La SIM swap como servicio: precios anunciados, intermediarios internos y lo que desbloquea un número secuestrado
Un SIM swap traslada un número de teléfono móvil a una tarjeta SIM que controla otra persona. El Departamento de Justicia de EE. UU. describe el esquema sin rodeos: los atacantes toman el control del número de la víctima, lo vinculan a una SIM propia y las llamadas y mensajes de texto de la víctima - incluidos los códigos de un solo uso - se dirigen a un dispositivo que la víctima nunca ve. Lo que empezó como trabajo a medida para tomar el control de cuentas se ha convertido en un servicio listado en foros subterráneos, con listas de precios por operadora, revendedores y reclutadores que colocan infiltrados en los equipos de soporte de las operadoras.
Lo que desbloquea un número secuestrado
Un número de teléfono es la llave de recuperación de casi todo lo asociado a él. Quien intercepta los códigos SMS suele poder entrar en buzones de correo, cuentas bancarias y de exchanges, y en cualquier servicio que trate un código por mensaje como prueba de identidad. El Internet Crime Complaint Center del FBI registró 320 denuncias de SIM swap entre enero de 2018 y diciembre de 2020, con pérdidas ajustadas de unos 12 millones de dólares; solo en 2021 recibió 1.611 denuncias con pérdidas ajustadas superiores a 68 millones de dólares. El aviso público de la oficina menciona expresamente el soborno a empleados de las operadoras entre los métodos empleados, junto al phishing y el malware. El techo es alto. En enero de 2024, atacantes usaron un número secuestrado para hacerse con la cuenta de la SEC, el regulador bursátil de EE. UU., en X y publicar una aprobación falsa de un ETF de bitcoin, según la empresa de inteligencia de amenazas Intel 471. Y la estimación de daño que Europol atribuyó a un solo número secuestrado en su operativo de 2021 - más de 100.000 euros - explica por qué el mercado subterráneo cifra estos trabajos en cuatro dígitos.Precios anunciados, por operadora
Según el informe de abril de 2024 de Intel 471, los servicios de SIM swap se anuncian abiertamente en foros subterráneos y canales de Telegram. Un actor ofrecía swaps en cuentas de AT&T, T-Mobile y Verizon a 2.500 dólares por número y decía trabajar con un infiltrado en una empresa estadounidense que no identificó. Otro vendedor, que cubría AT&T, O2, Sprint, T-Mobile y Verizon, se centraba en objetivos de criptomonedas y cotizaba tarifas desde 5.000 dólares por cuenta. Un tercero ofrecía operadoras estadounidenses desde 2.000 dólares. Según el informe, el precio depende de la operadora, del valor de las cuentas del objetivo y, sobre todo, de si ya hay un infiltrado dentro. Son afirmaciones de vendedores, no capacidad verificada, pero el volumen de ofertas y los compradores recurrentes apuntan a un comercio activo.El mercado de los infiltrados
Por el lado de la oferta, el SIM swap deja de ser una estafa al consumidor y empieza a parecerse a una contratación. El reportaje de Brian Krebs en 2018 describía tres métodos recurrentes: sobornar o chantajear a empleados de tienda, personal actual o antiguo que abusa de accesos a bases de datos, y empleados corruptos que engañan a colegas desprevenidos para que hagan el cambio. Un soborno de 400 dólares tienta al personal mal pagado de las tiendas, apuntaba Krebs, y T-Mobile reconoció ese año tres accesos no autorizados, uno de ellos con unos 2,5 millones de clientes afectados. Un detective citado en el mismo reportaje mencionaba afirmaciones sobre un 'software especializado' vendido en mercados de la dark web con acceso trasero a una base de datos de una operadora, una afirmación que nunca se comprobó.«Engañar o sobornar a empleados de telecomunicaciones o abusar directamente del acceso interno en las operadoras»: así describía Europol los métodos de la banda detrás de las detenciones de 2021 por los SIM swap a famososEl patrón llega a las oficinas de las operadoras. El informe de Intel 471 documenta a un empleado de telecomunicaciones de Nueva Jersey que se declaró culpable en marzo de 2024 de acceso no autorizado a sistemas, tras revelar los investigadores que recibió 5.000 dólares en bitcoin para ejecutar SIM swaps sobre cinco víctimas en 2021, con un reclutador que supuestamente le prometió una parte de los beneficios. Ese mismo mes, los fiscales acusaron a un joven de Florida de entonces 19 años al que atribuyen al menos 800.000 dólares en criptomonedas mediante números secuestrados, y a una banda acusada de usar documentos de identidad falsificados para hacer los cambios dentro de tiendas de las operadoras. El regulador estadounidense ya escribe el riesgo interno en sus normas: la orden de la FCC de 2023 sobre fraude de SIM swap y portabilidad se refiere, en sus propios términos, a 'empleados de atención al cliente complacientes, despistados o malintencionados'.
Un número de 20 millones de dólares
La contabilidad más clara de lo que cuesta un número procede de un único acusado. Nicholas Truglia, de 25 años entonces, se declaró culpable de participar en un esquema de SIM swap de enero de 2018 que vació la cartera de criptomonedas de una víctima en más de 20 millones de dólares. En diciembre de 2022, la fiscalía federal para el sur de Nueva York anunció que fue condenado a 18 meses de prisión, tres años de libertad supervisada, 983.010,72 dólares de decomiso y 20.379.007 dólares de restitución. El inversor tecnológico Michael Terpin, cuyo número fue supuestamente secuestrado en la misma oleada, siguió la vía civil paralela: un panel de arbitraje le concedió, según los relatos recopilados en el resumen de Wikipedia sobre fraudes de SIM swap, 23,8 millones de dólares contra Truglia en 2019.Qué defensa funciona de verdad
Desde enero de 2024, las operadoras estadounidenses cubiertas por la orden de la FCC deben verificar la identidad del cliente de forma segura antes de transferir o portar un número, avisar al cliente antes de efectuar el cambio y ofrecer gratis un bloqueo de portabilidad y de cambio de SIM. Las reglas son un suelo, no un escudo, y llegan después de la mayoría de los casos anteriores. Las mitigaciones prácticas que recomienda el FBI no han cambiado:- Pide a tu operadora un PIN de portabilidad o bloqueo de transferencia de número, y pregunta por la protección de eSIM donde se ofrezca.
- Usa una app de autenticación, una llave de seguridad física o biometría en lugar de códigos SMS en las cuentas críticas.
- Nunca compartas códigos de un solo uso ni PIN de cuentas, y evita publicar tus inversiones en criptomonedas.
- Reserva un número aparte para las cuentas críticas y no se lo des a nadie.