Son las 19:40, estás en casa con la cobertura de siempre y el teléfono pasa a "Sin servicio". No suena nada, no aparece ningún aviso. Piensas que es la operadora y sigues con la cena. En ese mismo minuto, en otra ciudad, alguien recibe un SMS con un código de seis dígitos para entrar en tu correo.
Eso es un cambio de SIM, o SIM swap. Y conviene decir lo incómodo primero: no es un hackeo, es un ataque a la atención al cliente. El atacante llama a la operadora, dice que perdió el teléfono, responde preguntas de seguridad sacadas de una filtración o de tus redes sociales, y pide activar tu número en una SIM nueva. A veces convence a un empleado; a veces le paga. Ejecutada la portación, tu tarjeta queda muerta y los SMS de verificación llegan a su aparato.
La señal de alerta que casi nadie interpreta
El aviso existe, pero es tan discreto que se confunde con una avería: el teléfono pierde la señal de golpe y se queda en "Sin servicio" sin recuperarse. El wifi sigue funcionando, así que la mensajería parece normal y la sensación de emergencia nunca llega.
La regla práctica: si pierdes la señal por completo y de forma prolongada donde siempre la tienes, y nadie a tu alrededor tiene el mismo problema, trátalo como un incidente de seguridad. Reinicia; si sigue igual, llama a tu operadora desde otra línea.
El SMS no es inútil, está mal colocado
Aquí conviene ser justo. El 2FA por SMS es mucho mejor que no tener segundo factor: detiene el relleno de credenciales, el reciclaje de contraseñas filtradas y casi todos los intentos automatizados, que son el grueso del riesgo real. Si tu única opción es el SMS, actívalo sin dudarlo.
El problema no es el SMS, sino dónde lo pones. Un número no es un secreto: aparece en formularios, contratos y filtraciones, y su control depende de una empresa cuya política de identificación tú no decides. Por eso no debería proteger las cuentas capaces de restablecer todo lo demás: el correo principal, el gestor de contraseñas, la banca y la cripto. Si el correo cae, el atacante recorre el resto pulsando "he olvidado mi contraseña".
La escalera, de más débil a más fuerte
- SMS — vulnerable al cambio de SIM y a la interceptación. Aceptable como refuerzo, malo como única defensa de una cuenta crítica.
- Códigos por correo — algo mejor si ese buzón está bien protegido, pero inútil si el correo es la cuenta que intentas defender.
- Aplicación autenticadora TOTP — los códigos se generan en tu dispositivo desde una semilla compartida, así que la operadora sale de la ecuación y el SIM swap deja de servir. Es el mejor cambio por esfuerzo: comparamos ambas en app de autenticación frente a 2FA por SMS, y puedes generar tus códigos con nuestro generador TOTP.
- Llave física o passkey — la clave nunca sale del dispositivo y está ligada al dominio real del sitio, así que además del SIM swap bloquea el phishing. Es el escalón que merecen tu correo y tu banco.
Lo que puedes hacer esta semana
- Pide a tu operadora un PIN de portabilidad o un bloqueo de número. Casi todas lo ofrecen aunque no lo anuncien: con él, ninguna portación se ejecuta sin una clave que solo tú conoces.
- Cambia el segundo factor de tus cuentas críticas. Correo, gestor de contraseñas, banco y cripto: TOTP o llave física antes que nada más.
- Quita el teléfono como método de recuperación donde ya tengas algo más fuerte. De poco sirve blindar la puerta si el número sigue siendo una ventana abierta en "no puedo acceder".
- Guarda los códigos de recuperación fuera de línea. Impresos o en un gestor cifrado, nunca en una captura en la galería. Si no sabes cómo funcionan, mira qué son los códigos de recuperación 2FA.
- Endurece las contraseñas maestras. El segundo factor solo compra tiempo si el primero es decente; un generador de contraseñas fuertes y una contraseña distinta por servicio siguen siendo la base.
La primera hora, si ya está ocurriendo
El orden importa más que la velocidad: al revés se desperdician los minutos que cuentan.
- Llama a la operadora desde otra línea. Pide el bloqueo del número y la reversión de la portación. Recuperar el número es lo único que detiene la hemorragia: mientras el atacante lo tenga, cada cuenta que asegures vuelve a caer con un código nuevo.
- Asegura el correo. Cambia la contraseña, cierra las sesiones activas, revisa reenvíos y reglas de filtrado que no creaste tú, y quita el teléfono de la recuperación.
- Avisa al banco y a los exchanges. Pide congelar operaciones y revisa los movimientos de las últimas horas.
- Documenta todo. Horas, números de incidencia y capturas: es lo que la operadora y el banco te pedirán después.
Preguntas frecuentes
¿Debería desactivar el 2FA por SMS si ya tengo una app autenticadora?
En las cuentas críticas, sí: si el SMS sigue habilitado como alternativa, el atacante elegirá esa vía y tu app no habrá servido de nada. En cuentas secundarias puede quedarse como respaldo. Lo esencial es que no sea una puerta paralela en el correo, el gestor de contraseñas o el banco.
¿Un cambio de SIM también compromete WhatsApp o Telegram?
Sí, porque su registro se completa con un código por SMS. Por eso conviene activar el PIN o la verificación en dos pasos que ambas ofrecen: es una clave que no viaja por la red móvil y que el atacante no obtiene con tu número. Configúralo hoy, tarda un minuto.
¿Sirve un número virtual o una eSIM secundaria para recibir los códigos?
Ayuda a que tu número público no sea el mismo que usan tus cuentas, y eso reduce la superficie de ataque. Pero sigue siendo un número gestionado por un tercero, con su soporte y sus errores humanos. Es una mejora táctica, no un sustituto de la app autenticadora o la llave física.
