¿Qué es un ataque de SIM swapping? Cómo son hackeados los tenedores de cripto

Un ataque de SIM swapping ocurre cuando un delincuente logra trasladar tu número de teléfono a una tarjeta SIM que él controla. En 2024 se presentaron 982 denuncias por SIM swap ante el Centro de Denuncias de Delitos Informáticos del FBI (IC3). Una vez que el número se traslada, tus llamadas y mensajes de texto llegan al atacante, junto con cada código de inicio de sesión por SMS y enlace de restablecimiento de contraseña.

La FCC adoptó normas en noviembre de 2023 que exigen a las operadoras inalámbricas de EE. UU. verificar a un cliente antes de mover un número a una nueva SIM u operadora. A mediados de octubre de 2026, 1.065 días después, las operadoras aún no estaban obligadas a cumplirlas. No había aparecido ninguna fecha de cumplimiento en el Registro Federal, y el texto del eCFR de ambas normas seguía indicando que el cumplimiento esperaría a que se publicara dicha fecha.

¿Cómo funciona un ataque de SIM swapping?

Un ataque de SIM swapping funciona engañando o pagando a alguien de tu operadora. El aviso de servicio público de febrero de 2022 del FBI señala las vías. Los delincuentes suplantan a la víctima para conseguir el cambio de número, sobornan a un empleado de la operadora para que lo haga, o aplican phishing al personal de la operadora para instalar malware que ejecuta los cambios.

Una vez que el cambio se completa, las llamadas y mensajes de texto de la víctima llegan al teléfono del delincuente. Este solicita entonces restablecimientos de «Contraseña olvidada» en cuentas de correo electrónico y financieras, y los códigos de un solo uso llegan por mensaje a un número que la víctima ya no controla.

El fraude de port-out llega al mismo punto por otra puerta. El atacante abre una cuenta en otra operadora a nombre de la víctima y transfiere allí el número, de modo que nunca se produce un cambio de SIM en la propia operadora de la víctima.

La estafa de SIM swapping comienza mucho antes de la llamada a la operadora, con los datos personales que un atacante necesita para hacerse pasar por ti. El ejemplo de FINRA es la información que publicas en redes sociales, recopilada para convencer a tu proveedor de que quien llama eres tú.

Los operadores reciben el mismo phishing que el personal de las operadoras, mediante correos falsos y sitios de inicio de sesión copiados, y Phemex Academy explica qué es el phishing en cripto y cómo prevenirlo.

¿Por qué los SIM swappers atacan a tenedores de cripto?

La alerta del FBI describió el SIM swapping como una forma de robar de «cuentas de moneda fiduciaria y virtual». FINRA explica por qué el número de teléfono es la vía de entrada, dado que los números móviles «se han convertido en una clave para establecer la identidad del cliente» en accesos financieros. Un código por mensaje puede abrir una cuenta, y un enlace de restablecimiento por mensaje abre la bandeja de correo donde llegan todos los demás restablecimientos.

Una transferencia blockchain tampoco tiene devolución de cargo, por lo que las monedas que retira un atacante desaparecen una vez que se confirma la transacción.

Un SIM swap no puede alcanzar la clave privada de una wallet de autocustodia, porque la clave reside en la wallet y nunca en la SIM. Claves pública y privada de Bitcoin explica por qué esa clave es la que mueve las monedas. El peligro es una copia de una clave o frase semilla guardada en el correo o en notas en la nube, a la que un número secuestrado puede acceder mediante un restablecimiento de contraseña.

¿Qué tan común es el SIM swapping?

IC3 comenzó a contar los SIM swaps como tipo propio de delito en 2022, y sus informes anuales ofrecen esta serie.

En la tabla trienal del informe anual de IC3 de 2024, las denunciones cayeron 51,53 % desde su base de 2.026 en 2022 y las pérdidas reportadas bajaron 64,24 % desde $72,65 millones.

Estas son denuncias que las personas decidieron presentar, lo que las convierte en un mínimo. Un ataque que nunca llega a IC3 no está en el conteo.

La alerta de 2022 del FBI ofreció cifras anteriores a la existencia de la categoría. Contabilizó 320 denuncias entre 2018 y 2020 con alrededor de $12 millones en pérdidas ajustadas, luego 1.611 denuncias en 2021 con más de $68 millones. Esas provienen de un recuento separado y no forman parte de la serie anual.

Las personas de 60 años o más presentaron 205 de las 982 denuncias en 2024 y reportaron $6,342 millones en pérdidas, 24,41 % del total de $25,98 millones de ese año.

¿Están obligadas las operadoras de EE. UU. a detener los SIM swaps?

No, hasta mediados de octubre de 2026, aunque la FCC adoptó normas de SIM swap y port-out para operadoras inalámbricas de EE. UU. el 15 de noviembre de 2023. Sobre el papel, la norma del Registro Federal exige a las operadoras usar métodos seguros para confirmar la identidad de un cliente antes de un cambio de SIM o un port-out, y notificar de inmediato a los clientes cuando cualquiera de ellos sea solicitado.

La exención explica la brecha. El 5 de julio de 2024, la Oficina de Competencia de Línea Fija de la FCC eximió el cumplimiento «de las normas en su totalidad» hasta que la OMB terminara su revisión y «la Comisión publique un aviso en el Registro Federal anunciando la fecha de cumplimiento». La OMB aprobó la recopilación de información sobre cambio de SIM y su contraparte de port-out el 15 de enero de 2025, lo que dejó el aviso como el paso pendiente.

A mediados de octubre de 2026 habían pasado 638 días desde esa aprobación, unos 21 meses. El texto del eCFR de la norma de cambio de SIM seguía diciendo que el cumplimiento «no será obligatorio hasta que este párrafo se elimine o contenga una fecha de cumplimiento», y la norma de port-out incluye la misma línea. Seis protecciones de cambio de SIM y cuatro de port-out siguen siendo marcadores de posición «[Reserved]».

Ningún documento de la FCC publicado en el Registro Federal desde 2024 establece esa fecha, y la orden de exención señala el Registro Federal como el lugar donde debe aparecer. La entrada de la FCC en la Agenda Unificada del gobierno, publicada en agosto de 2026, indica que su próxima acción está por determinar.

Hasta que aparezca una fecha de cumplimiento, la protección que funciona es la que configuras tú mismo.

¿Es ilegal el SIM swapping?

Sí, y un caso federal de 2025 muestra cómo lo procesan los fiscales. El 9 de enero de 2024, alguien tomó el control de la cuenta de la SEC en X y publicó que la agencia había aprobado ETFspot de bitcoin, lo cual no era cierto.

La SEC declaró el 22 de enero de 2024 que la parte no autorizada «obtuvo el control del número de celular de la SEC asociado a la cuenta en un aparente ataque de ‘SIM swap’». La autenticación multifactor estaba desactivada «a solicitud del personal, en julio de 2023», por lo que controlar el número permitió al atacante restablecer la contraseña de la cuenta.

El Departamento de Justicia indicó en mayo de 2025 que un hombre de Alabama recibió 14 meses de prisión por su participación. Se declaró culpable de conspiración para cometer robo agravado de identidad y fraude de dispositivo de acceso.

Para obtener el número, usó una impresora de tarjetas de identificación para crear una credencial falsa a nombre de una víctima y se hizo pasar por ella. Según el departamento, el bitcoin subió más de $1.000 justo después de la publicación falsa y cayó más de $2.000 tras la corrección.

¿Cómo saber si has sufrido un SIM swap?

Que tu teléfono pierda servicio suele ser la primera pista. La orden de 2023 de la FCC dice que el teléfono «queda apagado o solo permite llamadas al 911» y que eso suele ser la primera señal de que ha ocurrido un SIM swap o un fraude de port-out.

FINRA enumera más señales de alerta, empezando por un aviso de que se activó un nuevo dispositivo o número en tu cuenta cuando no añadiste ninguno. Los inicios de sesión que fallan repentinamente y una ráfaga de llamadas o mensajes inesperados pertenecen a la misma lista.

Un mensaje que te pida leer un código o una frase semilla es una señal de advertencia por sí mismo. El resumen de Phemex Safety Hub sobre cuatro verificaciones de cuenta indica que el personal de Phemex nunca pedirá tu código 2FA ni tu frase semilla.

Cómo prevenir un ataque de SIM swapping

Cuatro pasos evitan que un SIM swapping convierta un número robado en una cuenta vaciada.

1. Elimina el SMS de tus inicios de sesión cambiando la autenticación de dos factores a una aplicación autenticadora o una llave de seguridad de hardware siempre que una cuenta lo permita. La alerta del FBI recomienda «biometría, tokens físicos de seguridad o aplicaciones de autenticación independientes». Las directrices de identidad digital de NIST de julio de 2025 clasifican los códigos enviados por la red telefónica como su «único autenticador restringido», utilizable solo cuando una organización acepta el riesgo adicional.

2. Bloquea el número en tu operadora con un PIN o contraseña en tu cuenta inalámbrica, como aconseja FINRA, y solicita un bloqueo de cambio de SIM o de port-out si tu operadora lo ofrece. Las normas de la FCC obligarían a las operadoras a ofrecer ese bloqueo, pero hasta que llegue una fecha de cumplimiento, solicitarlo es todo lo que puedes hacer.

3. Mantén tus activos fuera de redes sociales, el primer consejo de la alerta del FBI, porque una alarde pública indica a un atacante cuyo número debe tomar como objetivo.

4. Guarda la frase semilla sin conexión en papel o metal, lejos del correo y las notas en la nube que un número secuestrado puede restablecer. La página de academy sobre frases semilla y cómo respaldar una wallet cubre formas seguras de almacenarla.

Phemex requiere 2FA para acciones críticas de la cuenta, y el código proviene de una aplicación autenticadora en tu dispositivo, según expone su publicación sobre cómo Phemex implementa una protección avanzada de cuenta. La misma verificación de inicio de sesión cubre los futuros de Phemex, donde el perpetuo BTCUSDT opera con apalancamiento de hasta 150x. Los futuros usan apalancamiento, y una posición apalancada se cierra automáticamente si las pérdidas alcanzan su margen.

¿Qué debes hacer después de un SIM swap?

Actúa rápido, porque el atacante avanza velozmente por tus restablecimientos de contraseña mientras el número es suyo. La alerta del FBI y la orientación de FINRA apuntan a los mismos pasos.

5. Llama a tu operadora desde otro teléfono y recupera el número.

6. Cambia tus contraseñas, empezando por el correo electrónico, luego las cuentas del exchange y bancarias vinculadas al número.

7. Pide a tus bancos y exchanges que marquen tus cuentas para detectar inicios de sesión y retiros sospechosos.

8. Denuncia el ataque ante IC3 y las autoridades locales, y presenta una denuncia ante la FTC como sugiere FINRA.

Una wallet cuya frase semilla estuviera en tu correo o almacenamiento en la nube debe considerarse expuesta, así que mueve sus monedas a una wallet nueva con una frase fresca. Cada denuncia que presentes ante IC3 también se incorpora al conteo anual que rastrea el problema.

Preguntas frecuentes

¿Qué es el SIM swapping?

El SIM swapping es otro nombre para un ataque de SIM swap. Un delincuente convence o paga a una operadora para trasladar tu número de teléfono a una tarjeta SIM que posee, luego usa tus mensajes entrantes para restablecer contraseñas y superar verificaciones de inicio de sesión por SMS.

¿El SIM swapping sigue ocurriendo?

Sí. IC3 recibió 982 denuncias de SIM swap en 2024, con $25,98 millones en pérdidas reportadas. Esas cifras abarcan solo a las víctimas que presentaron una denuncia, por lo que representan un mínimo del número de ataques.

¿Es ilegal el SIM swapping?

Sí. El hombre que llevó a cabo el SIM swap detrás de la cuenta X secuestrada de la SEC en enero de 2024 recibió 14 meses de prisión federal en mayo de 2025, tras declararse culpable de conspiración para cometer robo agravado de identidad y fraude de dispositivo de acceso.

¿Puede ocurrir un SIM swapping con eSIM?

Sí. Las normas de la FCC definen una SIM como «una tarjeta física o virtual», y FINRA advierte que un atacante que convenza a tu proveedor de que es tú puede hacer que tu eSIM se traslade a su dispositivo.

Conclusión

Toda defensa contra un ataque de SIM swap o dificulta el cambio o lo vuelve inútil. Dificultarlo es tarea de las operadoras, y el calendario anterior muestra cuánto tiempo ha esperado esa tarea. Volverlo inútil es la tuya. Toma una tarde mover los inicios de sesión fuera de los mensajes de texto. Después de eso, un número robado le da al atacante una línea telefónica y poco más.

Aviso legal: Este artículo tiene fines exclusivamente informativos y no constituye asesoramiento financiero. El comercio de criptomonedas implica un riesgo sustancial. Realiza siempre tu propia investigación antes de tomar decisiones de inversión.