{"id":17296,"date":"2026-03-23T15:52:40","date_gmt":"2026-03-23T14:52:40","guid":{"rendered":"https:\/\/www.quobis.com\/?p=17296"},"modified":"2026-03-23T15:55:26","modified_gmt":"2026-03-23T14:55:26","slug":"sim-swapping-apis-operador-quobis","status":"publish","type":"post","link":"https:\/\/www.quobis.com\/es\/2026\/03\/23\/sim-swapping-apis-operador-quobis\/","title":{"rendered":"SIM Swapping: C\u00f3mo las APIs de Operador (GSMA Open Gateway\/CAMARA) protegen la Banca y el Retail con Quobis."},"content":{"rendered":"\n

\u00bfQu\u00e9 es el SIM Swapping?<\/h1>\n\n\n\n

El SIM swapping<\/strong> (tambi\u00e9n conocido como secuestro de SIM o duplicado fraudulento de tarjeta SIM) es un ciberataque en el que un delincuente logra tomar el control del n\u00famero de tel\u00e9fono m\u00f3vil de una v\u00edctima, transfiri\u00e9ndolo sin su consentimiento a una tarjeta SIM que el atacante controla<\/p>\n\n\n\n

El objetivo principal de los criminales es eludir la autenticaci\u00f3n de doble factor (2FA) <\/strong>basada en SMS, lo que les permite interceptar c\u00f3digos de verificaci\u00f3n. Al vulnerar el canal de los SMS, el delincuente puede solicitar el restablecimiento de contrase\u00f1as de todo tipo de servicios. Esto les permite vaciar cuentas bancarias, robar carteras de criptomonedas, suplantar a la v\u00edctima en sus redes sociales, realizar compras no autorizadas, e incluso acceder a correos corporativos confidenciales.<\/p>\n\n\n\n

\u00bfC\u00f3mo es el proceso de SIM Swapping?<\/h2>\n\n\n\n

En su origen, el \u00abcambio de SIM\u00bb es un procedimiento leg\u00edtimo que ofrecen las operadoras para sustituir una tarjeta cuando el cliente pierde el m\u00f3vil, la SIM se da\u00f1a o cambia a un dispositivo que requiere otro formato (como una eSIM). El fraude se produce cuando los cibercriminales abusan deliberadamente de este sistema.<\/p>\n\n\n\n

    \n
  1. Recopilaci\u00f3n de informaci\u00f3n personal:<\/strong> El atacante recopila datos privados de la v\u00edctima, como su nombre completo, DNI, fecha de nacimiento, direcci\u00f3n o datos bancarios. Para obtenerlos, utilizan t\u00e1cticas de phishing, ingenier\u00eda social, compran bases de datos filtradas en la dark web, usan malware o simplemente extraen informaci\u00f3n p\u00fablica de las redes sociales de la v\u00edctima.<\/li>\n\n\n\n
  2. Suplantaci\u00f3n de identidad:<\/strong> Con estos datos en su poder, el delincuente contacta a la operadora de telefon\u00eda de la v\u00edctima, ya sea por tel\u00e9fono, internet o acudiendo f\u00edsicamente a una tienda. Haci\u00e9ndose pasar por el titular leg\u00edtimo, el atacante alega que ha perdido o da\u00f1ado su tel\u00e9fono m\u00f3vil y solicita que el n\u00famero se transfiera a una nueva tarjeta SIM que \u00e9l posee.<\/li>\n\n\n\n
  3. El Secuestro (El \u00abSwap\u00bb)<\/strong>: Si el atacante logra enga\u00f1ar a los sistemas de verificaci\u00f3n de la operadora, esta transfiere el n\u00famero a la nueva SIM. En ese instante, el tel\u00e9fono de la v\u00edctima pierde repentinamente la cobertura y deja de funcionar para realizar llamadas o conectarse a la red.<\/li>\n\n\n\n
  4. Toma de control y elusi\u00f3n del 2FA<\/strong>: A partir de este momento, el delincuente recibe todas las llamadas y mensajes de texto (SMS) dirigidos a la v\u00edctima. El objetivo principal de este paso es interceptar los c\u00f3digos de seguridad de un solo uso (OTP) o la autenticaci\u00f3n de doble factor (2FA) basada en SMS.<\/li>\n<\/ol>\n\n\n\n
    \"\"<\/a>
    Europol – SIM Swapping infography<\/figcaption><\/figure>\n\n\n\n

    \u00bfCu\u00e1les son los sectores m\u00e1s afectados por SIM Swapping?<\/h2>\n\n\n\n

    El SIM swapping no es solo un problema de los consumidores individuales; sus ramificaciones afectan gravemente a m\u00faltiples industrias, generando p\u00e9rdidas millonarias, crisis de reputaci\u00f3n y brechas de cumplimiento normativo.<\/p>\n\n\n\n

    Banca, Servicios Financieros y Fintech:<\/strong> <\/h3>\n\n\n\n

    Este sector es, por razones evidentes, el objetivo principal. Al secuestrar el n\u00famero m\u00f3vil, los criminales eluden la autenticaci\u00f3n de doble factor (2FA) basada en SMS, interceptando los c\u00f3digos OTP (One-Time Password). Esto les permite vaciar cuentas bancarias convencionales y carteras de criptomonedas casi en tiempo real, dejando a los clientes y a los bancos con escasas posibilidades de recuperaci\u00f3n de los fondos.<\/p>\n\n\n\n

    En el Reino Unido, un empresario sufri\u00f3 recientemente el robo de 250.000 libras <\/a>de sus cuentas tras ser v\u00edctima de SIM swapping. Otro caso destacado fue el de un usuario llamado Ian Finlay, a quien le sustrajeron cerca de 50.000 libras (entre compras fraudulentas<\/a> y el vaciado de su cuenta de ahorros) mientras estaba de vacaciones; los atacantes interceptaron todos los c\u00f3digos que el banco le enviaba para intentar acceder a sus sistemas.<\/p>\n\n\n\n

    Bancos l\u00edderes como Ita\u00fa (el mayor banco privado de Brasil) y Daycoval ya han comenzado a integrar la API SIM Swap para a\u00f1adir una capa de seguridad a los procesos de verificaci\u00f3n.<\/p>\n\n\n\n

    Comercio Electr\u00f3nico (E-commerce) y Retail:<\/strong><\/h3>\n\n\n\n

    El comercio minorista se enfrenta a ataques tanto a clientes como a su propia infraestructura corporativa. Las redes criminales suplantan a empleados clave para vulnerar los sistemas internos de las empresas.<\/p>\n\n\n\n

    Las reconocidas cadenas minoristas brit\u00e1nicas Marks & Spencer (M&S) y Co-op sufrieron importantes ataques cibern\u00e9ticos donde los hackers utilizaron t\u00e9cnicas como el SIM swapping. Los criminales se hicieron pasar por <\/strong>empleados<\/strong><\/a> para contactar a los helpdesk de TI , enga\u00f1ando al personal para que restableciera las contrase\u00f1as y ganando as\u00ed acceso a las redes corporativas.<\/p>\n\n\n\n

    Servicios TIC (Tecnolog\u00edas de la Informaci\u00f3n)<\/strong><\/h3>\n\n\n\n

    Las organizaciones que proveen servicios digitales, plataformas en la nube y gesti\u00f3n de activos digitales sufren un impacto severo, pues los criminales utilizan los n\u00fameros de tel\u00e9fono para resetear contrase\u00f1as maestras y tomar el control de identidades digitales completas (Account Takeover). A trav\u00e9s de un SIM Swap a directivos o empleados clave, los atacantes logran interceptar los accesos de recuperaci\u00f3n comprometiendo correos electr\u00f3nicos empresariales (ataques BEC) y obteniendo entrada a infraestructuras cr\u00edticas. Esto tambi\u00e9n afecta a ecosistemas altamente sensibles impulsados por las TIC, como las aplicaciones de salud digital (eHealth), donde la seguridad de historiales m\u00e9dicos o telemedicina queda comprometida<\/p>\n\n\n\n

    Nadie est\u00e1 exento, en 2019, incluso la cuenta persona en Twitter del entonces CEO de Twitter, Jack Dorsey,<\/a> fue secuestrada p\u00fablicamente debido a un ataque de SIM swapping.<\/p>\n\n\n\n

    Telecomunicaciones<\/strong><\/h3>\n\n\n\n

    Las propias operadoras de telefon\u00eda conforman una industria directamente vulnerada. El fraude se aprovecha de la confianza y, muchas veces, de t\u00e1cticas de ingenier\u00eda social dirigidas al propio personal de atenci\u00f3n al cliente de la operadora, lo que obliga a estas compa\u00f1\u00edas a asumir enormes costes de reputaci\u00f3n e investigaci\u00f3n.<\/p>\n\n\n\n

    En 2025, Digi fue multada con 200.000\u20ac por un caso de SIM Swapping<\/a>, al considerarse que la la operadora no hizo lo suficiente para evitar que un tercero no autorizado obtuviese un duplicado de la tarjeta. En 2023, la operadora O2 registr\u00f3 el primer codeso de eSIM swapping, en el que los delincuentes pudieron activar el n\u00famero de forma remota sin necesidad de una tarjeta f\u00edsica, explotando la escasa seguridad de los procesos de validaci\u00f3n de la compa\u00f1\u00eda para tomar el control administrativo de la cuenta del usuario.Lograron activar el n\u00famero de forma remota, sin requerir una tarjeta SIM f\u00edsica, al explotar las debilidades de seguridad en los procesos de validaci\u00f3n de la empresa, lo que les permiti\u00f3 obtener el control administrativo de la cuenta del usuario.<\/p>\n\n\n\n

    Los atacantes no solo enga\u00f1an, a veces corrompen el sistema. Un caso alarmante documentado por el Departamento de Justicia de EE. UU. revel\u00f3 c\u00f3mo un empleado de una compa\u00f1\u00eda telef\u00f3nica fue acusado de aceptar sobornos de estafadores para facilitarles el duplicado de las tarjetas SIM de al menos 19 clientes, con el objetivo final de robar criptomonedas.<\/p>\n\n\n\n

    Para combatir esta vulnerabilidad, gigantes como Telef\u00f3nica, Orange y Vodafone se han unido en pa\u00edses como Espa\u00f1a y Alemania para lanzar comercialmente las APIs estandarizadas de SIM Swap y Number Verification, transformando la red en una barrera antifraude. Para combatir el fraude digital de manera efectiva, han decidido aliar sus fuerzas bajo la iniciativa global GSMA Open Gateway y el proyecto de c\u00f3digo abierto CAMARA.<\/p>\n\n\n\n

    \u00bfEn qu\u00e9 consiste la colaboraci\u00f3n de las grandes operadoras en la lucha contra el SIM Swapping?<\/h4>\n\n\n\n

    Habitualmente, compa\u00f1\u00edas como Telef\u00f3nica, Orange y Vodafone son competidores directos; sin embargo, para combatir el fraude digital de manera efectiva, han decidido aliar sus fuerzas bajo la iniciativa global GSMA Open Gateway y el proyecto de c\u00f3digo abierto CAMARA.<\/p>\n\n\n\n

    Esta uni\u00f3n se traduce en los siguientes puntos clave:<\/p>\n\n\n\n