¿Qué es el SIM swapping y cómo ocurre?

El SIM swapping (o SIM hijacking) es una técnica de suplantación en la que un atacante consigue que el operador emita un duplicado de tu tarjeta SIM o porte tu número a otra SIM bajo su control. Con ello, intercepta SMS, llamadas y códigos de un solo uso para entrar a tus cuentas.

Métodos comunes

• Ingeniería social: llamadas o visitas a centros de atención haciéndose pasar por la persona titular.
• Phishing/filtraciones: obtención de datos personales para pasar controles débiles.
• Portabilidad maliciosa: solicitud de portar el número con NIP obtenido por fraude.

Las superficies de ataque crecen cuando los controles de identidad son laxos o inconsistentes entre canales (en línea, telefónico y presencial).

Por qué importa la verificación de identidad

Una política robusta de comprobación de identidad en altas, reposiciones de SIM y portabilidad reduce el fraude y protege datos personales. Debe equilibrar seguridad, privacidad y no discriminación.

Principios clave

• Proporcionalidad: pedir solo los datos necesarios para el fin declarado.
• Multifactor y escalamiento de riesgo: controles más fuertes cuando el impacto potencial es alto (p. ej., reposición de SIM).
• Experiencia de usuario y accesibilidad: que los controles no excluyan a personas sin documentos difíciles de obtener.
• Privacidad por diseño: minimizar retención de datos y protegerlos con cifrado y controles de acceso.

Marco regulatorio en México

De forma general, el ecosistema se rige por:

• Ley Federal de Telecomunicaciones y Radiodifusión (LFTR): derechos de las personas usuarias, portabilidad numérica, y obligaciones de los concesionarios para la continuidad y seguridad del servicio.
• Lineamientos y disposiciones del IFT: atención de usuarios, portabilidad (incluido NIP), y medidas de seguridad operativa en los procesos de reposición y activación.
• Protección de datos personales (LFPDPPP e INAI): principios de licitud, finalidad, proporcionalidad y seguridad en el tratamiento de datos.
• Defensa del consumidor (PROFECO) y plataforma Soy Usuario (IFT-PROFECO): vías para quejas y conciliación por fallas o negligencia en reposiciones y portabilidades.

En 2022, la SCJN declaró inconstitucional el proyecto del Padrón Nacional de Usuarios de Telefonía Móvil (PANAUT) por vulnerar principios de protección de datos y proporcionalidad, sentando criterios sobre cómo equilibrar seguridad y derechos fundamentales.

Buenas prácticas para operadores y centros de atención

Antes de emitir un duplicado de SIM

• Verificación multifactor: combinación de identificación oficial vigente, autenticación del medio de pago registrado y confirmación por canal alterno (correo o app).
• Prueba de posesión: validación con la app oficial del operador, notificación y cooling-off (p. ej., 12–24 horas) para solicitudes no presenciales.
• Registro auditable: conservar evidencia de la solicitud (hora, canal, agente, geolocalización del CAC, grabaciones), con acceso controlado y trazabilidad.
• Bloqueos preventivos: permitir al usuario activar un “candado de reposición/portabilidad” que requiera pasos adicionales para levantarlo.

Durante y después

• Alertas en tiempo real: notificar al titular por múltiples canales antes y después de la reposición.
• Monitoreo antifraude: detectar patrones anómalos (múltiples reposiciones, cambios de IMEI) y activar revisiones manuales.
• Gestión de incidentes: si se confirma fraude, revertir rápidamente, entregar constancias y apoyar denuncias.
• Capacitación y sanciones internas: controles contra colusión o negligencia en CAC y distribuidores.

Recomendaciones para personas usuarias

• Activa el candado de portabilidad/reposición que ofrezca tu operador y un PIN de SIM; guarda tu PUK en lugar seguro.
• Prioriza autenticación con apps y llaves físicas en banca y correo; evita depender de SMS como segundo factor cuando sea posible.
• Desconfía de llamadas y enlaces que pidan códigos o datos; verifica por canales oficiales.
• Activa alertas bancarias y de inicio de sesión; configura recuperación de cuentas sin SMS.
• Si pierdes señal sin motivo, contacta de inmediato a tu operador desde otra línea; pide bloqueo temporal y constancia de movimientos.
• Documenta el incidente: folios, nombres, horarios, correos; servirá para quejas y denuncias.
• Escala quejas en Soy Usuario (IFT-PROFECO) y, de haber pérdida patrimonial, ante tu banco y CONDUSEF.

Violencia digital y acceso no autorizado a cuentas

El SIM swapping puede facilitar el control de mensajería y redes sociales, habilitando acceso no autorizado a contenido íntimo y otras formas de violencia digital. Las víctimas suelen enfrentar extorsión y difusión no consentida.

Qué hacer si sospechas acceso indebido

• Recupera el control de tu línea con el operador y restablece contraseñas desde un dispositivo seguro.
• Activa borrado remoto y cierra sesiones en todos los dispositivos y apps.
• Preserva evidencia (capturas, URLs, folios, correos) y solicita a tu operador la constancia de reposición o de portabilidad.
• Denuncia ante la fiscalía local/federal; si hay difusión de contenido íntimo sin consentimiento, revisa las reformas conocidas como “Ley Olimpia”.
• Presenta queja de protección de datos ante el INAI si hubo manejo indebido de tus datos por parte de un responsable.

Qué deberían vigilar legisladores y tribunales

• Estándares mínimos de verificación para reposiciones y portabilidad, con evaluación de impacto en privacidad.
• Transparencia y métricas: tasas de intentos y casos confirmados de SIM swapping por operador y canal.
• Remedios efectivos: reversión rápida, reparación del daño y sanciones por incumplimientos.
• Minimización de datos: evitar bases biométricas masivas; preferir autenticación fuerte con menos invasión.
• Supervisión del IFT, INAI y PROFECO coordinada, con auditorías periódicas y pruebas de intrusión controladas.

Preguntas frecuentes

¿Cómo sé si me clonaron la SIM?

Señales típicas: tu teléfono pierde red de forma repentina, tus contactos reportan mensajes inusuales, o recibes correos de cambio de contraseña. Llama a tu operador desde otra línea y pide bloqueo inmediato.

¿Puedo evitar que porten mi número sin permiso?

Activa el candado de portabilidad y verifica que tu operador requiera confirmación por un canal alterno a SMS. Nunca compartas el NIP de portabilidad.

¿Qué documentos pueden pedirme para reponer la SIM?

Depende del operador y el canal. En general, identificación oficial vigente y validaciones adicionales cuando el trámite no es presencial. Tienen que ser proporcionales y proteger tus datos.

¿A quién reclamo si el operador fue negligente?

Usa primero los canales del operador. Si no resuelven, presenta tu caso en la plataforma Soy Usuario (IFT-PROFECO). Si hubo pérdida patrimonial, contacta también a tu banco y CONDUSEF.

Fuentes sugeridas para corroborar y ampliar

• Comunicados y sentencias de la SCJN relacionados con PANAUT y privacidad.
• Lineamientos del IFT sobre portabilidad numérica y atención a usuarios.
• Guías del INAI sobre protección de datos y evaluaciones de impacto.
• Alertas y recomendaciones de CONDUSEF sobre fraude por SIM swapping.
• Políticas y reportes de transparencia de operadores móviles en México.