Hace poco me llamó un cliente, bastante alterado, contándome que no podía acceder a su cuenta bancaria empresarial. Lo curioso es que no había cambiado ninguna contraseña. Minutos después, su móvil dejó de recibir llamadas y SMS. Lo que estaba viviendo era un caso clásico de SIM swapping. Afortunadamente reaccionó a tiempo y pudimos ayudarle a contener el daño. Pero te aseguro que, si no hubiese actuado rápido, hoy estaría lamentando la pérdida de decenas de miles de euros.
Y no, no estamos hablando de grandes empresas o bancos internacionales. Esto le puede pasar a cualquier pyme, incluso si crees que estás “bien cubierto”.
En este artículo quiero explicarte, desde mi experiencia en seguridad informática, qué es el SIM swapping, cómo funciona, por qué puede afectar directamente a tu negocio y, sobre todo, cómo protegerte de forma proactiva.
¿Qué es exactamente el SIM swapping y cómo funciona?
El SIM swapping, también conocido como duplicado de SIM o suplantación de tarjeta SIM, es un tipo de ataque en el que un ciberdelincuente logra duplicar tu número de teléfono móvil y recibir todos los mensajes y llamadas que van dirigidas a ti, incluidos los códigos de verificación 2FA.
Así funciona el proceso, paso a paso:
- Investigación previa: el atacante recopila datos personales tuyos (nombre, DNI, teléfono, etc.), a menudo a través de filtraciones, redes sociales o ingeniería social.
- Engaño a la operadora: se hace pasar por ti ante la operadora móvil para solicitar un duplicado de tu SIM, alegando pérdida o robo del teléfono.
- Activación de la nueva SIM: cuando la operadora cae en la trampa, desactiva tu tarjeta original y activa una nueva en poder del atacante.
- Acceso a cuentas sensibles: con tu número en su poder, el delincuente puede acceder a tus cuentas bancarias, correo, redes sociales o sistemas empresariales que usen verificación por SMS.
Una vez el atacante entra, la ventana de tiempo es crítica. Puede transferir fondos, cambiar contraseñas y hasta dejarte fuera de tu propia infraestructura digital.
Casos reales de SIM swapping que han afectado a empresas y usuarios
Este tipo de ataque no es teórico. Hace años, varios ejecutivos de empresas tecnológicas fueron víctimas de SIM swapping, incluyendo empleados de Twitter y propietarios de criptobilleteras. En algunos casos, las pérdidas superaron los 20 millones de dólares.
Pero no hace falta irse tan lejos. En Sale Systems, hemos visto casos similares en empresas medianas de aquí, en España. En un caso reciente, lograron duplicar la SIM de un gerente y acceder a su email corporativo. El atacante intentó falsificar órdenes de pago a proveedores. Por suerte, se detectó a tiempo.
Lo preocupante es que muchos empresarios piensan: “Eso a mí no me va a pasar”. Y justo por eso, les pasa.
¿Por qué tu empresa está en riesgo (aunque creas que no)?
En mi experiencia, hay varios motivos por los que muchas pymes son vulnerables al SIM swapping:
- Uso de SMS como segundo factor de autenticación (2FA): es cómodo, pero ya no es seguro.
- Falta de formación del personal: no solo los directivos, cualquier empleado con acceso puede ser un blanco.
- Desconocimiento del riesgo: muchos no saben ni que existe este tipo de ataque, ni cómo se relaciona con otros ataques informáticos más comunes.
- Proveedores móviles que no validan correctamente la identidad: aún hay operadoras que hacen duplicados con validaciones mínimas.
- Exceso de confianza en sistemas antiguos o «caseros».
Cómo proteger a tu empresa del SIM swapping: medidas prácticas
No uses SMS para el doble factor de autenticación
Opta por apps como Google Authenticator, Microsoft Authenticator o incluso tokens físicos (como YubiKey). Son mucho más seguros.
Solicita a tu operadora que bloquee el duplicado sin PIN
Puedes pedir un PIN de portabilidad o de duplicado SIM. Así, nadie podrá duplicar tu línea sin ese código.
Revisa todos los accesos a cuentas críticas
Tu correo corporativo, acceso a CRM o herramientas como Office 365 deben tener protección adicional. Nosotros ayudamos a implementar esto en todos nuestros contratos de soporte IT.
Educa a tu equipo
La ciberseguridad no es solo cuestión de tecnología, sino de personas. Formamos a los empleados para identificar amenazas, desde phishing hasta llamadas sospechosas.
Refuerza la seguridad desde la red hasta el dispositivo
Una buena ciberseguridad comienza en la infraestructura. Configuramos redes seguras, segmentadas, y auditamos todos los dispositivos que se conectan a ellas.
¿Y si ya ha ocurrido? Qué hacer en las primeras 24 horas
Si crees que te han duplicado la SIM, contacta inmediatamente con tu operadora y pide bloquear la línea.
Cambia las contraseñas de todas tus cuentas críticas cuanto antes.
Activa alertas de inicio de sesión y revisa el historial de accesos por si hay actividad sospechosa.
Notifica al banco y a las plataformas afectadas. En muchos casos se puede congelar o revertir operaciones recientes.
Si hay fuga de datos personales o bancarios, debes notificar a la AEPD (Agencia Española de Protección de Datos).
Y sobre todo, contacta con profesionales. En Sale Systems, te ayudamos a contener el ataque y a reforzar tus sistemas para evitar que vuelva a ocurrir.
La ciberseguridad no es una opción: es una necesidad
El SIM swapping es solo una muestra de lo vulnerable que puede ser una pyme si no tiene un buen acompañamiento IT.
Desde Sale Systems, trabajamos con empresas que, como la tuya, quieren dejar de ir apagando fuegos para empezar a prevenir problemas de forma proactiva. Ofrecemos un enfoque integral: redes, soporte, programación a medida y, por supuesto, ciberseguridad de verdad.
No se trata solo de proteger el móvil, sino tu identidad digital
El SIM swapping no es ciencia ficción. Es un ataque real, silencioso y muy efectivo. Pero también es 100% evitable si se toman las medidas adecuadas.
“Si gestionas una pyme y te preocupa la continuidad de tu negocio, te animo a revisar ahora mismo cómo estás protegido mediante una auditoría de ciberseguridad. Y si necesitas ayuda, aquí estamos.”
Preguntas Frecuentes sobre SIM Swapping
El phishing busca robar tus credenciales engañándote para que las entregues. El SIM swapping, en cambio, se enfoca en tomar el control de tu número de teléfono para acceder directamente a tus cuentas.
Casi todas (Movistar, Vodafone, Orange…) permiten configurarlo. Solo hay que solicitarlo expresamente al servicio de atención al cliente.
No. Si el atacante accede a tu SIM, puede registrar esas apps en otro dispositivo. Es fundamental proteger también el acceso con PIN, 2FA por app y revisar dispositivos conectados.
Evita SMS. Usa aplicaciones como Google Authenticator, Authy o Microsoft Authenticator, y para un nivel más alto, utiliza claves físicas tipo YubiKey.
¿Sabes por dónde entraría hoy un ataque en tu empresa?
Revisa tu seguridad con nosotros Sin compromiso · Respuesta en menos de 24 h
