La Suprema Corte de Justicia de la Nación (SCJN) emitió una resolución en la que establece que las compañías de telefonía móvil son responsables por el reemplazo negligente de tarjetas SIM sin una verificación estricta de identidad. Este fallo abre la puerta para que los usuarios afectados por el fraude conocido como SIM swapping (duplicación de SIM) puedan exigir una reparación integral y una indemnización por daño moral.
La decisión del máximo tribunal surge del caso de una usuaria radicada en la Ciudad de México que perdió el control de su línea telefónica cuando su compañía operadora entregó, sin su consentimiento, una tarjeta SIM con su número a un tercero en el estado de Chihuahua.
Esta vulneración permitió que personas ajenas tomaran el control de su línea, la cual funcionaba como método de autenticación para diversas aplicaciones. Los atacantes intentaron realizar operaciones bancarias, accedieron a las cuentas digitales de la víctima y extrajeron fotografías íntimas que posteriormente fueron difundidas en internet.
¿Qué dijo la Suprema Corte sobre el caso?
El Pleno de la SCJN concluyó que la empresa telefónica incurrió en “responsabilidad civil extracontractual subjetiva”. Las concesionarias de telecomunicaciones no solo prestan un servicio técnico, sino que tienen un deber respecto a la protección de los datos personales, la confidencialidad de las comunicaciones y la seguridad del patrimonio de sus clientes.
En el caso analizado, la compañía admitió haber realizado el reemplazo, pero no pudo acreditar qué identificación oficial se presentó, qué datos se cotejaron, ni mostró evidencia de firmas o fotografías del trámite. La Corte determinó que un cambio de SIM bajo estas condiciones negligentes constituye un hecho ilícito, por lo que ahora la compañía debe pagar una indemnización a la víctima.
¿Qué es y cómo funciona el fraude conocido como SIM swapping?
El SIM swapping es un tipo de fraude cibernético mediante el cual un tercero logra duplicar o transferir el número telefónico de una víctima a una nueva tarjeta SIM bajo su control.
Al hacerse pasar por el titular legítimo de la línea, el delincuente solicita un reemplazo de la tarjeta SIM. Una vez que la operadora aprueba el trámite y activa el nuevo chip, el ataque se desarrolla en las siguientes fases:
- Pérdida de servicio para la víctima: El usuario legítimo experimenta una pérdida repentina e inexplicable de señal celular en su dispositivo. Este suele ser el primer y más claro indicio de que se está siendo víctima del ataque.
- Intercepción de comunicaciones: A partir de ese momento, el atacante comienza a recibir en su dispositivo todas las llamadas y mensajes de texto (SMS) que iban dirigidos al titular original de la línea.
- Vulneración de la autenticación: Dado que hoy en día el número telefónico funciona como la principal llave de acceso para la autenticación de dos factores (2FA), los delincuentes logran interceptar los códigos de verificación de seguridad enviados por SMS.
- Secuestro de la vida digital: Con estos códigos en su poder, los estafadores tienen la capacidad de restablecer contraseñas y tomar el control total de cuentas bancarias, correos electrónicos, redes sociales y servicios de almacenamiento.
¿Cuáles son los cambios que ordenó la SCJN?
Para evitar futuros casos de suplantación de identidad, la SCJN estableció un estándar mínimo de seguridad que todas las compañías telefónicas deberán acatar al tramitar el reemplazo de una tarjeta SIM:
- Verificación presencial: Exigir y comprobar la identidad del solicitante mediante un documento oficial vigente.
- Documentación del proceso: Mantener registros claros, firmas o evidencia gráfica del trámite.
- Cotejo de datos: Contrastar la información con los registros originales del contrato.
- Filtros de seguridad: Formular preguntas de seguridad relacionadas con el uso habitual de la línea.
- Sistemas de alerta: Incorporar avisos a la línea original o al correo electrónico asociado para que el verdadero titular pueda reaccionar y bloquear el proceso no autorizado.
