El fraude por SIM swapping le permite a una red criminal tomar control total del número de teléfono de la víctima, interceptar los códigos de verificación del banco y realizar transferencias sin que el usuario pueda reaccionar a tiempo. Si esto le ocurrió, tiene derecho a reclamar.

Categoría: Fraude bancario | Modalidades de fraude digital | Derechos del consumidor financiero

Marco normativo: Circular Externa 029 de 2019 (SFC) | Ley 1328 de 2009 | Decreto 2555 de 2010

Por: Moratto Abogados Grupo Jurídico S.A.S.

Qué es el SIM swapping y cómo opera

El SIM swapping, también conocido como duplicado de SIM o transferencia fraudulenta de línea, es una de las modalidades de fraude bancario digital de mayor crecimiento en Colombia durante los últimos años. Su mecánica es tan eficaz como perturbadora: el delincuente logra que el operador de telefonía móvil le entregue un duplicado de la tarjeta SIM asociada al número de teléfono de la víctima. A partir de ese momento, toda la actividad telefónica de ese número —llamadas, mensajes de texto, códigos de verificación— llega al celular del criminal, no al de su legítimo titular.

El proceso tiene varias rutas de ejecución. En algunos casos, el atacante acude directamente a un punto de atención del operador con documentos falsificados o con información personal de la víctima obtenida previamente mediante ingeniería social o filtraciones de datos. En otros, actúa a través de empleados corruptos dentro de las propias operadoras. En cualquiera de los dos escenarios, el resultado es el mismo: el número de teléfono de la víctima queda bajo control de los delincuentes.

La razón por la que los bancos se vuelven vulnerables

El SIM swapping es tan devastador en el contexto financiero porque los bancos colombianos utilizan el número de teléfono registrado del usuario como canal principal de autenticación de dos factores. Cuando un delincuente ingresa a la banca en línea con las credenciales de la víctima —obtenidas mediante phishing, filtraciones o compra de datos en mercados ilegales— el sistema bancario envía un código de verificación por mensaje de texto al número registrado. En circunstancias normales, ese código llega al celular del titular y constituye la segunda barrera de seguridad. Bajo un ataque de SIM swapping, ese código llega directamente al criminal.

En cuestión de minutos, el atacante puede cambiar la clave del banco, re-enrolar el token de autenticación, agregar nuevos destinatarios de transferencias y vaciar la cuenta. Todo con los códigos que el propio banco envió al número de la víctima, que ya no le pertenece.

La velocidad del ataque es parte del diseño: los delincuentes actúan durante la madrugada o en momentos en que la víctima es menos probable que esté revisando su celular. El primer indicio que tiene el usuario es la pérdida de señal en su teléfono —porque la SIM original queda desactivada— y cuando lo advierte, las transferencias ya se ejecutaron.

Casos en Colombia: un fenómeno en expansión

En Colombia, el SIM swapping ha afectado a usuarios de prácticamente todos los bancos del sistema financiero. Los casos reportados ante la Superintendencia Financiera han involucrado transferencias no autorizadas por montos que oscilan entre unos pocos millones hasta sumas superiores a los cien millones de pesos, dependiendo del nivel de exposición de las cuentas del afectado. Las víctimas incluyen personas naturales, empresarios, profesionales independientes y pequeñas empresas.

La Circular Externa 029 de 2019 de la Superintendencia Financiera de Colombia establece que las entidades deben implementar controles efectivos para prevenir el fraude en canales digitales y que tienen la obligación de responder frente a los usuarios cuando dichos controles fallan. Esa norma, combinada con lo dispuesto en la Ley 1328 de 2009 sobre protección al consumidor financiero, constituye la base jurídica sobre la cual se pueden construir reclamaciones sólidas en casos de SIM swapping.

La responsabilidad del banco: lo que muchos desconocen

El primer impulso de muchas entidades financieras cuando reciben una reclamación por SIM swapping es negarla con el argumento de que los códigos de verificación fueron ingresados correctamente, que las transacciones se realizaron desde dispositivos previamente registrados o que la responsabilidad recae en el operador de telefonía, no en el banco. Esa posición, aunque comprensible desde la lógica de la entidad, no resiste un análisis jurídico riguroso.

Los bancos tienen la obligación de monitorear en tiempo real los patrones de comportamiento de las transacciones. Un re-enrolamiento de token seguido de transferencias masivas a cuentas nunca antes utilizadas, ocurrido en la madrugada, constituye una anomalía que los sistemas antifraude deben detectar y bloquear. Cuando esa detección no ocurre, el fallo es de la entidad, no del usuario. La Superintendencia Financiera ha avalado ese argumento en múltiples decisiones del Defensor del Consumidor Financiero.

Adicionalmente, si el banco utiliza el número de teléfono como factor de autenticación, tiene la obligación de verificar que ese número esté activo y en poder de su titular antes de ejecutar operaciones de alto riesgo. La existencia de herramientas técnicas que permiten detectar cambios recientes de SIM en tiempo real es un argumento que refuerza la responsabilidad bancaria cuando dicha verificación no se realizó.

Qué debe hacer si fue víctima de SIM swapping

El momento inmediatamente posterior al ataque es crítico. Lo primero es acudir al operador de telefonía para recuperar el control del número y documentar con soportes la transferencia fraudulenta de la SIM: fecha, hora y canal a través del cual se realizó. Lo segundo es llamar de inmediato a la línea de atención del banco para bloquear la cuenta, reportar las transacciones no autorizadas y obtener constancia de la reclamación con fecha y hora exactas.

Lo tercero, y tan importante como los dos anteriores, es interponer la denuncia ante la Fiscalía General de la Nación por los delitos de acceso abusivo a sistema informático, transferencia no consentida de activos y falsedad documental, según corresponda. Esa denuncia, además de iniciar la investigación penal, constituye un soporte probatorio fundamental para la reclamación bancaria y para cualquier proceso posterior ante la Superintendencia Financiera.

El cuarto paso es presentar la reclamación formal ante el banco con argumentación técnica y jurídica precisa: descripción de la modalidad del fraude, identificación de los fallos en los controles de la entidad, cuantificación del perjuicio y exigencia de restitución de los recursos. Si el banco rechaza la reclamación o no responde dentro de los términos legales, el siguiente paso es escalar ante el Defensor del Consumidor Financiero y, de ser necesario, ante la Delegatura para Funciones Jurisdiccionales de la Superintendencia Financiera.

Por qué Moratto Abogados puede ayudarle

En Moratto Abogados hemos acompañado a víctimas de SIM swapping en todas las etapas del proceso de reclamación. Conocemos la estructura técnica del fraude, sabemos cómo argumentar la responsabilidad de la entidad financiera con base en la normativa vigente y dominamos el ciclo de escalada institucional que va desde la reclamación directa hasta la acción ante la Delegatura Jurisdiccional de la Superintendencia Financiera.

Aplicamos el Sistema TRACE —Trazabilidad, Reclamación, Argumentación, Cierre y Evidencia— como metodología de trabajo en cada caso. Eso significa que desde el primer contacto identificamos la ruta del fraude, construimos el expediente probatorio, redactamos la reclamación con el nivel técnico que la norma exige y acompañamos al cliente en cada paso hasta obtener una respuesta definitiva.

No importa en qué banco ocurrió, ni cuál fue el monto de las transferencias. Si el fraude es real y los controles del banco fallaron, hay una reclamación que vale la pena presentar. La diferencia entre perderlo todo y recuperar los recursos está, con frecuencia, en la calidad de la argumentación jurídica y en la precisión del proceso de reclamación.

¿Fue víctima de SIM swapping? Contáctenos hoy. En Moratto Abogados Grupo Jurídico S.A.S. analizamos su caso sin costo y le decimos con honestidad si tiene una reclamación viable. No deje pasar el tiempo: los plazos en derecho bancario son determinantes. Calle 76 #54-11, Of. 804, Edificio World Trade Center — Barranquilla, Colombia.