Los ataques de intercambio de tarjetas SIM, también conocidos como SIM Swapping, son un problema bastante grave que afecta a los usuarios de teléfonos móviles. Es cierto que no es un tipo de ataque muy presente, ni fácil de llevar a cabo, pero existe y, además, va en aumento, como indican desde Cyber Security News. Sin embargo, ahora tenemos algo que no teníamos hace unos años: las eSIM. Vamos a explicarte cómo pueden servir de ayuda.
Si alguien logra controlar tu SIM, tu número de móvil, podría ganar acceso a cuentas de todo tipo. Va a tener el control de tu identidad, por lo que podría suplantarte a la hora de contratar servicios, realizar pagos, usar redes sociales, etc. INCIBE, el Instituto de Ciberseguridad Nacional de España, lo considera un problema grave, que puede derivar en el robo de dinero.
Cómo funciona el robo de una SIM
SIM Swapping significa que han duplicado tu tarjeta. Los atacantes, previamente, han obtenido datos sobre ti. Han averiguado cuál es tu nombre, el número de teléfono, el operador que tienes contratado, tu fecha de nacimiento… Con todo eso, van a suplantar tu identidad frente a la empresa de telefonía con la que tienes tu número.
Lo que van a pedir a tu operador, es un duplicado de tarjeta SIM. Es lo que se conoce como ingeniería social. Van a utilizar técnicas de engaño, para lograr su objetivo, que no es otro que tener esa nueva tarjeta SIM bajo su control, con lo que ello supone. Un problema bastante grave y que afecta a muchos países, aunque España no es uno de los más perjudicados.
Cuando los atacantes logran controlar esa tarjeta SIM, lo primero es que la víctima se queda sin red. Automáticamente, el servicio deja de funcionar. No se pueden tener dos tarjetas activas, funcionando al mismo tiempo. Por tanto, no podrías recibir ni enviar llamadas, ni tampoco SMS. Todo eso sí podría hacerlo el atacante. Podría recibir códigos de verificación por SMS para, por ejemplo, entrar en tu banco.
En Estados Unidos, con los últimos datos disponibles, el FBI tuvo constancia de 1.075 casos de SIM Swapping, lo que supuso pérdidas económicas que alcanzaron los 50 millones de dólares. En Reino Unido, según el informe de IDCARE, del que se hacen eco en Cyber Security News, ha habido un aumento del 240% entre 2023 y 2024.
Las eSIM son más seguras
Después de explicar cómo funcionan los ataques SIM Swapping, vamos a hablar de las eSIM y de cómo pueden ser una gran ayuda. Esta tecnología supone un cambio importante respecto a lo que estábamos acostumbrados hasta ahora. No son tarjetas físicas. Por tanto, a diferencia de las tarjetas tradicionales, no basta con que el atacante convenza al operador para que le envíe esa segunda tarjeta.
Además, los operadores, para poder solicitar una eSIM, suelen requerir pasos adicionales. Por ejemplo, utilizar la aplicación, a la cual es necesario acceder desde el móvil del cliente, para solicitar esa eSIM y verificar los datos. No es, simplemente, llamar por teléfono y que envíen una tarjeta a casa. Suele requerir, precisamente, el uso de verificación en dos pasos a través de un código por SMS que el cliente siempre va a recibir.
Por otra parte, también es común que los operadores permitan bloquear y desbloquear las eSIM desde la aplicación. El cliente va a tener un mayor control, incluso si ve que se ha quedado sin línea. La aplicación va a seguir funcionando.
También hay que mencionar el aspecto físico. Si roban tu móvil, por ejemplo, podrían extraer la tarjeta SIM y obtener ciertos datos necesarios para pedir el duplicado. En cambio, una eSIM no es más que software, como un programa instalado en tu teléfono.
Algunas mejoras son las siguientes:
- Verificación biométrica: Operadores como Movistar y Orange exigen reconocimiento facial o huella dactilar a través de su aplicación oficial para autorizar el cambio.
- PIN de seguridad: Vodafone requiere un PIN de seguridad específico para la gestión de la SIM, adicional a la contraseña de la cuenta.
- Doble canal de comunicación: Se notifica cualquier solicitud de cambio de SIM al correo electrónico registrado, ofreciendo un periodo para cancelarlo.
No son infalibles: riesgos de las eSIM
No significa, eso sí, que la seguridad sea del 100%. El riesgo sigue existiendo, aunque es menos probable que puedan llegar a robar tu número de móvil. Es importante siempre tomar precauciones. La policía metropolitana de Reino Unido, da algunas claves para evitar ataques de este tipo. Hemos visto cómo las eSIM suponen un avance y mejoran la seguridad. Evitar la dependencia de las tarjetas físicas es clave, ya que ponen las cosas más difíles a los delincientes. Pero no podemos obviar que tampoco están exentas de riesgos y que estos riesgos son cada vez más emergentes, a medida que las eSIM están más presentes.
Uno de esos riesgos es precisamente el «eSIM swapping», una evolución del ataque clásico que aprovecha las transferencias «one-click» o procesos simplificados de provisión remota en algunos operadores. Esto viene dado de las brechas masivas de seguridad, que a día de hoy se ha demostrado que son inevitables.
Es cierto que hablamos de riesgos de seguridad que vienen más dadas del lado del servidor que del usuario, pero las variantes irán llegando poco a poco sin dudas. Es decir, que aunque se eliminen casi por completo los riegos físicos, aumentan los de ciberseguridad. Hablamos de bugs y vulnerabilidades que puedan ser aprovechadas en redes públicas, el software y el sistema operativo del dispositivo que cuenta con la eSIM.
Por suerte, muchos de estos fallos son detectados en informes técnicos y parcheados antes de que lleguen a oídos de los ciberdelincuentes y se pueda armar un ataque. Uno de los más recientes, y que pudimos leer en ADSLZone, fue un reporte del laboratorio de ciberseguridad polaco Security Explorations. Demostraron que bajo ciertas condiciones técnicas, un atacante puede aprovechar un perfil de pruebas para introducir código malicioso en la eSIM sin ser detectado. Este fallo dejaba la puerta abierta a ejecutar instrucciones no autorizadas.
El riesgo es bajo aun, sobre todo porque la adopción de eSIM sigue siendo bajo en comparación con la SIM tradicional. Es decir, que sigue habiendo fallos estructurales en el diseño de la arquitectura eSIM, que evitan que podamos hablar de un sistema 100% seguro y libre de riesgos de seguridad.