SIM swap en España: cómo detectar una portabilidad no solicitada y reclamar

El robo de una línea móvil no empieza con un programa, ni con una antena, ni con un mensaje raro: empieza con un trámite administrativo que alguien hace en tu nombre. Un duplicado de tarjeta en un punto de venta, un perfil de eSIM descargado en otro teléfono o una portabilidad que tú no pediste. Cuando ese trámite termina, tu número pertenece a otra persona, y con él llegan los códigos de un solo uso, las llamadas de verificación y las confirmaciones de tu banco. Esta guía explica cómo funciona el ataque en España, qué obliga la normativa a comprobar antes de entregar una línea, en qué orden se reacciona en la primera hora y cómo se documenta una reclamación que un operador no pueda esquivar con la frase «eso lo autorizó usted».

Qué es un SIM swap y qué no es

Un SIM swap es la sustitución del titular efectivo de un número: la tarjeta física o el perfil lógico que da servicio a esa línea pasa a estar en manos de un tercero que no eres tú. No se copia la tarjeta que llevas en el bolsillo ni se descifra el algoritmo de la SIM. Se consigue que el operador emita otra credencial válida para el mismo número y se desactiva la anterior. El teléfono sigue encendido, sigue mostrando cobertura y sigue recibiendo datos por wifi, pero ya no recibe llamadas ni SMS, porque esos mensajes van a otra parte.

Conviene separarlo de dos cosas que se confunden mucho en las conversaciones sobre seguridad móvil. La interceptación pasiva con equipo de radio, tipo IMSI catcher, escucha el aire pero no cambia la titularidad de la línea: es otro problema, con otras señales y otra respuesta. Y el malware que lee notificaciones tampoco es un SIM swap, aunque consiga el mismo código de un solo uso. La diferencia importa porque las tres cosas dejan rastros distintos y se reclaman ante interlocutores distintos: la primera ante el operador, la segunda ante el operador y la Agencia Española de Protección de Datos, la tercera ante el fabricante del teléfono y, si hay perjuicio económico, ante el banco.

Las tres vías por las que se pierde una línea en España

Los operadores españoles entregan líneas por tres caminos, y cada uno tiene su propio punto débil. El primero es el duplicado presencial: alguien acude a un punto de venta con una documentación que parece tuya y pide una reposición de tarjeta por pérdida o deterioro. El segundo es la eSIM: el perfil se descarga de forma remota con una identificación digital y, según el operador, con una verificación por videollamada, por código enviado a un correo o por documento escaneado. El tercero es la portabilidad, es decir, llevarse el número a otro operador sin tu consentimiento.

Las tres comparten un requisito legal que es también su punto más frágil: la operación debe realizarla el titular o alguien con un poder válido. La Oficina de Atención al Usuario de Telecomunicaciones lo resume en una condición que sirve como criterio de reclamación: tiene que haber coincidencia entre la persona que realiza la solicitud y el titular de la línea, y esa coincidencia debe poder acreditarse. Cuando el operador no puede demostrar esa coincidencia, la reclamación deja de ser una discusión sobre tu palabra y pasa a ser un expediente sobre el procedimiento del operador.

El duplicado presencial

Es la vía con más casos documentados y la más fácil de reconocer, porque deja una huella física: un punto de venta, un comercial identificable, una hora y, casi siempre, una copia de un documento de identidad. Los operadores exigen documento original, y algunos añaden comprobaciones como una llamada al número de contacto o una pregunta de seguridad. El fallo típico no está en la normativa, está en la ejecución: el empleado que acepta una fotocopia, el que mira el DNI pero no compara la cara, el que activa la tarjeta porque el sistema no le pide más. En la mayoría de los expedientes que acaban bien para el cliente, el operador no puede aportar ni la grabación ni la copia del documento que justifique la entrega.

La eSIM remota

La eSIM elimina el mostrador y con él la comprobación presencial. El perfil se entrega mediante un código QR o una activación automática, y la identificación se hace por canales digitales. Es cómodo para el cliente legítimo y para el atacante, que solo necesita superar un paso de verificación que muchas veces consiste en datos que ya circulan: número de documento, fecha de nacimiento, dirección, una factura antigua. Si tu operador te ofrece activar la eSIM sin presencia física y sin una verificación en dos pasos independiente, esa es la puerta que hay que vigilar. En los expedientes por eSIM, la pregunta decisiva es siempre la misma: qué comprobación exacta se hizo antes de cargar el perfil y qué registro queda de ella.

La portabilidad no solicitada

Aquí no hay tarjeta nueva en tu nombre: hay un contrato con otro operador. El sistema español de portabilidad funciona con ventanilla única: tú pides la conservación del número al operador que quieres contratar, y es ese operador el que tramita la baja y el alta con el anterior. El consentimiento puede prestarse por escrito o verbalmente, y en el caso telefónico debe quedar grabado y ser recogido por una persona, no por una máquina. Esa grabación es la pieza clave: si existe y la voz no es la tuya, el expediente está ganado; si no existe, el operador tendrá que explicar por qué tramitó el alta.

La portabilidad no solicitada tiene una variante muy concreta que conviene conocer: el comercial que contrata en nombre de un cliente que no ha llamado. Los contratos telefónicos se cierran con una grabación de consentimiento y, en ocasiones, con datos que el comercial ya tiene de una campaña anterior. Cuando el cliente descubre el alta, el operador alega consentimiento verbal. La contradicción se resuelve pidiendo la grabación completa, no el resumen del sistema.

Por qué una línea vale tanto: el número como llave

El número de teléfono dejó de ser un dato de contacto y pasó a ser un factor de autenticación. Bancos, correo, redes sociales, plataformas de pago, gestorías, seguros y administraciones lo usan como segundo factor o como canal de recuperación. La lógica es conocida: si controlas el número, recibes el código. Y hay un efecto añadido que se pasa por alto, la autenticación reforzada de pagos: cuando el banco pide una confirmación en la aplicación y la aplicación está en un teléfono que ya no controlas, o cuando la confirmación se envía por SMS, el atacante no necesita romper la banca, solo reenviar el mensaje.

Por eso el orden de la respuesta no se decide por gravedad del daño, sino por velocidad de propagación. La línea primero, porque mientras la conserves recibes las alertas y puedes recuperar lo demás. Después el correo, porque es la llave maestra de las recuperaciones. Después las cuentas de dinero. Y en paralelo, la documentación, porque los plazos de reclamación empiezan a correr el día en que ocurre, no el día en que lo entiendes.

La cascada, en orden

1. Pérdida de servicio en tu teléfono. Sin cobertura, llamadas que van a buzón, SMS que no llegan, o el aviso del operador de que la línea se ha dado de baja. Algunos operadores envían un SMS de confirmación de portabilidad; si llega y no has pedido nada, es el aviso más valioso del proceso.
2. Mensajes de verificación que no recibes. Intentos de acceso a tu correo, a tu banca o a tus redes que se bloquean porque el código va a otro sitio. Cada intento fallido es una prueba con hora.
3. Cambios de contraseña que no has hecho. El atacante restablece la contraseña del correo, y desde ahí las demás. Los correos de «se ha cambiado su contraseña» son la señal de que ya está dentro.
4. Movimientos de dinero. Transferencias, compras con tarjeta, altas de beneficiarios, cambios de límite. En banca móvil, muchas de estas operaciones se confirman con el mismo segundo factor que ahora controla el atacante.
5. Suplantación hacia tus contactos. El número presta credibilidad. Un mensaje desde tu número real pidiendo dinero a un familiar tiene una tasa de éxito que ningún correo falso alcanza.
6. Altas y cambios en servicios. Contratos de telefonía a tu nombre, suscripciones, cambios de dirección, solicitudes de documentación. Aquí el daño deja de ser inmediato y se convierte en deuda.

La primera hora: qué se hace y en qué orden

La tentación es llamar a todos a la vez. Funciona mejor una secuencia corta y con hora anotada, porque cada llamada produce una referencia que luego se cita en la reclamación.

1. Operador, para bloquear y revertir. Pide tres cosas con esas palabras: bloqueo de la línea, anulación de cualquier portabilidad en curso y reposición de la SIM original a tu nombre. Apunta el número de incidencia, la hora exacta y el nombre o identificador del agente. Si te dicen que la portabilidad ya está ejecutada, pide la fecha y hora de ejecución y el operador de destino.
2. Clave de portabilidad. Muchos operadores permiten añadir una clave adicional que debe facilitarse en cualquier trámite posterior. Si existe, actívala en esa misma llamada.
3. Banco, con el número del dorso de la tarjeta. No uses el número que aparezca en un correo o en una web buscada en el momento. Pide bloqueo de tarjetas, revisión de accesos y el registro de operaciones no autorizadas con sello temporal.
4. Correo principal. Cambia la contraseña desde un dispositivo que no sea el teléfono afectado, cierra todas las sesiones activas, revisa las reglas de reenvío y los métodos de recuperación. Un reenvío oculto explica muchos casos en los que «no llega nada».
5. Cuentas con dinero y cuentas críticas. Cambia contraseñas, retira el número como método de recuperación y añade un segundo factor que no dependa del SMS.
6. Denuncia. Con la documentación del operador y el extracto bancario. La denuncia no recupera el dinero por sí sola, pero convierte tu relato en un documento con fecha que el banco y el operador no pueden ignorar.

Qué exige la normativa española antes de entregar una línea

El derecho a conservar el número está reconocido en la Ley 11/2022, de 28 de junio, General de Telecomunicaciones, que en su artículo 70 garantiza el cambio de operador con conservación del número y habilita a la Comisión Nacional de los Mercados y la Competencia a fijar mediante circular las condiciones técnicas y administrativas del proceso. El artículo 33 desarrolla la conservación de números y prohíbe imponer cuotas directas al usuario por conservarlo. De ahí se derivan dos consecuencias prácticas: la portabilidad es un derecho del titular, no una cortesía del operador, y el procedimiento tiene reglas formales que el operador debe poder acreditar.

La segunda pieza es la identificación. Para la telefonía de prepago, la disposición adicional única de la Ley 25/2007 obliga a los operadores a llevar un libro-registro con la identidad de quien adquiere la tarjeta, con nombre, apellidos, nacionalidad y número del documento acreditativo. El Real Decreto 424/2005 ya establecía que, en abonados de prepago sin relación contractual nominal, la aportación de datos se hace previa solicitud y acreditación fehaciente de la titularidad. Traducido: una línea tiene un titular identificado y un registro de cómo se identificó. Si el operador no puede enseñar ese registro en el momento del duplicado, no puede sostener que cumplió.

La tercera pieza es el consentimiento en la contratación telefónica. La portabilidad puede pedirse verbalmente, pero la grabación debe recogerlo y debe ser recogida por una persona. Esa exigencia es la que convierte la grabación en la prueba central de cualquier expediente: no basta con que el sistema tenga una marca de consentimiento obtenido, hace falta la voz.

Cómo se reclama en España, por orden y con plazos

La vía española es escalonada y tiene plazos concretos. Saltarse un escalón no invalida la reclamación, pero retrasa la resolución y le da al operador una excusa procesal.

Primer escalón: el operador

Reclamación por escrito, con número de incidencia, hechos ordenados por fecha, petición concreta y documentación adjunta. Pide expresamente copia de la orden de portabilidad o del duplicado, la identificación usada, la grabación del consentimiento si la hubo, el registro de accesos y la fecha y hora de activación. El operador tiene un mes para responder. Ese mes no es un plazo de cortesía: es el requisito temporal que abre la siguiente puerta.

Segundo escalón: la Oficina de Atención al Usuario de Telecomunicaciones

Si el operador no responde en un mes o la respuesta no te satisface, puedes reclamar ante la Oficina de Atención al Usuario de Telecomunicaciones, dependiente de la Secretaría de Estado. El plazo para acudir es de tres meses desde la respuesta del operador o desde que venció su mes. La Oficina resuelve en un plazo de hasta seis meses y su resolución es de obligatorio cumplimiento por el operador: la propia Oficina la describe como vinculante tanto para el reclamante como para el operador, y agota la vía administrativa. Contra ella cabe recurso de reposición en un mes o recurso contencioso-administrativo en dos meses. El procedimiento es gratuito y admite presentación telemática con certificado o Cl@ve.

Tercer escalón: consumo y tribunales

En paralelo o después, cabe acudir a los servicios de consumo de la comunidad autónoma y a las juntas arbitrales, cuando el operador esté adherido, y en última instancia a la vía civil por reclamación de cantidad. Para el dinero, el plazo de prescripción de la reclamación es de cinco años, así que un expediente que se cierra mal no se cierra para siempre.

El banco: qué se puede exigir y con qué base

El Real Decreto-ley 19/2018, de servicios de pago, traslada a España la directiva europea y reparte la carga de la prueba de una forma que casi nadie conoce. El artículo 44 establece que, cuando el usuario niega haber autorizado una operación, corresponde al proveedor de servicios de pago demostrar que la operación fue autenticada, registrada con exactitud y contabilizada, y que no sufrió un fallo técnico. El mismo artículo añade dos matices decisivos: el registro del uso del instrumento no basta por sí solo para probar que la operación fue autorizada, y es el proveedor quien debe probar que hubo fraude o negligencia grave del usuario.

El artículo 45 obliga a devolver el importe de la operación no autorizada de inmediato y, en todo caso, al final del primer día hábil siguiente a la comunicación, salvo que el proveedor tenga razones fundadas para sospechar un fraude del usuario y las comunique por escrito al Banco de España. El artículo 46 limita la responsabilidad del usuario a 50 euros cuando el instrumento se ha perdido, sustraído o se ha hecho un uso fraudulento, con excepciones. En un caso de SIM swap, la conversación con el banco no va de si el código llegó, sino de si la autenticación era adecuada para una operación de ese importe y de si el banco sabía o podía saber que la línea había cambiado de manos.

Dos detalles prácticos mejoran mucho la reclamación bancaria. El primero es la cronología: pide el registro de operaciones con hora y la referencia de cada autenticación reforzada. El segundo es el aviso previo: si comunicaste al banco un cambio de línea o una pérdida de servicio antes de las operaciones, la sospecha de fraude del usuario deja de ser sostenible.

La vía penal: qué se denuncia exactamente

Un SIM swap seguido de disposición de dinero encaja, en la práctica, en la estafa del artículo 248.1 del Código Penal, y cuando media manipulación informática, en la estafa informática del artículo 249.1.a). Si además se usaron datos y documentos ajenos, entran en juego el descubrimiento y revelación de secretos del artículo 197 y la falsedad documental de los artículos 390 y siguientes. El Código no tiene un tipo específico llamado SIM swap, así que la denuncia debe describir hechos, no etiquetas: qué línea, qué día, qué trámite, qué perjuicio.

La denuncia se presenta ante la Policía Nacional o la Guardia Civil, en sus grupos de delitos tecnológicos, o por internet cuando el cuerpo lo permite para el tipo concreto. No hay un plazo para denunciar, pero la acción penal prescribe según la pena del delito y la investigación se vuelve más difícil cada semana. Un consejo que ahorra tiempo: lleva la denuncia escrita en papel, con las fechas, los números de incidencia y los importes, y adjunta la documentación en el mismo acto. La denuncia que se amplía después pierde la fecha original de los hechos.

Protección de datos: el artículo 15 como herramienta de prueba

Antes de pedir nada al juzgado, hay una vía administrativa que produce documentos en un mes: el derecho de acceso del artículo 15 del Reglamento General de Protección de Datos. Úsalo para pedir al operador una copia de los datos personales tratados en relación con tu línea, incluidos los registros de las operaciones de alta, duplicado y portabilidad, la identificación aportada, las grabaciones de contratación telefónica y los registros de acceso. Las grabaciones son datos personales y su conservación está limitada, así que la solicitud tiene un segundo efecto: impide que se destruyan por el camino. El operador debe responder en un mes, prorrogable por dos más en casos complejos, y si no lo hace o responde de forma incompleta, cabe reclamación ante la Agencia Española de Protección de Datos.

Qué no funciona, y qué sí

Cambiar el PIN de la SIM no protege de un duplicado: el PIN protege la tarjeta física que tienes, no impide que se emita otra. Bloquear el IMEI del teléfono tampoco sirve, porque el ataque no usa tu teléfono. Las aplicaciones que prometen detectar interceptaciones no detectan una portabilidad: no hay nada que detectar en el aire. Y pagar a un supuesto especialista en recuperación que pide pago por adelantado en criptomonedas es la forma más rápida de convertir un incidente en dos.

Lo que sí reduce el riesgo, por orden de efecto: sustituir el SMS como segundo factor por passkeys o llaves de hardware donde el servicio lo permita; retirar el número de los métodos de recuperación del correo; activar la clave de portabilidad si el operador la ofrece; revisar cada aviso de portabilidad como si fuera una alarma; y mantener una copia de los códigos de recuperación de las cuentas críticas fuera del teléfono. Ninguna de estas medidas garantiza que no ocurra, pero cambian el resultado: con passkeys, un número en manos ajenas ya no abre la cuenta.

Qué hace un equipo de investigación en un caso real

Cuando el incidente llega a nuestro equipo, el trabajo no consiste en recuperar el número por medios técnicos: eso lo hace el operador. Consiste en reconstruir la cadena de custodia de lo que pasó y en producir un informe que sirva en tres foros a la vez, el operador, el banco y el juzgado. Se trabaja con autorización escrita del titular, sobre sus propias cuentas y dispositivos, y con el perímetro acordado por escrito antes de empezar.

• Cronología en UTC. Cada evento con hora, fuente y forma de obtención: avisos del operador, correos de cambio de contraseña, mensajes de verificación fallidos, operaciones bancarias, movimientos de la línea.
• Cuatro familias de prueba. La del operador, la del banco, la de las plataformas y la del dispositivo. Las contradicciones entre ellas son, casi siempre, la parte más útil del informe.
• Verificación de la autenticación. Qué método se usó en cada operación crítica y si era adecuado al importe y al riesgo, que es el criterio del artículo 44 del real decreto-ley 19/2018.
• Cuentas de recuperación. Qué correo, qué número y qué dispositivo podían recuperar cada cuenta, y en qué orden se podía encadenar el acceso.
• Informe y anexos. Un documento de hechos con hashes de los archivos originales y una tabla de correspondencias entre fechas locales y UTC, para que el relato no se rompa en la vista.

Un límite que conviene decir en voz alta

Esta guía describe defensa y reclamación. No incluye nada operativo sobre cómo duplicar una línea ajena, y no es una omisión por prudencia: es el perímetro del trabajo que hacemos. Cualquier prueba sobre una línea, un correo o una cuenta requiere autorización escrita del titular y, cuando hay terceros implicados, un contrato que delimite el alcance. Fuera de eso, lo que hay no es una auditoría, es un delito, y además destruye la prueba que el titular necesitaría para reclamar.

Si estás en medio de un caso, la secuencia que funciona es la de esta página: operador para bloquear y revertir, banco para contener, documentación para probar y reclamación escalonada con plazos. La parte difícil no es la tecnología, es la disciplina de pedir por escrito y anotar cada hora.