SIM swapping: AEPD acumula 760.000 euros en multas

Qué es el SIM swapping y por qué tu número es la llave maestra

Un delincuente convence a tu operadora de que le entregue un duplicado de tu SIM, tu móvil se queda sin línea y él empieza a recibir los SMS con los que tu banco confirma las transferencias. En España no existe una norma que detalle paso a paso cómo debe identificarte la operadora: la obligación la ha ido fijando la Agencia Española de Protección de Datos (AEPD) a golpe de sanción. Solo en los nueve procedimientos judiciales revisados por ECONOMÍA DIGITAL contra Digi, las multas confirmadas por la Audiencia Nacional suman 760.000 euros.

Para un founder esto no es una molestia de consumidor. Si tu banco, tu correo corporativo, tu gestor de contraseñas o tu exchange de cripto se protegen con un SMS, tu número de móvil es la credencial más valiosa que tienes y la que menos controlas.

¿Cómo funciona el fraude de la SIM duplicada?

El fraude se ejecuta en dos fases. Primero el atacante consigue tus credenciales de banca online, normalmente con phishing. Después se hace pasar por ti ante la operadora y pide un duplicado de la SIM, que anula la tuya y le entrega los SMS que el banco envía para confirmar operaciones.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

El Gabinete Jurídico de la AEPD lo describe así en su informe 0030/2021: el duplicado no basta por sí solo, es la pieza que completa un robo de datos previo.

INCIBE detalla en su guía cómo se suplanta al titular. En tienda física hace falta un documento falso que pase la revisión; por teléfono o por internet puede bastar con el nombre, el DNI, la fecha de nacimiento, la dirección de facturación o los cuatro últimos dígitos de la cuenta bancaria. Esos datos salen de phishing, tiendas falsas, encuestas virales, filtraciones o de lo que publicamos en redes.

El patrón se repite fuera de España. Según el medio nigeriano Vanguard, el organismo británico Cifas registró un aumento del 1.055% en expedientes por cambios de SIM no autorizados en 2024, y los datos del primer semestre de 2026 apuntan a otro salto de alrededor del 400% frente al mismo periodo de 2025. En Kenia los casos reportados crecieron un 327% en 2025, con más de 123.000 tarjetas SIM fraudulentas emitidas.

¿Qué tiene que comprobar tu operadora antes de darte un duplicado?

Tiene que asegurarse de que quien lo pide es el titular de la línea. Si no lo hace, responde ante la AEPD. Lo que no existe es una lista legal cerrada de comprobaciones.

La Ley 11/2022 General de Telecomunicaciones no menciona los duplicados de SIM. La norma antifraude más reciente del sector, la Orden TDF/149/2025 —publicada el 15 de febrero de 2025 y modificada por la Orden TDF/558/2026 el 5 de junio de 2026— se ocupa de llamadas y SMS con identificador falsificado, no de la emisión de duplicados.

El límite real lo pone el RGPD. La AEPD trata la expedición de un duplicado a quien no es el titular como tratamiento ilícito de datos personales: en el caso de Digi aplicó el artículo 6.1 y desestimó el recurso de la operadora, que alegaba haber seguido su protocolo. Según Bandaancha, en febrero de 2022 la Agencia ya había multado a las cuatro grandes operadoras con unos 5,8 millones de euros en total por duplicados fraudulentos, con 3,94 millones solo para Vodafone.

La Audiencia Nacional ha confirmado ese criterio varias veces. En dos sentencias de finales de septiembre y principios de octubre, recogidas por ECONOMÍA DIGITAL, el tribunal tumbó los recursos de Digi por incidentes de septiembre y noviembre de 2021 y mantuvo dos multas de 70.000 euros. El argumento central: tener protocolos internos no exime de responsabilidad si esas medidas no se aplican correctamente en cada operación.

La responsabilidad ya no recae solo en la operadora. El País informó de una sentencia pionera del Juzgado de Primera Instancia número 44 de Madrid que condenó de forma solidaria a Vodafone (a través de su marca Lowi) y al banco WiZink a devolver 4.047 euros a una víctima. La jueza calificó de «realmente laxos» los requisitos de la operadora para tramitar duplicados. La Audiencia Nacional también ratificó que Orange vulneró la normativa al emitir duplicados sin verificar la identidad entre 2019 y 2020, aunque rebajó la multa de 700.000 a 300.000 euros, y la AEPD señaló a O2 por el primer caso de eSIM swapping registrado en su red en 2023.

La otra cara también está documentada. En un expediente de 2024 contra Xfera que la AEPD archivó, la operadora explicó que exige el documento de identidad original y que en ese caso el delincuente lo tenía porque se lo había robado a la víctima días antes. Su sistema antifraude saltó minutos después de los primeros movimientos con Bizum y bloqueó los SMS de la línea. La Agencia concluyó que había actuado con diligencia razonable.

La conclusión es incómoda pero útil: tu nivel de protección depende de cómo cada operadora diseñe su proceso de verificación. La AEPD castiga el resultado cuando ese proceso falla, pero no te devuelve el dinero robado.

¿Qué hago si mi móvil se queda sin cobertura?

Perder la línea sin explicación en un sitio donde siempre tienes cobertura es la única señal de alarma fiable. Al activarse la SIM duplicada, la operadora desactiva la original. El orden importa:

Llama a tu operadora desde otro teléfono cuanto antes. Es la primera recomendación de INCIBE.
Avisa a tu banco y pide que bloqueen operaciones y revisen movimientos.
Cambia las contraseñas del correo, las redes y la mensajería desde otro dispositivo, activa la verificación en dos pasos y revisa las opciones de recuperación de cada cuenta.
Guarda pruebas: hora en que perdiste la cobertura, llamadas a la operadora, movimientos del banco. Las necesitarás para denunciar ante la Policía Nacional o la Guardia Civil.
Si te robaron el DNI o enviaste una copia a quien no debías, comprueba además que nadie haya pedido créditos a tu nombre.
El 017 de INCIBE es gratuito y atiende de 8:00 a 23:00 los 365 días del año.

La velocidad pesa más que casi cualquier otra cosa. Según WSBTV, en 2025 las autoridades imputaron a una red de ciberdelincuencia por robar más de 800.000 dólares en criptomonedas mediante SIM swapping. Y el FBI advierte, según Vanguard, que la caída de casos reportados en Estados Unidos es en parte ilusoria: muchos robos derivados se clasifican en categorías más amplias y las víctimas de 60 años o más concentraron cerca del 39% de las pérdidas.

¿Cómo reduzco el riesgo antes de que pase?

La medida más eficaz es sacar el SMS de la ecuación en todo lo que puedas. Si tu banco o tu correo permiten una app de autenticación, una llave física o la confirmación desde su propia app, un duplicado de SIM pierde casi todo su valor.

La segunda es cuidar los datos que hacen creíble la suplantación: casi todos salen de algo que entregamos nosotros, desde un SMS falso hasta una encuesta para ganar un cupón.

La tercera: pregunta a tu operadora si ofrece PIN o contraseña de cliente para trámites sensibles y actívalo. Según Forbright Bank, en una guía difundida por WSBTV, la mayoría de las operadoras permiten exigir un código adicional antes de cualquier solicitud de traslado de número, y algunas ofrecen bloqueo de SIM gratuito.

El sector empieza a moverse hacia verificaciones que no dependan de un código. Glide.id lanzó la beta pública de MagicalAuth, un sistema que usa la clave criptográfica del SIM o eSIM para confirmar la identidad sin enviar ningún código, disponible en AT&T, T-Mobile y Verizon, según Fox News. La propia compañía reconoce que los bancos deben integrarlo y que no cubre todavía a todos los operadores móviles virtuales ni a muchos usuarios de prepago.

Qué significa esto para tu startup

El SIM swapping es, sobre todo, un fallo de diseño compartido: los bancos convirtieron el número de móvil en una llave maestra y las operadoras siguen entregando copias de esa llave con controles que varían de una compañía a otra. Para una startup, eso se traduce en riesgo operativo concreto, no en una nota de color.

Audita tus factores de autenticación. Haz la lista de las herramientas críticas —banco, correo, cloud, repositorio de código, gestor de contraseñas, exchange— y marca cuáles usan SMS. Migra primero las que dan acceso a dinero o a datos de clientes.
Blinda los números de la empresa. Pide PIN de operador y bloqueo de SIM para las líneas corporativas y para los móviles personales de los fundadores. Es gratis o casi gratis y elimina la vía más simple del ataque.
Escribe un protocolo de incidente de 30 minutos. Define quién llama a la operadora, quién al banco y en qué orden, y dónde se guardan las pruebas. En un SIM swap las horas deciden cuánto se pierde.
Revisa tu propio producto. Si tu app usa SMS OTP para tus usuarios, arrastras el mismo pasivo: migra a TOTP, passkeys o notificaciones push. El caso de O2 en 2023 con eSIM muestra que la tarjeta virtual tampoco es inmune.

Conclusión

La protección real no viene de una norma que aún no existe, sino de decisiones que puedes tomar esta semana: sacar el SMS de tus cuentas críticas, activar el PIN de operador y tener claro qué hacer en los primeros minutos. Mientras la regulación española siga construyéndose a base de sanciones, la defensa del usuario es reaccionar en minutos, no en horas, cuando el móvil se queda mudo.