Protección contra ataques de intercambio de SIM para OTP: detección y defensa (EE. UU. 2026)

El intercambio de tarjetas SIM es el ataque que acabó con la confianza en los SMS como un segundo factor importante. El atacante llama al operador de telefonía móvil de la víctima, la convence de transferir el número de la víctima a una tarjeta SIM que tenga en su poder y, desde ese momento, se hace con todas las OTP enviadas por SMS, todos los códigos de recuperación de cuentas y todos los problemas de doble factor relacionados con ese número de teléfono. Las cuentas bancarias, las cuentas de correo electrónico, las casas de cambio, los inicios de sesión en el trabajo... todo se obtiene en cuestión de minutos. El Guía de protección inalámbrica de la FCC clasifica el intercambio de tarjetas SIM como una amenaza importante y creciente para los consumidores. Esta guía explica cómo funciona realmente el intercambio de tarjetas SIM, por qué la OTP de SMS es estructuralmente vulnerable, las señales de detección que existen y los niveles de defensa que aumentan considerablemente los costos de los atacantes.

Cómo funciona el intercambio de tarjetas SIM

El intercambio de tarjetas SIM (también denominado secuestro de tarjetas SIM, fraude de transferencia o secuestro de tarjetas SIM) aprovecha la superficie de ingeniería social del servicio de atención al cliente de los operadores de telefonía móvil. El ataque:

1. Reconocimiento. El atacante recopila información de identidad sobre la víctima: nombre, dirección, fecha de nacimiento, últimos cuatro dígitos del número de seguro social, apellido de soltera de la madre, transacciones recientes. Las fuentes incluyen violaciones de datos (catalogadas en ¿Me han engañado?), redes sociales y paquetes de identidad en la web oscura.
2. Suplantación de identidad de transportista. El agresor llama al operador de telefonía móvil de la víctima (o visita una tienda minorista), afirma ser la víctima e informa de la «pérdida del teléfono». Proporciona la información de identidad recopilada para pasar la verificación de identidad.
3. Transfiera el número. El atacante solicita al operador que active una nueva tarjeta SIM (en poder del atacante) en el número de teléfono de la víctima. Los operadores varían en cuanto a la rigurosidad de esta verificación: algunos requieren un PIN y otros no.
4. Hazte cargo de las cuentas. Una vez que se completa el puerto, cada SMS al número de la víctima llega al atacante. El atacante utiliza el restablecimiento de contraseñas mediante SMS y la autenticación de dos factores mediante OTP por SMS para apoderarse de las cuentas bancarias, de correo electrónico y criptográficas de la víctima.
5. Drenar los activos. A los pocos minutos u horas del puerto, los atacantes sacan fondos de las cuentas bancarias, transfieren criptomonedas y restablecen las contraseñas de los correos electrónicos para mantener el acceso.

La víctima normalmente se da cuenta de que algo anda mal cuando su teléfono se apaga: no hay servicio. En ese momento, el atacante ha tenido horas de acceso sin obstáculos.

Por qué SMS OTP es estructuralmente vulnerable

SMS TOP no falla debido a errores en la API de verificación o a una generación de código débil. Falla porque el modelo de seguridad asume que la tarjeta SIM aún está en posesión del usuario legítimo. Una vez que el intercambio de SIM rompe esa suposición, cada OTP de SMS entregado a ese número se entrega al atacante.

Esto es estructural, no se puede parchear solo en la capa OTP-API. El transportista es el eslabón débil. La API OTP hace su trabajo a la perfección: genera un código, lo envía al número de teléfono registrado y valida el código que recibe. Lo que no puede saber es si la tarjeta SIM de destino es del usuario legítimo o de un atacante.

Esa es la razón NIST SP 800-63B clasifica la autenticación fuera de banda basada en SMS como «restringida» en contextos de alta seguridad, no porque no funcione, sino porque el fraude en el intercambio de tarjetas SIM infringe cada vez más el supuesto subyacente (SIM = usuario).

Señales de detección (lo que está disponible)

Tres señales ayudan a detectar el cambio de SIM antes de que cause daños. Ninguna es perfecta; en capas tienen sentido.

1. Fuentes de detección de intercambio de SIM

Algunos operadores estadounidenses exponen las API que informan sobre los eventos de intercambio de SIM en un número y, por lo general, muestran una señal de «la última fecha de cambio de SIM» o una señal binaria de «intercambio en los últimos 7 días». Mobile Connect de la GSMA estandariza esta señal en los mercados de soporte, y proveedores como Boku exponen las señales de intercambio de SIM del lado del operador como una API consultable.

Flujo de trabajo: antes enviar una OTP para una acción de alto valor, consulta la señal de intercambio de SIM. Si cambiaste la tarjeta SIM en las últimas 24 o 72 horas, considera que la solicitud es de alto riesgo: exige factores adicionales, retrasa la acción o avisa al usuario por otro canal (correo electrónico).

2. Comprobaciones de bases de datos de transferencia de números

Los de la FCC Base de datos de números reasignados rastrea los números que se han reasignado (diferentes de los que se cambiaron por SIM, pero están relacionados). Al consultarlo antes de enviar información confidencial para acciones delicadas, se detectan algunos casos en los que un número reciclado parece legítimo en tu registro, pero en realidad es propiedad de una persona nueva.

3. Detección de anomalías de comportamiento

Más allá de las señales del lado del operador, el análisis del comportamiento de la capa de aplicación detecta el intercambio de SIM por inferencia. Las señales incluyen:

• Inicio de sesión desde un dispositivo nuevo, IP nueva, solicitud inmediata de restablecimiento de contraseña: patrón clásico de adquisición de tarjetas SIM.
• Acciones rápidas basadas en OTP en varias cuentas confidenciales después de un largo período de inactividad.
• Salto geográfico en los inicios de sesión secuenciales (por ejemplo, el último inicio de sesión desde California, el inicio de sesión actual desde Europa del Este en cuestión de minutos).

Ninguna de estas señales por sí sola es concluyente. Combinadas con las señales de intercambio de SIM del lado del operador, proporcionan una defensa en profundidad razonable.

Defensas en capas que funcionan

El cambio de SIM no se puede evitar por completo en OTP-API capa, pero las defensas de cinco capas aumentan considerablemente el costo del atacante y reducen el daño cuando un ataque tiene éxito.

1. Adopte los factores de resistencia a la suplantación de identidad para acciones de alto valor

‍No dejes SMS TOP solo autorizan transferencias grandes, cambios de contraseña en cuentas críticas o adiciones de dispositivos. Opte por las claves de acceso FIDO2, los tokens de hardware o la autenticación push vinculada a un dispositivo registrado. El Alianza FIDO publica una guía de adopción.

2. Vincula la verificación con las huellas digitales del dispositivo

‍Vincula las verificaciones a las huellas digitales específicas del dispositivo. Un intercambio de SIM no transfiere el dispositivo: el atacante tiene la SIM pero no el dispositivo original. Iniciar sesión desde un dispositivo reconocido con la OTP de SMS actual es mucho más seguro que iniciar sesión desde un dispositivo nuevo con la actual SMS TOP.

3. Agregue una verificación de «cambio reciente de SIM» antes de tomar medidas delicadas

‍Consulta la señal de intercambio de tarjetas SIM del operador antes de permitir el movimiento de dinero, el cambio de contraseña o el cambio de método 2FA. Si cambiaste la tarjeta SIM en las últimas 24 o 72 horas, mantén la acción y notifícaselo al usuario por correo electrónico o push.

4. Notifica en canales fuera de banda

‍Cuando se completen las acciones delicadas, envía una notificación a través de canales que el atacante no controle: correo electrónico, envío desde la aplicación a otros dispositivos registrados o correo postal. Incluso si el atacante toma el control por SMS, el usuario recibe una notificación a través de otros canales y puede reaccionar.

5. Retrasos en las acciones irreversibles

‍Para acciones de gran valor (transferencias grandes, cierre de cuentas, cambio del método 2FA principal), añada un plazo de 24 horas durante el cual el usuario pueda cancelar a través de cualquier canal. De este modo, el usuario legítimo tendrá tiempo de descubrir el cambio de tarjeta SIM y anular la acción antes de que se transfiera el dinero.

Qué están haciendo (y qué no) los transportistas

Los operadores de telefonía móvil han respondido al intercambio de tarjetas SIM con resultados dispares:

• Bloqueo numérico/PIN de cuenta. Todos los principales operadores de EE. UU. (T-Mobile, AT&T, Verizon) ahora ofrecen PIN opcionales a nivel de cuenta que deben proporcionarse antes de cualquier cambio de SIM. La adopción es baja; la mayoría de los consumidores no la habilitan. Aliente a los usuarios a habilitar la protección mediante PIN por parte del operador.
• Verificación de identidad en el puerto de salida. Los transportistas varían en cuanto al rigor. Algunos exigen varios factores de identidad; otros aún permiten los puertos basándose en información vulnerable a la ingeniería social. La cobertura y la consistencia son inconsistentes.
• Notificaciones de intercambio de SIM. Algunos operadores envían una notificación a la SIM original cuando se solicita un puerto de salida. La ventana de notificación suele ser demasiado corta (minutos) para que los usuarios legítimos reaccionen.
• Normas de la FCC. El La FCC ha publicado normas actualizadas exigen procedimientos de autenticación de clientes más estrictos antes de cambiar la SIM, pero la aplicación y la implementación varían según el operador.

La hipótesis correcta para un negocio dirigido a EE. UU. en 2026 es: las compañías aéreas están mejorando, pero no se puede confiar únicamente en las defensas de las compañías aéreas. Tu aplicación debe asumir que es posible cambiar de tarjeta SIM y diseñarla en consecuencia.

Recuperación: cuando un usuario cambia de SIM

Cuando (no si) la cuenta de un usuario se ve comprometida mediante el intercambio de SIM, el proceso de recuperación debe:

1. Restablezca el acceso a la cuenta mediante la verificación de identidad fuera de banda. No confíe en la recuperación por teléfono (el atacante aún tiene el teléfono). Usa el correo electrónico, las notificaciones push integradas en la aplicación, el correo postal o la verificación de identidad en persona.
2. Restablece todos los métodos de 2FA. Es posible que el atacante haya agregado su propio método de 2FA durante la toma de posesión. Forzar la reinscripción de 2 FA en la cuenta recuperada del usuario legítimo.
3. Audite las acciones recientes de la cuenta. Enumere todas las medidas tomadas desde el compromiso. Invierte lo que es reversible (cambios de contraseña, cambios en el método 2FA); marca lo que no lo es (fondos transferidos, mensajes enviados).
4. Actualice las señales de fraude. Marque el dispositivo, la IP y los patrones del atacante (si los conoce) en su sistema de detección de fraudes para evitar que vuelvan a tomar el control.

Documente este proceso. Las solicitudes de intercambio de tarjetas SIM para recuperar tarjetas SIM son poco frecuentes, pero son muy arriesgadas y emocionales: tu equipo de soporte necesita un manual de instrucciones.

Preguntas frecuentes

¿Debo dejar de usar SMS OTP por completo debido al intercambio de SIM?‍

No, para la mayoría de las aplicaciones de consumo. SMS TOP sigue siendo una mejora de seguridad significativa por encima de un segundo factor. La estrategia adecuada para 2026 consiste en varios niveles: utilizar SMS OTP en el momento de la suscripción y en los eventos de bajo riesgo (compatibilidad universal, baja fricción), recurrir a los factores de resistencia a la suplantación de identidad (claves de acceso, tokens de hardware, autenticación automática) para acciones de alto valor. La migración a claves de acceso para todo el mundo es un proceso que dura varios años; mientras tanto, la opción práctica por defecto es la OTP por SMS con los escalones adecuados.

¿Cómo puede mi API OTP ayudar a defenderme contra el intercambio de SIM?‍

Tres formas: (a) integrarlas con las señales de intercambio de tarjetas SIM del operador y exponerlas a través de la API a su aplicación; (b) soporte OTP de SMS y WhatsApp además de TOTP que no son vulnerables al intercambio de tarjetas SIM; (c) proporcionan un enlace con las huellas dactilares del dispositivo para que las verificaciones puedan vincularse a dispositivos específicos, no solo a las SIM. VerifyNow para EE. UU. envía los tres.

¿Qué tan común es el fraude por intercambio de tarjetas SIM en 2026?‍

La FCC y el FBI consideran que el intercambio de tarjetas SIM es una de las categorías de fraude de identidad de más rápido crecimiento. Es probable que los casos denunciados representen una fracción de los incidentes reales: muchas víctimas no saben cómo denunciar el intercambio de tarjetas SIM como la causa principal por la que se agotan sus cuentas. En el caso específico de las aplicaciones estadounidenses de servicios financieros destinados a los consumidores, el intercambio de tarjetas SIM es un modelo de amenaza rutinario, no un caso extremo poco frecuente.

La defensa en profundidad supera a cualquier solución

El cambio de SIM no se puede evitar por completo en OTP-API capa sola, pero la API de verificación de derechos combinado con la autenticación basada en el riesgo, la vinculación de dispositivos y la adopción de factores de resistencia a la suplantación de identidad, reduce considerablemente el daño cuando se produce un ataque. VerifyNow para EE. UU. integra señales de intercambio de tarjetas SIM, admite la verificación OTP y TOTP de SMS y WhatsApp y proporciona la unión de huellas dactilares del dispositivo para una defensa por capas. Créditos de prueba gratuitos, sin necesidad de tarjeta de crédito para validar las defensas de tu propio tráfico.