---
title: "SIM Swapping: Por qué el 2FA no es una fortaleza"
description: "El SIM swapping demuestra por qué el 2FA basado en SMS puede fallar, cómo el robo del número de teléfono vacía las cuentas de criptomonedas y cómo son los hábitos de recuperación más seguros."
language: es
published: 2026-07-14
author: Netts
topic: "Insights"
canonical: https://netts.io/blog/sim-swapping-why-2fa-is-not-a-fortress?lang=es
languages: [en, ru, es, zh, th, fr, uk, tr, hi, fa, ar, ha, pt, vi, ko, ja, id, de, tl]
translation_outdated: false
---
# SIM Swapping: Por qué el 2FA no es una fortaleza

El SIM swapping demuestra por qué el 2FA basado en SMS puede fallar, cómo el robo del número de teléfono vacía las cuentas de criptomonedas y cómo son los hábitos de recuperación más seguros.

La primera señal de que algo andaba terriblemente mal para Michael Terpin, inversor en criptomonedas y empresario, no fue la desaparición de millones de dólares en criptoactivos, sino su incapacidad para enviar o recibir mensajes de texto.

Para una persona corriente, que un teléfono móvil no pueda enviar o recibir SMS difícilmente sería el presagio de la ruina financiera. Sin embargo, para Terpin, este acontecimiento aparentemente intrascendente fue el principio del fin. El problema era el propio número: un número de teléfono móvil que anteriormente le servía para gestiones empresariales rutinarias, recuperación de cuentas y autenticación multifactor había dejado de pertenecerle sin previo aviso.

![SIM Swapping: Por qué el 2FA no es una fortaleza](https://netts.io/blog/images/body/80101636ec4005800f18f1926093b3731251ac45-1385.webp)

Más exactamente, pertenecía a otra persona: estafadores que, con relativa facilidad, consiguieron desvincular su número de su tarjeta SIM e instalarlo en la suya propia. Los estafadores, tras obtener el control total del número, bloquearon cualquier intento de Terpin por recuperar la cuenta, cambiaron su correo electrónico de recuperación en el sitio web de la operadora por el de ellos y, finalmente, robaron más de 24 millones de dólares de sus monederos de criptomonedas. Un adolescente fue a prisión por este robo a enorme escala; el principal sospechoso, Ellis Pinsky, de 15 años, fue acusado de liderar un grupo criminal que extorsionaba dinero de monederos de criptomonedas mediante SIM swaps. Entre los acusados también se encontraba Nicholas Truglia, uno de los primeros y más importantes artífices de la gran notoriedad pública del caso.

Los registros judiciales muestran que Pinsky y sus cómplices sobornaron a un empleado de un distribuidor autorizado de AT&T, Jahmil Smith, quien cambió la tarjeta SIM de Terpin a favor de los estafadores. Así, con una estafa bastante simple pero efectiva, se privó a entusiastas de las criptomonedas de millones de dólares en efectivo y, por primera vez en la historia, la operadora de telefonía móvil se vio envuelta en una demanda judicial con un cliente a causa de un SIM swap. Tras la fase inicial del juicio, Pinsky llegó a un acuerdo extrajudicial con Terpin, pagándole 22 millones por daños y perjuicios. Este último también tuvo éxito en la demanda contra AT&T, que, en un intento por evitar el pago de sumas colosales, argumentó que Terpin tenía la culpa por confiar sus criptoactivos a una operadora de telefonía. No obstante, en 2024, el Tribunal del Noveno Circuito falló a favor del recurso de apelación de Terpin contra AT&T, lo que abrió el camino a una nueva ronda de litigios.

Mientras tanto, para el titular medio de criptomonedas, el caso de Michael Terpin es objeto de estudio y una lección sobre las vulnerabilidades del eslabón más débil de la blockchain: la cuenta en un exchange. La cuenta de Terpin no fue vulnerada debido a un fallo en la propia blockchain, sino a que los métodos tradicionales de autenticación multifactor resultaron ineficaces frente a los estafadores. Por el contrario, los delincuentes emplearon métodos bastante comunes (ingeniería social y duplicado fraudulento del número de teléfono) para acceder al exchange, engañar al cliente sobre el «robo» del número y, en última instancia, vaciar la cuenta.

La razón por la que estas estafas son tan devastadoras para los titulares de criptomonedas reside en que suelen desarrollarse en varias etapas: los delincuentes no solo roban los criptoactivos, sino que también aprovechan la política de recuperación de cuentas del cliente (a menudo deficiente) para lograr acceso no autorizado al exchange. Además, la víctima puede sufrir phishing, suplantación de identidad o fraude con sus datos personales.

Este escenario puede evitarse si el propietario de criptomonedas toma, como mínimo, ciertas medidas para elevar el nivel de seguridad y la resiliencia en la recuperación de sus cuentas. El paso más sensato consistiría en prescindir de la autenticación multifactor (MFA) por SMS siempre que sea posible y adoptar métodos más fiables, como las aplicaciones de autenticación. Asimismo, es necesario asegurarse de que el número de la tarjeta SIM no pueda modificarse ante la operadora móvil sin pasar por procedimientos rigurosos y verificados.

![SIM Swapping: Por qué el 2FA no es una fortaleza](https://netts.io/blog/images/body/6a584e13c7019e0f905cbf484e2d4bb31fa265b7-901.webp)

Lo más importante es excluir el SMS de los procedimientos de recuperación de cuentas o, como mínimo, trasladar todos los ajustes de la cuenta y sus procesos de recuperación a otro canal más seguro. Por último, resulta vital cerciorarse de que ni los datos personales ni las claves privadas queden almacenados en lugares vulnerables, como la nube. La razón por la que el MFA por SMS fracasa ante el SIM swapping es que, a nivel técnico, el número de teléfono sí pertenece al atacante en esa situación. Por tanto, los SMS enviados a dicho número son recibidos por el estafador, y cualquier código remitido queda a su entera disposición y provecho. En consecuencia, aunque el monedero en la blockchain o la cuenta del exchange exijan un MFA basado en SMS, esto no añade mayor protección si el atacante logra convencer a la operadora de que es el titular legítimo de la línea.

Y la facilidad para lograrlo se debe al proceso relativamente sencillo de cambio o duplicado de número que manejan la mayoría de las operadoras móviles en todo el mundo. Que el MFA por SMS vuelva más vulnerable una cuenta no es una verdad absoluta; sin embargo, es justo señalar que el SMS es uno de los métodos más débiles en lo referente a la seguridad de las cuentas.

Esto obedece tanto al bajo nivel de protección intrínseco del canal SMS como a la destreza de los ciberdelincuentes para emplear ingeniería social y adueñarse del número. Por consiguiente, el MFA por SMS resulta cómodo para el usuario, pero entraña un elevado riesgo de fraude, tal como demuestra el caso de Terpin.

## ¿Quiénes se beneficiaron realmente del fraude por duplicado de número?

Al analizar los casos de secuestro de cuentas basadas en SMS mediante SIM swapping, conviene no sobrestimar la complejidad técnica de dicho fraude. Aunque la operadora móvil constituye sin duda un punto vulnerable en el esquema de seguridad, los delincuentes con frecuencia aprovechan otros puntos débiles para consumar el engaño.

La vía más habitual consiste en recurrir al phishing para sustraer información personal de la víctima. Datos como el correo de recuperación de la cuenta, el número para SMS, el nombre completo, la fecha de nacimiento, parte del número de seguridad social u otros detalles personales pueden recopilarse mediante campañas de phishing o, en casos más puntuales, vulnerando perfiles en redes sociales.

Posteriormente, los atacantes emplean esta información para contactar con la operadora de telefonía móvil y, mediante técnicas de ingeniería social, convencerla de que son los nuevos titulares de la línea. Existen diversas formas de lograrlo: eludir los sistemas de detección de fraude con un relato convincente, sobornar a un empleado de la compañía telefónica encargado de estas solicitudes o servirse de información privilegiada dentro de la propia empresa. En cuanto el atacante toma el control del número, el siguiente paso radica en alterar las opciones de recuperación para asumir el dominio absoluto de la cuenta. La toma de control suele completarse en un plazo que va desde pocas horas hasta un par de días, según lo encubiertas que estén las acciones del estafador y el nivel de seguridad de la cuenta. De este modo, con suficiente pericia y audacia, los estafadores logran sustraer no solo criptomonedas, sino también datos personales y fondos de cuentas bancarias.

Sin embargo, a pesar de la aparente simplicidad del esquema, el fraude por SIM swapping exige cierta preparación y habilidades específicas. Por ello, no suele estar en manos de estafadores improvisados, sino de grupos criminales organizados.

![SIM Swapping: Por qué el 2FA no es una fortaleza](https://netts.io/blog/images/body/1b46b923b333a0efeb704c39d3a1a5c77f17f10f-1042.webp)

Uno de los grupos de ciberdelincuentes más notorios en este ámbito es Scattered Spider, conocido también como 0ktapus, UNC3944 o Muddled Libra. Según diversos informes, esta banda está compuesta por hackers y especialistas en ingeniería social angloparlantes, independientes pero coordinados. Operan a escala global; sus principales objetivos son grandes corporaciones, las cuales suelen vulnerar mediante ataques de phishing dirigidos a sus empleados.

Aun así, los métodos empleados por los miembros de este colectivo no son intrínsecamente inéditos. Uno de ellos, Noah Michael Urban, también apodado King Bob o Sosa, ya ha sido condenado por defraudar a múltiples corporaciones e individuos. Como consta en los documentos judiciales de Estados Unidos, recurrió al SIM swapping y al phishing para acceder sin autorización a cuentas de exchanges de las víctimas y apoderarse de sus criptomonedas. Entre otros delitos, la actividad delictiva de Urban incluía interceptar correos electrónicos y SMS de las víctimas, transferir fondos desde sus monederos hacia cuentas controladas por los atacantes y utilizar identidades robadas para mover grandes sumas de dinero. Como consecuencia, fue condenado a diez años de prisión y obligado a pagar más de 13 millones de dólares en concepto de indemnización. Con todo, lo más relevante no radica en su condena ni en la magnitud del fraude, sino en sus declaraciones abiertas sobre la dinámica interna de las operaciones de SIM swapping.

![SIM Swapping: Por qué el 2FA no es una fortaleza](https://netts.io/blog/images/body/aebb73396b25ac61da4ec3681935aff1fa807ea8-532.webp)

Según explicó Urban, para hacerse con el número de una víctima, los estafadores suelen ponerse en contacto directamente con la operadora telefónica. En la mayoría de las ocasiones no recurren a mecanismos sofisticados para validar su identidad: simplemente exponen su versión y aseguran ser víctimas de un robo de identidad. Según sus declaraciones, transcurrieron unos diez días desde que llamó a la operadora hasta que obtuvo el control absoluto de la línea y retiró varios cientos de miles de dólares.

Otro conocido hacker vinculado al grupo y procesado por fraude masivo es Tyler Robert Buchanan. Este joven de origen escocés fue detenido en España bajo cargos de conspiración para cometer fraude electrónico y robo agravado de identidad. De acuerdo con la fiscalía, formaba parte de una red criminal que recurría al phishing por mensajes de texto contra empresas y al SIM swapping contra particulares. Dicha táctica les permitió sustraer al menos ocho millones de dólares en monedas virtuales a sus víctimas. Asimismo, se hallaron pruebas de intrusión no autorizada en el correo electrónico del directivo de una compañía.

La detención de Buchanan pone de manifiesto que las fuerzas de seguridad prestan una atención creciente al fraude mediante SIM swapping. Las autoridades no solo vigilan las maniobras de estos ciberdelincuentes, sino que los llevan ante los tribunales: Buchanan fue sentenciado a cinco años de prisión por su implicación en la trama.

No obstante, pese a estos casos, no conviene dejarse llevar por una falsa sensación de seguridad ante los éxitos policiales en la persecución del fraude. Que algunos delincuentes hayan sido capturados no implica que las operadoras móviles o las plataformas de intercambio hayan dejado de ser vulnerables. Al contrario: la persistencia de tales fallas queda patente en el hecho de que los estafadores continúan explotándolas. Además, debe considerarse que cada atacante dispone de recursos y destrezas dispares. Mientras algunos recurren al phishing y a un análisis minucioso del objetivo, otros cuentan con los medios técnicos para sortear la autenticación multifactor o interceptar directamente el tráfico de SMS. En definitiva, para cada víctima potencial siempre puede haber un atacante que sepa con precisión cómo sacar provecho de una brecha específica en el esquema de seguridad.

## ¿Qué se puede hacer?

Es fundamental comprender que, en lo relativo a la protección de cuentas a nivel de usuario, no existe ningún sistema o método infalible e inquebrantable. Por lo tanto, al seleccionar herramientas de seguridad para una cuenta, resulta imprescindible guiarse por evaluaciones y análisis objetivos, y no por apreciaciones subjetivas.

![SIM Swapping: Por qué el 2FA no es una fortaleza](https://netts.io/blog/images/body/995727f6543e595da74a24e42ec923948b590ed8-697.webp)

No cabe duda de que sustituir el MFA por SMS por un MFA basado en aplicaciones reforzará considerablemente la seguridad de la cuenta. Sin embargo, esta afirmación es relativa: todo dependerá de la estrategia empleada por el atacante. Por consiguiente, ante cada situación conviene examinar con rigor qué medidas de protección adoptar, qué procedimientos de recuperación definir y qué pautas de gestión de cuentas aplicar.

A continuación se presentan algunas recomendaciones que conviene valorar antes de seguir confiando en los SMS para el MFA o en el número de la SIM como factor de recuperación:

Minimice los riesgos asociados a los SMS recurriendo a métodos de autenticación más fiables siempre que sea posible. Resulta aconsejable decantarse por aplicaciones de autenticación o llaves de seguridad físicas (hardware) cuando el servicio lo admita.

Active el bloqueo de portabilidad, bloqueo de número (number lock) o cualquier mecanismo de máxima seguridad que ofrezca su operadora para impedir la transferencia no autorizada de la línea.

Adopte precauciones estrictas para proteger su correo electrónico, ya que con frecuencia es la llave de entrada a todos sus servicios. Utilice contraseñas robustas y exclusivas tanto para su bandeja de entrada como para sus demás perfiles; priorice llaves de seguridad físicas o apps de autenticación siempre que pueda. Preste particular atención a las vías de recuperación de la cuenta si estas dependen de SMS. No conviene asignar como cuenta de rescate un correo secundario o una dirección antigua en desuso. Asimismo, procure limitar la exposición de datos personales confidenciales (como la posibilidad de solicitar códigos de recuperación mediante SMS).

Cerciórese de que las claves privadas de sus monederos blockchain permanezcan en un soporte seguro. Es preferible emplear un monedero robusto y de confianza para custodiar sumas significativas de capital, reservando los monederos en exchanges y plataformas no custodiales solo para el importe estrictamente necesario para operar en el mercado.

Recurra exclusivamente a entidades de custodia de contrastada reputación para operaciones de gran volumen. Configure listas blancas de retiro (allowlists), transferencias diferidas y firmas múltiples siempre que estén disponibles. Contar con un retraso de 24 o 48 horas en los retiros puede resultar sumamente eficaz en caso de intrusión en la cuenta.

Reduzca su perfil como objetivo potencial. Evite divulgar información sobre los saldos de sus monederos o su patrimonio en redes sociales u otros foros donde pueda quedar a la vista de ciberdelincuentes. No comente abiertamente qué mecanismos emplea para asegurar sus cuentas ni detalles operativos, como qué exchanges o plataformas de monedero utiliza.

Trace un protocolo de actuación con antelación para saber cómo proceder de inmediato si su cuenta resulta comprometida. Esto contempla retirar los fondos hacia monederos y depósitos seguros, reconfigurar los accesos de recuperación, alertar de inmediato a su compañía telefónica sobre la brecha de seguridad, notificar a sus entidades bancarias y dar aviso a personas de confianza.

Ninguno de estos pasos garantizará una inmunidad absoluta, pero reducirán notablemente las probabilidades de caer víctima de una estafa y mitigarán el perjuicio que un ataque pudiera ocasionar. Por añadidura, su implementación brindará un entorno mucho más cómodo y seguro en la interacción cotidiana con la tecnología.

## La brecha en la muralla: conclusión

Aunque el MFA por SMS suele percibirse en el imaginario general como una barrera adecuada para salvaguardar una cuenta, el fraude por SIM swapping pone de manifiesto que este método dista mucho de ser invulnerable. La relativa facilidad con la que se engaña a una compañía telefónica para hacerse con el control irrestricto de la línea de un usuario subraya la urgencia de atender tanto a la protección activa de la cuenta como a los mecanismos dispuestos para su recuperación.

La solidez en la recuperación de una cuenta reviste tanta trascendencia como la defensa preventiva de su acceso, y ambos factores deben contemplarse al diseñar una política de seguridad. Los protocolos de restauración de acceso y contención ante intrusos deben trazarse de tal modo que no dejen resquicios aprovechables por un atacante.

Tal como se indicó previamente, diversas medidas de protección constituyen ya estándares asentados en el sector. Por ejemplo, la gran mayoría de proveedores disponen en la actualidad de directrices para reaccionar oportunamente ante sospechas de suplantación o secuestro de cuentas. Entre ellas figuran el bloqueo de portabilidad, bloqueo de número, periodos de espera en la sustitución de tarjetas SIM, recuperación basada en llaves criptográficas o dispositivos de seguridad físicos, entre otras. Asimismo, tanto operadoras como exchanges de criptomonedas trabajan en perfeccionar sus sistemas de alerta temprana y respuesta, endureciendo las comprobaciones ante peticiones de duplicado de SIM y reforzando las configuraciones de seguridad.

Por otro lado, los organismos reguladores también están interviniendo para acotar los riesgos vinculados al fraude en la portabilidad numérica. La FCC ha aprobado normativas destinadas a frenar estas prácticas fraudulentas y robustecer las garantías del consumidor. Dichas disposiciones exigen a las compañías de telefonía móvil instaurar protocolos de detección de fraude en cambios de SIM, alertar a los usuarios ante solicitudes de duplicado o portabilidad, facilitar el bloqueo preventivo de líneas y agilizar los procedimientos de resolución ante incidentes.

En paralelo, los protocolos de Conozca a su Cliente (KYC) y Prevención del Blanqueo de Capitales (AML) se están endureciendo notablemente, tanto en el sector de las telecomunicaciones como en el de las plataformas de intercambio de criptoactivos. Así, las operadoras examinan con mayor rigurosidad los traspasos de líneas, mientras que los exchanges aplican comprobaciones de identidad más estrictas tanto en el alta como en la baja de usuarios. Igualmente, las organizaciones integran tecnologías más avanzadas para resguardar los perfiles, tales como el análisis de pautas de comportamiento del usuario, el examen de variables contextuales de la cuenta y el rastreo de transacciones en la blockchain durante los procesos de liquidación o cierre de cuentas.

![SIM Swapping: Por qué el 2FA no es una fortaleza](https://netts.io/blog/images/body/55a432a1be9986b217b3a86920a36154d0d1e488-1404.webp)

Y recuerde: en Netts Energy Market puede comprobar ahora mismo los precios de cualquier proveedor para elegir la opción más económica para alquilar TRON Energy.