Capítulo 29: Cambio de SIM: El secuestro silencioso

Imaginen por un momento el siguiente escenario: están sentados en una cafetería, disfrutando de una tranquila mañana de viernes. El teléfono está sobre la mesa, en silencio. De repente, notan que algo extraño sucede. En el lugar donde deberían aparecer las barras de señal de la red LTE o 5G, aparece la escueta y amenazante leyenda: "Sin servicio" (No Service). Apagan y encienden el dispositivo, retiran la tarjeta SIM y la vuelven a insertar, pensando que se trata de un fallo regional de la compañía telefónica. Se conectan al Wi-Fi de la cafetería para verificar si hay reportes de una caída nacional y no encuentran nada.

Lo que no saben en ese momento es que, a decenas de kilómetros de ustedes, en un concurrido puesto de telefonía o a través de una sofisticada llamada telefónica al centro de atención al cliente, alguien acaba de "robar" su identidad digital. No robó el dispositivo físico; robó su número de teléfono. En cuestión de minutos, el número que utilizan para el trabajo, la familia y, sobre todo, para la autenticación ante el banco y las cuentas de correo electrónico, se convirtió en la herramienta del atacante. Esto es el "Cambio de SIM" (SIM Swapping), uno de los fraudes más silenciosos, sofisticados y destructivos de la era moderna.

El siguiente escenario es un ejemplo pedagógico basado en patrones de fraude comunes. Los personajes y eventos tienen fines ilustrativos solamente.

El silencio antes de la tormenta: la historia de Eitan

Eitan era lo que se llama un "usuario consciente". Se dedicaba al desarrollo de software, tenía contraseñas complejas para cada cuenta y siempre se aseguraba de activar la "autenticación de dos factores" (2FA) en cualquier lugar posible. Se sentía seguro. Después de todo, el banco siempre le envía un código por SMS antes de cada transacción inusual, ¿cierto?

Un martes, a las 14:15, el teléfono de Eitan dejó de tener señal. Eitan, inmerso en la escritura de código, no le dio mayor importancia. "Seguro otra vez trabajos de infraestructura de la compañía de telecomunicaciones", murmuró para sí mismo. Solo una hora después, cuando intentó realizar una llamada urgente y vio que el dispositivo seguía en estado de "Sin servicio", comenzó a sospechar. Llamó desde un teléfono del trabajo al centro de atención al cliente de su compañía telefónica.

"Hola, mi número de teléfono no funciona", dijo Eitan a la agente.

"Veo aquí que solicitó cambiar la tarjeta SIM hace aproximadamente una hora en una de nuestras sucursales", respondió la agente con naturalidad.

Eitan sintió un escalofrío. "Yo no solicité cambiar ninguna SIM. ¿Alguien se hizo pasar por mí?"

"El cliente que se presentó mostró una identificación y respondió a las preguntas de seguridad", insistió la agente. "Su SIM anterior fue cancelada y la nueva fue activada".

En ese momento, Eitan comprendió que estaba en problemas, pero aún no dimensionaba la magnitud del desastre. Corrió a su computadora e intentó entrar a su cuenta de correo electrónico. "Contraseña incorrecta", le informó el sistema. Intentó realizar una recuperación de contraseña a través del teléfono, pero el código fue enviado al dispositivo del atacante. Intentó ingresar a su cuenta bancaria y descubrió que el acceso estaba bloqueado tras múltiples intentos. Cuando finalmente logró comunicarse con el centro de seguridad del banco a través de un teléfono fijo, se reveló que, en este escenario, el daño ya estaba hecho: se pueden realizar transferencias bancarias por montos significativos a cuentas de "nuevos contactos" añadidas apenas minutos antes.

¿Cómo sucedió? El atacante no necesitaba la contraseña de Eitan. Solo necesitaba su número de teléfono. En el instante en que el número pasó a su control, todos los mecanismos de protección en los que Eitan confiaba —esos códigos SMS enviados para la autenticación— se convirtieron en la llave que abrió para el atacante todas las puertas.

Anatomía de un secuestro: ¿cómo cambia de bando su móvil?

Para entender el fraude de cambio de SIM, hay que entender el papel crítico del número de teléfono en nuestra identidad digital. El número de teléfono no es solo un medio de contacto; se ha convertido en un "ancla de identidad". Casi todos los servicios en línea, desde Facebook y Google hasta bancos y emisores de tarjeta de crédito, utilizan el número de teléfono como método para recuperar contraseñas o como un segundo factor de autenticación.

El fraude de SIM Swapping no es un hackeo tecnológico a su teléfono. Es una "ingeniería social" dirigida hacia el eslabón más débil de la cadena: la compañía de telecomunicaciones. El atacante recopila información sobre ustedes de las redes sociales, bases de datos filtradas o mediante "phishing". Obtiene su nombre completo, número de identificación, fecha de nacimiento y, a veces, incluso los últimos cuatro dígitos de la tarjeta de crédito.

Equipado con esta información, el atacante contacta a la compañía telefónica de dos formas principales:

1. Suplantación de identidad telefónica: El atacante llama al centro de servicio, afirma que su SIM se perdió o se dañó y supera el proceso de verificación ante el agente (que generalmente se basa en los mismos datos personales que obtuvo). Solicita transferir el número a una nueva tarjeta SIM que tiene en su poder.
2. Presentación física: El atacante se dirige a un puesto de la compañía telefónica, a veces con un documento de identidad falso que lleva los datos de la víctima pero con la foto del atacante. El agente del puesto, que a veces está muy ocupado o no está lo suficientemente capacitado para detectar falsificaciones, realiza el cambio en el acto.
3. "Trabajo interno": En casos más graves, los atacantes tienen colaboradores dentro de las compañías de telecomunicaciones: empleados de bajo rango que reciben sobornos para realizar cambios de SIM sin ningún procedimiento de verificación.

En el momento en que se ejecuta la operación, la SIM que se encuentra en su dispositivo se desconecta de la red. Se convierte en un trozo de plástico sin valor. En ese mismo instante, el dispositivo del atacante pasa a ser "su teléfono". Comienza a recibir todos los mensajes SMS destinados a ustedes, incluidos los códigos de autenticación. A partir de aquí, el camino para tomar el control de las cuentas de correo electrónico, redes sociales y cuentas bancarias es corto y doloroso.

La batalla legal: la responsabilidad de las compañías de telecomunicaciones y los bancos

Aquí es donde entramos en el campo minado legal. ¿Quién es responsable del daño? ¿El cliente que no protegió sus datos? ¿La compañía de telefonía que permitió el cambio? ¿O tal vez el banco que no detectó que el código se envió a una nueva tarjeta SIM?

En el sistema legal israelí, esta cuestión es compleja. Por un lado, las empresas de telecomunicaciones argumentan que proveen servicios de comunicación y no servicios de seguridad de la información para los bancos. Por otro lado, tienen un poder inmenso sobre nuestra identidad digital. La Ley de Protección de la Privacidad, de 1981, y sus reglamentos, imponen obligaciones a quienes gestionan bases de datos, pero el fraude de SIM Swapping plantea nuevos desafíos.

Al examinar la responsabilidad del banco, debemos conocer la Ley de Servicios de Pago, de 2019. Esta ley regula la responsabilidad en casos de "uso indebido" de medios de pago. En principio, la ley tiende a proteger al cliente, a menos que se demuestre que el cliente actuó con fraude o entregó el medio de pago o el código de autenticación a otra persona en circunstancias de negligencia grave. La pregunta legal fascinante es: ¿el hackeo de una SIM se considera "entrega del código de autenticación"? El análisis legal puede conducir a la conclusión de que el cliente no entregó nada; el código le fue robado mediante una supuesta omisión de un tercero.

Respecto a las compañías de telefonía, puede surgir responsabilidad bajo la ley de daños (responsabilidad civil). Una compañía de telecomunicaciones que permite un cambio de SIM sin la identificación adecuada, o ignorando señales de advertencia, podría ser considerada negligente en su deber. Existe una creciente tendencia legal a reconocer que las empresas de telefonía deben aplicar medidas de precaución reforzadas, ya que son conscientes de que el número de teléfono sirve hoy como llave a la identidad digital del cliente.

No obstante, es importante enfatizar: la posibilidad de recuperar los fondos depende de las circunstancias del caso. Los bancos y las compañías de seguros podrían argumentar que el cliente fue negligente al no proteger sus datos de identidad o que actuó con imprudencia, lo que condujo a la filtración inicial de la información. Se debe examinar cada caso según sus méritos: ¿actuó la empresa de telefonía según los procedimientos del Ministerio de Comunicaciones? ¿Detectó el banco un patrón de actividad inusual? ¿Reportó el cliente inmediatamente tras la desconexión de la línea?

El día después: recuperación de la identidad y protección futura

Si una persona es víctima de un cambio de SIM, el tiempo es su mayor enemigo. Cada minuto que pasa permite al atacante profundizar la intrusión. Pero más allá de las acciones inmediatas, surge la gran pregunta: ¿cómo evitar esto de antemano?

La gran paradoja de la seguridad de la información moderna es que lo que se percibía como una "autenticación fuerte" —el SMS— se convirtió en uno de los eslabones más débiles. Los expertos en seguridad, y yo mismo durante mis años de carrera profesional, recomendamos considerar el paso de la autenticación basada en SMS a una basada en aplicaciones de autenticación (como Google Authenticator o Microsoft Authenticator) o el uso de llaves de seguridad físicas. Estas aplicaciones generan el código dentro del propio dispositivo y no dependen de la red móvil.

Además, algunas compañías de telefonía permiten añadir un "código secreto" o una contraseña adicional que se requiere para cualquier operación en la cuenta, incluido el cambio de SIM. Esta es una capa adicional de protección que se recomienda evaluar.

Desde el punto de vista legal, se recomienda documentar la cronología de los eventos. Cada llamada a la compañía de telefonía, cada mensaje del banco, cada intento fallido de inicio de sesión. Esta documentación puede formar la base para examinar futuras opciones legales. En un mundo donde nuestra identidad es digital, existe una expectativa creciente de que las entidades que custodian la información actúen con un alto nivel de diligencia.

Señales de advertencia: ¿cuándo debe sospechar?

• Desconexión repentina de la señal: El teléfono muestra "Sin servicio" o "Solo llamadas de emergencia" en un lugar donde normalmente hay una excelente recepción.
• Mensajes de texto extraños: Recepción de un SMS que informa sobre un cambio en la configuración de la cuenta o sobre una solicitud de cambio de SIM que usted no realizó.
• Incapacidad para acceder a las cuentas: Las contraseñas de su correo electrónico o redes sociales de repente no funcionan, a pesar de que no las ha cambiado.
• Alertas del banco: Notificaciones sobre la "adición de un nuevo beneficiario" o la "ejecución de una transferencia" que usted no reconoce.

Qué hacer inmediatamente: acciones de emergencia

1. Contacte de inmediato a la compañía de telefonía: Utilice otro teléfono, preséntese físicamente en una sucursal y detenga la nueva SIM. Solicite recuperar el control del número y consulte las opciones para bloquear la cuenta con una contraseña adicional.
2. Notifique a los bancos y emisores de tarjeta de crédito: Se puede solicitar la congelación de las cuentas y tarjetas como medida de precaución.
3. Cambio de contraseñas críticas: Desde una computadora limpia y segura, cambie las contraseñas de su cuenta de correo principal y active una autenticación de dos factores que no esté basada en SMS si es posible.
4. Presentación de una denuncia policial: Este es un paso significativo para la gestión ante instituciones financieras. Se recomienda guardar el comprobante de la denuncia.
5. Monitoreo de cuentas: Siga de cerca cada movimiento en sus cuentas y verifique si se realizaron otros intentos de suplantación de identidad.

Aspecto legal: resumen de responsabilidades

En caso de fraude de cambio de SIM, la responsabilidad puede repartirse entre varios factores, según las circunstancias:

• Compañía de telefonía: Podría ser considerada responsable si se demuestra que fue negligente en el procedimiento de identificación o que no actuó según las directrices profesionales obligatorias al respecto.
• Banco / Institución financiera: Sujetos a la Ley de Servicios de Pago. En ciertas circunstancias, se le podría exigir a la institución financiera la restitución de fondos, a menos que se demuestre que el cliente actuó con negligencia grave. En escenarios posibles, las partes podrían examinar un acuerdo después de examinar las pruebas.
• Cliente: Se espera que el cliente actúe con prudencia razonable y reporte sin demora desde el momento en que descubrió que su línea fue desconectada. El nivel de diligencia y la rapidez del reporte son factores que se tomarán en cuenta al evaluar la división de responsabilidades.

En resumen, el cambio de SIM ilustra que, en el mundo digital, debemos adoptar diversas medidas de precaución. Se recomienda no confiar en el número de teléfono como llave única de acceso a información sensible y cuentas financieras.