bloquees la SIM duplicada y el acceso a tu banca, menos margen tiene el delincuente.

1. Reinicia el móvil para descartar un fallo puntual. Comprueba también si tienes activado el modo avión. Si sigue sin línea y otras personas a tu lado sí tienen cobertura con la misma operadora, actúa.
2. Llama a tu operadora desde otro teléfono (el de un familiar, un compañero o un fijo) y pregunta si se ha emitido un duplicado de tu SIM o una portabilidad. Si es así, pide que la bloqueen de inmediato y que te expliquen cómo recuperar tu línea.
3. Llama a tu banco por su teléfono oficial (el que aparece en el dorso de tu tarjeta o en su web) y pide bloquear el acceso a la banca online, las tarjetas y Bizum.
4. Cambia la contraseña de tu correo desde un dispositivo de confianza, cierra las sesiones abiertas y revisa que no haya reglas de reenvío o direcciones de recuperación nuevas.
5. Revisa los movimientos y, si hay operaciones que no hiciste, sigue los pasos de cómo reclamar al banco.
6. Denuncia en la Policía Nacional, la Guardia Civil o la policía autonómica. Lleva la información que te haya dado la operadora (fecha y hora del duplicado, tienda o canal donde se pidió) y los movimientos bancarios.
7. Si necesitas orientación, llama al 017, la línea gratuita de ayuda en ciberseguridad de INCIBE.

Un detalle que se suele olvidar

Cuando recuperes la línea, revisa las cuentas que dependen de tu número: correo, redes sociales, apps de mensajería y tiendas online. En WhatsApp, por ejemplo, conviene activar la verificación en dos pasos (un PIN propio) desde Ajustes > Cuenta > Verificación en dos pasos, para que nadie pueda registrar tu número en otro móvil solo con el código del SMS.

¿Te devuelve el banco el dinero?

En España, los pagos no autorizados están regulados por el Real Decreto-ley 19/2018 de servicios de pago, que traslada la normativa europea PSD2. Si una operación no la has autorizado tú, el banco debe devolverte el importe con carácter general, salvo que demuestre fraude por tu parte o que actuaste con negligencia grave. Antes de comunicar el robo, la ley prevé que el cliente pueda soportar pérdidas de hasta 50 euros, también salvo esos supuestos.

En los casos de duplicado de SIM, la discusión suele centrarse en si diste tus claves a un tercero. Por eso es importante contar con detalle cómo ocurrió, aportar la denuncia y la confirmación de la operadora de que se emitió un duplicado sin tu consentimiento. Tienes los pasos completos para reclamar, incluido el Servicio de Reclamaciones del Banco de España, en me han robado dinero de la cuenta.

Además, si la operadora entregó tu SIM a otra persona sin comprobar bien su identidad, eso afecta al tratamiento de tus datos personales. Puedes reclamar primero ante la propia operadora y, si no te responde o no te convence la respuesta, valorar una reclamación ante la AEPD.

Cómo protegerte

La protección tiene dos frentes: que sea difícil pedir un duplicado en tu nombre y que, aunque lo consigan, tu número no baste para entrar en tus cuentas.

Que tu número no sea la única llave

• No des tus claves ni tus datos por SMS, correo o teléfono: sin tus claves, un duplicado de SIM sirve de poco para entrar en tu banco.
• Usa una app autenticadora o passkeys en tu correo en lugar del SMS como segundo paso (verificación en dos pasos). El correo es el servicio más importante que debes blindar, porque desde él se recuperan casi todas las demás cuentas.
• Confirma operaciones del banco en la app en lugar de por SMS, si tu banco lo permite. Muchas entidades ya envían la confirmación como notificación dentro de la app, ligada a tu dispositivo.
• Usa un gestor de contraseñas con contraseñas distintas para cada servicio, para que una filtración en una web no les dé acceso a todo lo demás.

Que sea más difícil pedir el duplicado

• Pregunta a tu operadora si ofrece medidas adicionales para pedir duplicados (por ejemplo, una clave de cliente o un aviso previo) y actívalas.
• Limita los datos personales que publicas en redes sociales: fecha de nacimiento, dirección o fotos de documentos ayudan a quien quiere suplantarte.
• No envíes fotos de tu DNI a desconocidos, por ejemplo en compraventas de segunda mano.

El PIN de la SIM

El PIN de la SIM no impide un duplicado (la operadora emite una tarjeta nueva), pero sí evita que alguien use tu tarjeta física en otro teléfono si te roban el móvil. Puedes activarlo o cambiarlo así:

• iPhone: Ajustes > Datos móviles (o Móvil) > PIN de la SIM.
• Android: depende del fabricante. Suele estar en Ajustes > Seguridad (o Seguridad y privacidad) > Más ajustes de seguridad > Bloqueo de la tarjeta SIM. Si no lo encuentras, usa el buscador de Ajustes y escribe “SIM”.

Cambia el PIN que venía por defecto. Si introduces mal el PIN varias veces, la SIM se bloquea y necesitarás el código PUK, que aparece en la tarjeta de plástico donde venía la SIM o en el área de cliente de tu operadora.

Errores frecuentes

• Esperar a ver si “vuelve la cobertura” durante horas. Si hay motivos para sospechar, una llamada a la operadora sale gratis.
• Llamar al banco desde un número que aparece en un SMS en lugar del teléfono oficial. Si el ataque empezó con un SMS falso, ese número puede ser el de los estafadores.
• Cambiar solo la clave del banco y olvidarse del correo, que es por donde se recuperan el resto de cuentas.
• Tirar el SMS o el correo falso que recibiste antes del ataque: es una prueba útil para la denuncia.

Preguntas frecuentes

¿Pueden hacerme un duplicado de SIM sin que yo haga nada?

En teoría, un delincuente con suficientes datos tuyos puede intentarlo sin tu participación. Pero para vaciar tu cuenta bancaria normalmente necesita también tus claves de acceso, y eso suele obtenerlo engañándote antes. Por eso la mejor defensa es no facilitar claves ni códigos a nadie, aunque diga ser de tu banco.

Si uso eSIM, ¿estoy más protegido?

No necesariamente. La eSIM evita que te roben la tarjeta física, pero el riesgo del duplicado está en el proceso de la operadora para emitir una SIM o eSIM nueva. Lo que de verdad te protege es reducir tu dependencia del SMS como segundo factor.

¿Cuánto tarda en activarse la SIM duplicada?

Depende de la operadora y del canal, y no hay un plazo fijo que puedas dar por hecho. Lo prudente es actuar en cuanto notes que te has quedado sin línea sin una explicación clara.

¿Tengo que pagar por recuperar mi número?

Ponte en contacto con tu operadora para que te explique el procedimiento. Si el duplicado se emitió por un fallo en la verificación de tu identidad, déjalo por escrito en tu reclamación.

Relacionado: Verificación en dos pasos · He perdido el móvil con las apps del banco