Particulares y empresas
SIM swapping: te clonaron la SIM y te vaciaron la cuenta
Un día tu móvil deja de tener cobertura. Poco después, descubres que alguien ha transferido dinero desde tu cuenta. El estafador duplicó tu tarjeta SIM, recibió los códigos del banco y operó en tu nombre. Hay vías para reclamar, tanto al banco como a la operadora.
Qué es el SIM swapping
El SIM swapping (intercambio de SIM o duplicado fraudulento de SIM) es un ataque en dos fases:
- Fase 1 — El duplicado. El estafador se hace con tus datos personales (nombre, DNI, número de teléfono) mediante phishing, ingeniería social o compra en mercados ilegales. Con esos datos, solicita a tu operadora de telecomunicaciones un duplicado de tu tarjeta SIM. A veces lo hace en una tienda física suplantando tu identidad; otras veces soborna o engaña a un empleado de la operadora.
- Fase 2 — El vaciado. Con la nueva SIM activa, tu teléfono pierde cobertura (la SIM original queda desactivada). El estafador recibe tus SMS, incluidos los códigos de autenticación de dos factores (OTP) que el banco envía para confirmar transferencias. Si ya tiene tus credenciales de banca online (usuario y contraseña, obtenidos por phishing), puede operar libremente.
Análisis gratuito · Respuesta en 24 h laborables
Dos responsables, dos reclamaciones
El SIM swapping es particular porque hay dos empresas que pueden haber fallado:
La operadora de telecomunicaciones
La operadora emitió un duplicado de SIM sin verificar correctamente la identidad del solicitante. Eso es un incumplimiento de sus obligaciones de seguridad y de protección de datos (Reglamento General de Protección de Datos, RGPD). La operadora puede responder de los daños causados por ese fallo.
La reclamación a la operadora se basa en:
- Responsabilidad contractual: la operadora incumplió el deber de diligencia en la emisión del duplicado.
- Responsabilidad por protección de datos: facilitó el acceso no autorizado a los datos y comunicaciones del titular (arts. 5 y 32 del RGPD).
El banco
El banco confió la seguridad de la operación a un código enviado por SMS, un canal que el SIM swapping deja en manos del estafador. Que el banco registre el uso correcto del código no prueba que fueras tú quien operó (art. 44.2), y en un SIM swapping lo normal es que no hayas hecho nada: ni siquiera recibiste el código.
La reclamación al banco sigue el mismo régimen que en los demás fraudes:
- Si la operación no fue autorizada, debe devolver el dinero al día siguiente (art. 45.1 RDL 19/2018).
- Si alega negligencia grave, tiene que probarla (art. 44.3).
- Si no exigió autenticación reforzada, el usuario solo responde en caso de fraude propio (art. 46.2).
El precedente del Supremo
La STS 571/2025 resolvió precisamente un SIM swapping: unos delincuentes duplicaron la SIM de un cliente de Ibercaja y le hicieron quince transferencias en una noche, por más de 80.000 €. El Supremo desestimó el recurso del banco y mantuvo su condena:
- Las operaciones confirmadas con el SMS enviado al móvil del cliente siguen siendo «no autorizadas» si el cliente niega haberlas autorizado, y entonces el banco tiene que probar.
- No se acreditó qué negligencia pudo cometer el cliente para que le duplicaran la SIM, y las advertencias genéricas del banco no bastan para imputársela.
- Pesó contra el banco que quince transferencias en una noche no activaran sus alarmas, pese a que el cliente había avisado antes de SMS sospechosos.
Señales de alerta
- Tu móvil pierde cobertura de repente y no es un problema de la red (otros teléfonos con la misma operadora funcionan).
- Recibes un SMS o email de tu operadora confirmando un duplicado de SIM que no has pedido.
- No puedes enviar ni recibir llamadas ni SMS, pero el Wi-Fi funciona con normalidad.
- Recibes notificaciones de acceso a tu banca online desde un dispositivo que no reconoces.
Si detectas alguna de estas señales, actúa inmediatamente: llama a tu operadora desde otro teléfono y al banco.
Qué hacer si te ha pasado
- Llama a la operadora inmediatamente (desde otro teléfono). Pide que bloqueen el duplicado y reactiven tu SIM original. Pregunta quién solicitó el duplicado, cuándo y desde dónde.
- Llama al banco. Bloquea la banca online y las tarjetas. Pide la retrocesión de las operaciones no autorizadas.
- Denuncia ante la Policía Nacional (BIT) o la Guardia Civil (GDT). Aporta los SMS de confirmación del duplicado, las notificaciones del banco y los justificantes de las operaciones.
- Cambia las contraseñas de tu banca online, correo electrónico y cualquier servicio que use tu número de teléfono como segundo factor.
- Reclama a la operadora por escrito. Exige explicación de cómo se emitió el duplicado sin tu consentimiento.
- Consulta a un abogado. El análisis inicial es gratuito. En el SIM swapping hay dos vías de reclamación paralelas (banco y operadora).
Preguntas frecuentes
- ¿Puedo reclamar al banco y a la operadora a la vez?
- Sí. Son responsabilidades independientes. El banco responde por ejecutar operaciones no autorizadas; la operadora responde por emitir un duplicado de SIM sin verificar la identidad. Se pueden reclamar ambas en paralelo o en el mismo procedimiento judicial.
- ¿Soy negligente por usar SMS como segundo factor?
- No. El SMS es el método que el banco ofrece a la mayoría de sus clientes. Si el banco no ofrecía alternativas más seguras (notificación push, biometría), no puede trasladar al cliente la responsabilidad de un sistema que él mismo eligió.
- ¿Puedo pedir que la operadora me compense?
- Sí. La operadora puede responder por los daños derivados de su fallo de seguridad. Si el duplicado se emitió por un error de verificación, la operadora incumplió sus obligaciones contractuales y de protección de datos.
- ¿Cómo evito que me pase?
- Pide a tu operadora que exija verificación presencial o PIN para cualquier duplicado de SIM. Si tu banco lo permite, cambia el segundo factor de SMS a notificación push en la app o a biometría. Activa las alertas de movimientos en tu cuenta.
¿Te ha pasado? Te decimos si es reclamable
Cuatro preguntas rápidas y te damos una primera valoración al momento. Análisis gratuito · Respuesta en 24 h laborables.
Hemos recibido tu consulta
Gracias. José la revisa y te contesta en 24 h laborables.
Mientras tanto, haz esto hoy
- Bloquea tarjetas y banca online llamando al número de emergencias de tu banco.
- Comunica el fraude al banco por escrito y guarda la copia.
- Denuncia en la Policía Nacional o la Guardia Civil.
- No borres nada: SMS, correos, capturas y notificaciones son prueba.
¿Es urgente?
Lee mientras esperas
Fuentes
- RDL 19/2018: arts. 44.3 (carga de la prueba), 45.1 (devolución inmediata), 46.2 (sin autenticación reforzada). Fuente: BOE consolidado (BOE-A-2018-16036).
- RGPD: arts. 5 (principios de tratamiento) y 32 (seguridad del tratamiento).
- STS 571/2025, de 9-4-2025. ECLI:ES:TS:2025:1671.