SIM swapping

SIM swapping, duplicación de SIM^[1]​ o suplantación de la tarjeta SIM^[2]​ es un tipo de fraude realizado mediante la tarjeta SIM. Dicho fraude permite acceder a cuentas ajenas mediante la explotación de una debilidad en la autenticación de múltiples factores en la que el segundo factor es un mensaje de texto (SMS) o una llamada realizada a un teléfono móvil.

El fraude explota la capacidad de un proveedor de servicios de telefonía móvil para transferir un número de teléfono a un dispositivo que contiene una tarjeta SIM diferente. Esta función se usa normalmente cuando un cliente ha perdido o le han robado su teléfono, o está cambiando el servicio a un teléfono nuevo.

La estafa comienza con un defraudador que recopila datos personales sobre la víctima, ya sea mediante el uso de correos electrónicos de phishing, comprándolos a delincuentes organizados^[3]​ o directamente manipulando a la víctima.^[4]​

Una vez que el defraudador ha obtenido estos datos, se pone en contacto con el proveedor de telefonía móvil de la víctima. El estafador utiliza técnicas de ingeniería social para convencer a la compañía telefónica de que transfiera el número de teléfono de la víctima a la SIM del estafador. Esto se hace, por ejemplo, haciéndose pasar por la víctima utilizando datos personales para parecer auténticos y alegando que ha perdido su teléfono. En algunos países, especialmente en India y Nigeria, el defraudador tendrá que convencer a la víctima de que apruebe el intercambio de SIM presionando 1.^[5]​^[6]​^[4]​

Incluso existen caso en que los números de SIM son cambiados directamente por empleados de empresas de telecomunicaciones que son sobornados por delincuentes.^[7]​

Una vez que esto suceda, el teléfono de la víctima perderá la conexión a la red y el estafador recibirá todos los SMS y las llamadas de voz destinadas a la víctima. Esto le permite al estafador interceptar cualquier contraseña de un solo uso enviada a través de mensajes de texto o llamadas telefónicas enviadas a la víctima, y así eludir cualquier característica de seguridad de las cuentas (ya sean cuentas bancarias, cuentas de redes sociales, etc.) que dependen de mensajes de texto o llamadas telefónicas.

^[8]​

Se han producido varios ataques de alto perfil mediante la suplantación de SIM, incluidos algunos en los sitios de redes sociales Instagram y Twitter. En 2019, la cuenta del director ejecutivo de Twitter, Jack Dorsey, fue pirateada a través de este método.^[9]​^[10]​

En mayo de 2020, se presentó una demanda contra Ellis Pinsky, de quince años de edad procedente de Irvington (Nueva York). Fue acusado junto a otros veinte conspiradores de estafar 23.8 M$ al inversor en moneda digital Michael Terpin —fundador y director ejecutivo de Transform Group—, mediante el uso de datos robados de teléfonos inteligentes mediante duplicación de SIM. La demanda fue presentada en un tribunal federal en White Plains (Nueva York) y solicitó una indemnización por el triple de los perjuicios causados.^[11]​^[12]​

En Corea del Sur, se han documentado presuntos casos de ataques de cambio de SIM desde principios de 2022. El patrón común incluye que las víctimas experimenten interrupciones abruptas en sus servicios móviles, junto con una notificación que sugiere un cambio de dispositivo. Como resultado, las personas afectadas descubren que sus cuentas bancarias y de criptomonedas han sido comprometidas.^[13]​