El eco oculto de nuestras voces: la delgada línea entre conectividad y exposición

Durante años, los teléfonos celulares fueron vistos como extensiones confiables de la identidad. En América Latina, donde la telefonía móvil ha sido muchas veces el primer acceso real a servicios bancarios, la confianza en el número de teléfono no solo era tácita: era total. Esa ilusión comenzó a quebrarse en voz baja, primero con llamadas perdidas que parecían errores inocentes, luego con accesos bancarios que desaparecían en la madrugada.

La ingeniería social como punto de entrada

Un nombre completo, una fecha de nacimiento, el RUT, una dirección física: fragmentos de información filtrados a través de bases de datos expuestas o llamados telefónicos. Con la cantidad justa de información personal, un atacante puede hacerse pasar por cualquier usuario y solicitar el duplicado de su SIM, activando un nuevo chip y desactivando automáticamente el original. El usuario legítimo no se entera hasta horas después, cuando su número deja de tener señal y los códigos de verificación nunca llegan.

La fantasía de los dos chips: ¿pueden coexistir en silencio?

En las redes 4G y 5G actuales no pueden existir dos SIM con el mismo IMSI conectadas al mismo tiempo. Cuando una nueva SIM es activada, la anterior se desconecta automáticamente. Pero en ese segundo exacto, todo el tráfico de voz, SMS y datos empieza a fluir hacia el nuevo dispositivo. La nueva SIM tiene tu número, recibe tus mensajes, es reconocida por tu banco. Es tú, pero sin ti.

El operador como cómplice involuntario

Detrás de cada ataque exitoso no hay un hacker encapuchado, sino un empleado del call center que no sigue el protocolo o un sistema mal configurado. En algunos países se han detectado casos donde empleados internos colaboraron con mafias digitales para emitir duplicados ilegítimos a cambio de dinero.

La voz como vector de exposición

Utilizando IMSI Catchers —estaciones base falsas que se hacen pasar por antenas legítimas—, un atacante puede obligar a los teléfonos cercanos a conectarse a su red, espiando llamadas o capturando mensajes sin necesidad de duplicar nada. América Latina, con zonas aún bajo cobertura 2G, es terreno fértil para este tipo de operaciones.

eSIM: la promesa de seguridad que aún no se cumple

En países donde el operador permite cargar un perfil eSIM ingresando datos personales o escaneando un QR enviado por correo, los atacantes han aprendido a solicitar el traspaso de línea a un perfil controlado por ellos. La ilusión de seguridad desaparece cuando el eslabón más débil —el operador— sigue siendo el mismo.

El delito como industria

En foros cerrados y canales cifrados, ya no se ofrece solo acceso a una línea: se vende la identidad entera de una persona. Los atacantes muchas veces no mantienen el control por más de 48 horas, lo justo para recibir códigos bancarios y robar tokens de aplicaciones, antes de soltar la línea y desaparecer.

La trampa del 2FA por SMS

El SMS viaja en claro, no está cifrado punto a punto y depende de la infraestructura del operador. En América Latina, donde muchas aplicaciones bancarias dependen del 2FA por SMS como método principal, esta debilidad estructural representa una bomba de tiempo.

¿Qué se puede hacer?

Los operadores deben tratar los números de teléfono como equivalentes a una identidad digital, exigiendo autenticación multifactor para cualquier cambio de SIM. A nivel usuario: usar 2FA basado en apps y no en SMS, y entender que nuestro número no es un canal, es un territorio que debe ser defendido como tal.