En los foros de la dark web se ofrecen servicios de duplicado de tarjetas SIM por US$300. Este ataque de ingeniería social secuestra el número de la víctima, lo que permite acceder y controlar los códigos de autenticación por SMS y los procesos de recuperación de contraseñas. Y si tus cuentas bancarias o monederos de criptomonedas dependen de la autenticación por mensaje de texto, los hackers podrían vaciarlas en cuestión de minutos.

El ataque suele producirse a plena luz del día: los delincuentes pueden llamar a una compañía de telefonía celular y pedir que el número de la víctima se transfiera a su tarjeta SIM. Es un proceso muy sencillo y su éxito depende principalmente de la capacidad del cibercriminal para reunir información suficiente.

Sin embargo, los delincuentes que quieren duplicar una tarjeta SIM no tienen que hacerlo ellos mismos. Pueden recurrir a profesionales que ofrecen este tipo de servicios en la dark web. Anunciado como un servicio profesional, la duplicación fraudulenta de una sola tarjeta SIM cuesta desde unos US$300 dólares y ronda entre los US$1000 y US$1300 dólares por intercambio, según los datos recopilados y analizados por NordLayer Intelligence de NordStellar, una herramienta de monitoreo de la dark web.

Las tarjetas SIM son de los productos más baratos en el mercado. Una SIM robada o desconocida puede venderse entre US$2 y US$20. Los foros de hackers en la dark web registran un aumento significativo en las conversaciones sobre tarjetas SIM. Durante el último año, hubo más de 1150 menciones sobre tarjetas SIM y más de 400 sobre SIM swaps, y el número de menciones directas a este tipo de estafas se cuadruplicó.

Sin embargo, los precios bajos son engañosos. Los SIM swaps se venden cada vez más no como un servicio independiente, sino en paquetes que incluyen datos de identidad robados (conocidos en inglés como “fullz”), una “identidad con selfie” y registros bancarios. Son kits listos para usarse y diseñados para controlar por completo las cuentas de las víctimas.

“Antes, el ataque se centraba únicamente en suplantar la SIM, pero ahora todo es más complejo. Los delincuentes venden todo lo necesario para hacerse pasar por ti, es decir, cuando duplican o intercambian tu número telefónico, es mucho más probable que tu identidad y acceso a tu cuenta bancaria acaben en manos del mismo comprador”, afirma Matas Cenys, director de producto de Saily, la app eSIM de viajes.

Una publicación en un foro de la dark web en la que se ofrece un servicio de suplantación de tarjetas SIM. Datos obtenidos por la herramienta NordLayer Intelligence de NordStellar

Las conversaciones en los foros clandestinos ponen de manifiesto que el SIM swapping no se limita a un solo país ni a una sola compañía telefónica. Los hackers aprovechan las vulnerabilidades de múltiples proveedores y se jactan de poder suplantar cualquier tarjeta SIM en cualquier país.

Los datos revelan que distintos operadores aparecen con listas de precios, mientras que paquetes de servicio completo que incluyen el control total del dispositivo se ofrecen por hasta US$2000.

Los protocolos de seguridad y la huella digital pueden afectar a la víctima

Los avanzados protocolos de seguridad implementados por los operadores de telecomunicaciones están obstaculizando los SIM swaps, sin embargo, los ataques de ingeniería social suelen encontrar brechas en el sistema. Por ejemplo, pueden intentar aprovechar vulnerabilidades internas, como buscar a un empleado de telecomunicaciones deshonesto al que se pueda sobornar.

Al mismo tiempo, el ataque solo tiene éxito si el delincuente logra convencer a la empresa de telecomunicaciones de que la identidad falsa es real. La extracción de datos usando inteligencia artificial permite a los cibercriminales recopilar el historial digital de una víctima en cuestión de segundos. Cuando las víctimas publican en tiempo real, los hackers pueden sincronizar esos registros con los datos de la empresa de telecomunicaciones, lo que facilita enormemente la suplantación de identidad.

Cómo proteger tu identidad y tus cuentas

Para protegerte contra la duplicación fraudulenta de tarjetas SIM, Cenys te ofrece algunos consejos:

• Usa la autenticación multifactor. Evita usar la autenticación por SMS. Los autenticadores basados en apps o las llaves de seguridad físicas ofrecen protección más eficaz. Los operadores también pueden activar el bloqueo de portabilidad telefónica y aplicar controles de identidad estrictos para las transferencias de números.
• Si sospechas que has sido víctima de un ataque, acude a la tienda de tu operador de telefonía. Esta es la forma más sencilla y confiable de demostrar tu identidad y detener el ataque.
• Ten cuidado con lo que compartes en redes sociales, sobre todo cuando viajas. Los delincuentes pueden usar la información sobre tus viajes para convencer a las compañías de telefonía celular de que no puedes acudir a sus oficinas.
  Adopta buenas prácticas de higiene de ciberseguridad.
• Evita hacer abrir links sospechosos, desconfía de las solicitudes urgentes, usa el sentido común y no reutilices las contraseñas.