En resumen: el SIM swapping es un fraude en el que alguien consigue que tu operadora le entregue un duplicado de tu tarjeta SIM, tu móvil se queda sin línea y el delincuente recibe tus SMS, incluidos los códigos del banco. Esta guía es para cualquiera que use el móvil para confirmar pagos. Lo que conviene saber de entrada: en España no hay, al menos en las normas de telecomunicaciones revisadas para este artículo, un reglamento que fije paso a paso cómo debe identificarte la operadora; la obligación la ha ido marcando la Agencia Española de Protección de Datos (AEPD) a golpe de sanción. La señal de alarma es una sola: perder la cobertura sin explicación.
¿Cómo funciona el fraude de la SIM duplicada?
Funciona en dos fases. Primero el delincuente consigue tus credenciales de la banca online, normalmente con phishing; después se hace pasar por ti ante la operadora para obtener un duplicado de la SIM, que anula la tuya, y así recibe los SMS que el banco envía para confirmar operaciones.
Así lo describe el propio Gabinete Jurídico de la AEPD en su informe 0030/2021, que subraya que el fraude exige haber obtenido antes las credenciales de la víctima. Es decir, el duplicado no basta por sí solo: es la llave que completa un robo de datos previo.
INCIBE explica en su guía sobre el duplicado de SIM cómo se suplanta al titular. En una tienda física hace falta presentar un documento falso que pase la revisión; por teléfono o por internet puede bastar con disponer de datos personales como el nombre, el DNI, la fecha de nacimiento, la dirección de facturación o los cuatro últimos dígitos de la cuenta bancaria. Esos datos salen de phishing, tiendas falsas, encuestas virales, filtraciones o lo que publicamos en redes.
Los casos que ha resuelto la AEPD muestran las dos vías. En el expediente que acabó con una multa de 70.000 euros a Digi, un tercero llamó el 2 de septiembre de 2021 haciéndose pasar por el cliente, la operadora emitió un código de solicitud de duplicado y ese mismo día le entregaron la SIM en un punto de distribución. La víctima sufrió numerosas transferencias desde su cuenta.
¿Qué tiene que comprobar tu operadora antes de darte un duplicado?
Tiene que asegurarse de que quien lo pide es el titular de la línea, y si no lo hace responde por ello ante la AEPD. Lo que no existe, en lo revisado, es una lista legal cerrada de comprobaciones.
Basta revisar el BOE. La Ley 11/2022 General de Telecomunicaciones no menciona los duplicados de tarjetas SIM. Y la norma antifraude más reciente del sector, la Orden TDF/149/2025, publicada el 15 de febrero de 2025 y modificada por la Orden TDF/558/2026 el 5 de junio de 2026, se ocupa de las llamadas y SMS con identificador falsificado, no de la emisión de duplicados. Si quieres el detalle de esa orden, lo contamos en nuestro artículo sobre el spoofing del número del banco y lo que ya bloquea la ley.
El límite real lo pone el Reglamento General de Protección de Datos. La AEPD trata la expedición de un duplicado a quien no es el titular como un tratamiento ilícito de datos personales: en el caso de Digi aplicó el artículo 6.1 del RGPD y desestimó el recurso de la operadora, que alegaba haber seguido su protocolo. Según Bandaancha, en febrero de 2022 la Agencia ya había multado a las cuatro grandes operadoras con unos 5,8 millones de euros en total por duplicados fraudulentos, con 3,94 millones solo para Vodafone.
La otra cara también está documentada. En un expediente de 2024 contra Xfera que la AEPD acabó archivando, la operadora explicó que para un duplicado exige el documento de identidad original, y que en ese caso el delincuente lo tenía porque se lo había robado a la víctima días antes. Su sistema antifraude saltó minutos después de los primeros movimientos con Bizum y bloqueó la recepción de SMS en la línea. La AEPD concluyó que había seguido su protocolo con una diligencia razonable y archivó.
Mi lectura de esos dos expedientes es incómoda pero útil: la protección que tienes depende sobre todo de cómo diseñe cada operadora su proceso, y la AEPD castiga el resultado cuando el proceso falla, pero no te devuelve el dinero. Creo que un fraude con este historial merecería reglas comunes y públicas sobre cómo se identifica a quien pide un duplicado, igual que las hay ya para el spoofing.
Te has quedado sin cobertura: qué hacer en los primeros minutos
Si tu móvil se queda sin servicio en un lugar donde siempre tienes cobertura y no sabes por qué, llama a tu operadora desde otro teléfono cuanto antes. Es la primera recomendación de INCIBE, y tiene lógica: al activar la SIM duplicada, la operadora desactiva la original, así que perder la línea suele ser el primer indicio, como reflejan los relatos de víctimas en las resoluciones de la AEPD de 2022 según Bandaancha.
Después, por este orden:
- Avisa a tu banco y pide que bloqueen operaciones y revisen movimientos. INCIBE recomienda contactar con la entidad si ves cargos que no reconoces.
- Cambia las contraseñas del correo, las redes y la mensajería desde otro dispositivo, activa la verificación en dos pasos y revisa las opciones de recuperación de cada cuenta, como aconseja INCIBE.
- Guarda pruebas: hora en que perdiste la cobertura, llamadas a la operadora, movimientos del banco. Las necesitarás para denunciar ante la Policía Nacional o la Guardia Civil.
- Pide orientación si te pierdes: el 017 de INCIBE es gratuito y atiende de 8:00 a 23:00 los 365 días, según su página oficial.
Si te robaron el DNI o enviaste una copia a quien no debías, añade una comprobación más: que nadie haya pedido créditos a tu nombre.
¿Cómo reduzco el riesgo antes de que pase?
La medida más eficaz es dejar de depender del SMS como segundo factor allí donde puedas. Si tu banco o tu correo te permiten usar una aplicación de autenticación, una llave física o la confirmación desde su propia app, un duplicado de SIM pierde casi todo su valor; lo explicamos en detalle en por qué el SMS ya no es un segundo factor seguro y qué usar en su lugar.
La segunda es cuidar los datos que hacen creíble la suplantación. La lista de INCIBE es elocuente: casi todos salen de algo que entregamos nosotros, desde un SMS falso hasta una encuesta para ganar un cupón. Y la tercera, pregunta a tu operadora si ofrece una contraseña o PIN de cliente para trámites sensibles; si existe, actívala. Si usas eSIM, conviene conocer también cómo funciona el traspaso de la línea entre móviles; lo contamos en cómo pasar la eSIM a otro móvil sin quedarte sin línea.
Mi postura es que el SIM swapping es, sobre todo, un fallo de diseño compartido: los bancos convirtieron el número de móvil en una llave maestra y las operadoras siguen entregando copias de esa llave con controles que varían de una compañía a otra. Mientras eso no cambie, la defensa del usuario es sacar el SMS de la ecuación y reaccionar en minutos, no en horas, cuando el móvil se queda mudo.