ataque de intercambio de SIM

Un ataque de intercambio de SIM (también conocido como estafa de portabilidad , división de SIM , ^{[ 1 ]} secuestro de SIM e intercambio de SIM ) ^{[ 2 ]} es un tipo de fraude de toma de cuenta que generalmente apunta a una debilidad en la autenticación de dos factores y la verificación en dos pasos en la que el segundo factor o paso es un mensaje de texto (SMS) o una llamada realizada a un teléfono móvil.

Este fraude aprovecha la capacidad de los proveedores de telefonía móvil para transferir sin problemas un número de teléfono a un dispositivo con una tarjeta SIM diferente. Esta función de portabilidad numérica se utiliza normalmente cuando se pierde o roban el teléfono, o cuando un cliente cambia de compañía telefónica.

La estafa comienza cuando un estafador recopila datos personales de la víctima, ya sea mediante el uso de correos electrónicos de phishing , comprándolos a delincuentes organizados, ^{[ 3 ]} mediante ingeniería social directa de la víctima, ^{[ 4 ]} o recuperándolos de filtraciones de datos en línea . ^{[ 5 ]}

Armado con estos datos, el estafador contacta al proveedor de telefonía móvil de la víctima. El estafador utiliza técnicas de ingeniería social para convencer al empleado de la compañía telefónica de que transfiera el número de teléfono de la víctima a su tarjeta SIM. Esto se hace, por ejemplo, suplantando la identidad de la víctima con datos personales para parecer auténtico y alegando que ha perdido su teléfono. Alternativamente, los estafadores sobornan a los empleados de telecomunicaciones para que transfieran el número de teléfono de la víctima a una nueva tarjeta SIM. ^{[ 6 ]} En algunos países, especialmente en India y Nigeria, el estafador tendrá que convencer a la víctima de que apruebe el cambio de SIM pulsando el 1. ^{[ 7 ] [ 8 ] [ 4 ]}

Una vez que obtienen la información personal de la víctima, los atacantes suelen suplantar su identidad al contactar con los servicios de soporte técnico de su proveedor de telecomunicaciones e intentan convencer a los empleados para que cambien el número de teléfono de la víctima a su tarjeta SIM. ^{[ 9 ] [ 10 ]} En algunos casos, los atacantes han sobornado a empleados de compañías telefónicas para que cambien directamente los números de SIM. ^{[ 11 ] [ 5 ]} Los atacantes han buscado a empleados de empresas como T-Mobile y Verizon a través de redes sociales o directorios de empleados para intentar sobornarlos, a veces prometiéndoles dinero en criptomonedas por cada número de teléfono que transfieran. ^{[ 12 ] [ 13 ]}

Una vez que esto sucede, el teléfono de la víctima pierde la conexión a la red y el estafador recibe todos los SMS y llamadas de voz. Esto le permite interceptar las contraseñas de un solo uso enviadas por SMS o llamadas telefónicas al número de la víctima y, por lo tanto, burlar los métodos de autenticación de dos factores que dependen de ellas. Dado que muchos servicios permiten restablecer la contraseña con solo un número de teléfono de recuperación, la estafa permite a los delincuentes acceder a casi cualquier cuenta vinculada al número secuestrado. Esto les permite transferir fondos directamente desde una cuenta bancaria, extorsionar al titular legítimo o vender cuentas en el mercado negro para seguir robando identidades y cometiendo fraudes.

Se han producido varios ataques informáticos de gran repercusión utilizando el intercambio de tarjetas SIM, incluyendo algunos en las redes sociales Instagram y Twitter . En 2019, la cuenta de Twitter del CEO de Twitter , Jack Dorsey, fue hackeada mediante este método. ^{[ 14 ] [ 15 ]}

En diciembre de 2018, el inversor en criptomonedas Michael Terpin , fundador y director ejecutivo de Transform Group , presentó una demanda contra Nicholas Truglia, y en mayo de 2020 presentó una segunda demanda contra Ellis Pinsky , un estudiante de último año de 18 años de la escuela secundaria Irvington en Irvington, Nueva York , acusándolos a ellos y a 20 co-conspiradores de estafar 23,8 millones de dólares en 2018 mediante el uso de información de cuentas robada de teléfonos inteligentes mediante el intercambio de tarjetas SIM. En ese momento, Truglia tenía 18 años y Ellis 15. Truglia fue sentenciado a 18 meses de prisión y se le ordenó devolver 20 millones de dólares, y a Pinsky se le ordenó devolver 22 millones de dólares, pero, por ser menor de edad, evitó la prisión. ^{[ 16 ] [ 17 ] [ 18 ] [ 19 ]}  

El Informe de Defensa Digital de Microsoft 2024 indicó que menos de un tercio del uno por ciento de los ataques de identidad utilizan el intercambio de SIM (en comparación con el 99 por ciento para la repetición de brechas, el ataque de fuerza bruta con contraseñas y el phishing ). ^{[ 20 ]}

El FBI de EE. UU. recibió 1600 denuncias sobre el intercambio de SIM en 2021, un aumento de más del 400 por ciento con respecto a 2018. ^{[ 21 ] [ 22 ]} "El FBI dice que las víctimas perdieron 68 millones de dólares por esta estafa basada en tarjetas SIM en 2021, en comparación con solo 12 millones de dólares combinados de 2018 a 2020." ^{[ 21 ]} Las denuncias de intercambio de SIM al FBI en 2022 aumentaron un 26 por ciento, a 2026, luego cayeron un 47 por ciento a 1075 en 2023, y cayeron un 9 por ciento a 982 en 2024. El pico en 2022 representó menos del 0,3 por ciento de todos los delitos de Internet denunciados, incluidos el phishing/suplantación (44 por ciento), la filtración de datos (8 por ciento) y el robo de identidad (4 por ciento). ^{[ 23 ]}

Los informes de intercambio de SIM a la base de datos nacional de fraude del Reino Unido aumentaron más del 1000 por ciento entre 2023 y 2024, pero los 2760 casos reportados representaron menos del uno por ciento de todos los informes de fraude. ^{[ 24 ]}

Safaricom de Kenia, que presta servicio a aproximadamente dos tercios de los 70 millones de teléfonos de Kenia, experimentó un aumento del 327 por ciento en el cambio de SIM entre 2024 y 2025, un salto de 11 casos a 47. ^{[ 25 ]}

En Corea del Sur , se han documentado varios presuntos incidentes de ataques de intercambio de SIM desde principios de 2022. El patrón común incluye a las víctimas que experimentan interrupciones repentinas en sus servicios móviles, junto con una notificación que sugiere un cambio. Como resultado, las personas afectadas descubren que sus cuentas bancarias y de criptomonedas han sido comprometidas. ^{[ 26 ]}