Cuando el teléfono se queda sin servicio, primero, trátalo como un evento de seguridad en la cuenta.
SIM Swap se refiere a la transferencia de un número de teléfono a una SIM o eSIM controlada por otra persona. El verdadero riesgo no es solo no poder hacer y recibir llamadas, sino que el atacante podría recibir códigos de verificación SMS e intentar acceder a cuentas de correo electrónico, redes sociales, bancos, exchanges o aplicaciones de mensajería.
El número de teléfono en sí mismo ya es una herramienta de autenticación. Siempre que el número pueda recibir códigos de verificación, el atacante podría usarlo como puerta de entrada para restablecer contraseñas o volver a registrar cuentas.
Los riesgos son más altos cuando aparecen tres señales a la vez.
Primero, el teléfono se queda sin servicio de repente, pero otros en el mismo lugar tienen conexión normal. Segundo, se reciben notificaciones de inicio de sesión, cambio de contraseña, restablecimiento de contraseña o códigos de verificación de múltiples cuentas. Tercero, hay registros en la cuenta de telecomunicaciones sobre la emisión de una nueva SIM, cambio de SIM, activación de eSIM o transferencia del número.
Una sola señal no necesariamente indica un SIM Swap. Quedarse sin servicio podría ser un problema de la torre de señal o de facturación, y no recibir códigos de verificación podría ser un problema de retraso en la plataforma. Pero si hay anomalías con el número y múltiples alertas de seguridad de cuentas, se debe tratar como un evento de seguridad urgente.
El orden de manejo debe ser primero el número, luego la cuenta.
Primero, usa otro teléfono o dirígete personalmente a la tienda para contactar a la compañía telefónica, y verifica si el número ha sido reintegrado, transferido o si se ha activado una eSIM, pidiendo que se suspendan las operaciones sospechosas. Si la compañía de telecomunicaciones puede ofrecer información sobre el momento de cambio, el proceso o registros de notificación, guárdalos.
Luego, inicia sesión en cuentas importantes desde un dispositivo limpio, comenzando por verificar Email, Google, Apple ID, Facebook, Instagram, Telegram, WhatsApp, bancos y exchanges. Si aún puedes acceder, cambia la contraseña, elimina dispositivos desconocidos, actualiza el correo de respaldo y los métodos de verificación en dos pasos.
Reducir riesgos no significa que no debas usar el número de teléfono.
El número de teléfono puede mantenerse como método para recuperar datos, pero no debe ser la única protección para cuentas de alto valor. Para cuentas importantes, se priorizan aplicaciones de autenticación, claves de seguridad, avisos en dispositivos o códigos de respaldo; la cuenta de telecomunicaciones también debe tener una contraseña independiente y preguntar si puede habilitar un PIN de soporte al cliente, bloqueo de transferencias o restricciones para manejo en tienda.
Si una plataforma solo permite verificación mediante SMS, al menos asegúrate de que el correo relacionado, la cuenta de telecomunicaciones y la cuenta de pago usen contraseñas diferentes para evitar que una anomalía en el número desencadene un takeover en cadena.