El SIM swapping es una de las técnicas de fraude más dañinas del panorama digital actual: permite a un delincuente «robar» el número de teléfono de una víctima para interceptar los SMS de verificación bancaria y vaciar sus cuentas en cuestión de minutos. En España, la operadora Digi se ha convertido en protagonista recurrente de los expedientes sancionadores de la Agencia Española de Protección de Datos (AEPD) por fallos en sus procesos de verificación de identidad, acumulando ya casi 2 millones de euros en multas. La más reciente, de 120.000 euros, confirma que el problema no es un caso aislado, sino un patrón que se repite desde 2022.
Imagen generada con IA.
Qué es el SIM swapping y cómo se usa para interceptar SMS bancarios
El SIM swapping (o duplicado fraudulento de tarjeta SIM) consiste en que un atacante, haciéndose pasar por el titular legítimo de una línea telefónica, solicita a la operadora una SIM duplicada o un cambio de operadora con portabilidad. Si la operadora no verifica correctamente la identidad del solicitante, el delincuente recibe una tarjeta SIM activa con el número de la víctima, mientras que la SIM original de esta deja de tener cobertura.
A partir de ese momento, el atacante recibe en su propio terminal los SMS y llamadas destinados a la víctima, incluidos los códigos de verificación en dos pasos que los bancos envían para confirmar transferencias, altas de beneficiarios o compras con tarjeta. Con el número «secuestrado» y, normalmente, credenciales bancarias obtenidas previamente mediante phishing, el fraude se completa en cuestión de minutos, antes de que la víctima note siquiera que se ha quedado sin cobertura.
Por eso la verificación de identidad en el momento de solicitar un duplicado de SIM no es un trámite burocrático más: es la última barrera de seguridad antes de que un fraude bancario se consume. Cuando esa barrera falla, la responsabilidad recae directamente sobre la operadora, en virtud del artículo 5.1.f) del RGPD (integridad y confidencialidad) y del deber de implementar medidas técnicas y organizativas adecuadas del artículo 32.
El historial de multas de Digi por duplicado fraudulento de SIM (2020-2023)
Lo que convierte el caso de Digi en especialmente relevante no es una sanción puntual, sino la reiteración. La AEPD ha ido acumulando expedientes contra la operadora por casos de SIM swapping derivados de una verificación insuficiente de la identidad de quien solicitaba el duplicado, con sanciones que se han ido sucediendo año tras año:
- 2024: dos sanciones de 200.000 € cada una por casos de duplicado fraudulento de SIM.
- 2026 (sanciones previas): multas adicionales de 150.000 € y 140.000 € por el mismo tipo de incidente.
- 2026 (última sanción): 130.000 € en un expediente anterior al que ahora se suma el de 120.000 €.
Sumando todos estos expedientes, la cifra acumulada por Digi en sanciones relacionadas con el duplicado fraudulento de SIM ronda ya los 2 millones de euros. Para la AEPD, esta reiteración es un agravante: no se trata de un fallo puntual de un empleado, sino de una debilidad estructural en el procedimiento de verificación que la operadora no habría corregido pese a las sanciones anteriores.
La última sanción de 120.000 €: cómo ocurrió el fraude
El expediente más reciente sancionado con 120.000 € se originó en un caso registrado en enero de 2022, en el que un tercero no identificado logró obtener un duplicado de la tarjeta SIM de la víctima suplantando su identidad ante la operadora. A partir de ese momento, el atacante interceptó los códigos de verificación bancaria enviados por SMS, lo que le permitió realizar operaciones fraudulentas en las cuentas de la víctima sin que esta pudiera reaccionar a tiempo, al haber perdido la cobertura de su propia línea.
La instrucción del procedimiento puso el foco en si Digi había aplicado controles suficientes para verificar que quien solicitaba el duplicado era realmente el titular de la línea. La conclusión de la AEPD fue que los mecanismos de verificación empleados por la operadora en ese momento no ofrecían garantías razonables frente a la suplantación, lo que constituye una vulneración del deber de seguridad del tratamiento de datos personales que recoge el RGPD.
Bonus: el otro frente de Digi con la AEPD, el acceso a registros de llamadas entrantes
El historial sancionador de Digi con la AEPD no se limita al SIM swapping. En un expediente distinto (nº EXP202514784), un usuario identificado como Álvaro reclamó ante la Agencia después de que la operadora le denegara el acceso al detalle completo de las llamadas entrantes asociadas a su línea, limitándose a facilitarle el de las llamadas salientes y la factura general.
La AEPD recordó que el derecho de acceso del artículo 15 del RGPD obliga al responsable del tratamiento a facilitar una copia de todos los datos personales que trata sobre el interesado, sin que la operadora pueda restringir unilateralmente el alcance de esa información amparándose en la normativa sectorial de telecomunicaciones. El artículo 23 del RGPD, que permite limitar ciertos derechos por motivos tasados (como la protección de terceros), no ampara una denegación genérica como la aplicada por Digi, y tampoco encuentra respaldo suficiente en la Ley 25/2007 de conservación de datos de comunicaciones electrónicas, que regula la conservación de esos datos pero no excluye el derecho de acceso del titular de la línea.
Este segundo frente, aunque de naturaleza distinta al SIM swapping, dibuja el mismo patrón de fondo: una operadora que no está ajustando sus procesos internos —ya sea de verificación de identidad o de atención a derechos de los interesados— a las exigencias del RGPD.
Cómo protegerte del SIM swapping como usuario
- Activa un PIN o clave adicional con tu operadora para cualquier solicitud de duplicado de SIM o cambio de titularidad, si el servicio lo ofrece.
- Desconfía de la pérdida repentina de cobertura: si tu móvil se queda sin red sin motivo aparente, contacta de inmediato con tu operadora y con tu banco.
- Evita depender solo del SMS como segundo factor de autenticación bancaria; usa, si es posible, una app de autenticación o notificaciones push dentro de la propia app del banco.
- Protege tus datos personales (DNI, dirección, fecha de nacimiento) frente a filtraciones y phishing, ya que suelen ser el punto de partida que el atacante usa para superar la verificación de identidad de la operadora.
- Revisa periódicamente los movimientos bancarios y activa alertas inmediatas por SMS o app para detectar operaciones no autorizadas cuanto antes.
Qué deben revisar las operadoras en sus procesos de verificación de identidad
Los expedientes acumulados contra Digi dejan varias lecciones de cumplimiento aplicables a cualquier operadora de telecomunicaciones:
- Reforzar la verificación presencial o documental antes de emitir un duplicado de SIM, más allá de preguntas fácilmente obtenibles por ingeniería social.
- Auditar periódicamente el procedimiento de atención al cliente y de tiendas/distribuidores, que suelen ser el eslabón más débil frente a la suplantación.
- Formar al personal en la detección de señales de fraude (urgencia inusual, documentación dudosa, solicitudes atípicas).
- Revisar el procedimiento de atención al derecho de acceso del artículo 15 RGPD, asegurando que se facilita toda la información que la operadora trata sobre el interesado, incluidas las llamadas entrantes, salvo que exista una base legal expresa que ampare la limitación.
- Documentar las medidas de seguridad aplicadas (art. 32 RGPD) para poder acreditar ante la AEPD, en caso de incidente, que se actuó con la diligencia debida.
En Dataibérica ayudamos a empresas del sector de las telecomunicaciones y a cualquier organización que gestione datos sensibles de autenticación a revisar sus procedimientos de verificación de identidad y sus protocolos de atención a los derechos ARCO-POL, para evitar sanciones como las que acumula Digi y, sobre todo, para proteger a sus clientes frente al fraude. Si quieres revisar el tuyo, contacta con nosotros.
