¿Se puede hackear una eSIM?

Esa distinción importa, porque decide dónde conviene invertir el esfuerzo. Nada de lo que hagas sobre el chip servirá de algo. Lo que sí ayuda es blindar la cuenta que controla tu número, y sacar por completo del SMS los códigos que protegen tu dinero.

• El chip es fuerte. Las credenciales del perfil residen en un elemento seguro resistente a manipulaciones y nunca se entregan en forma legible.
• El papeleo es débil. Los números de teléfono se trasladan entre perfiles con solo un nombre, una dirección y una historia plausible.
• El premio es el número, no los datos. Un atacante quiere los códigos SMS que recibe tu número — justo lo que una eSIM solo de datos nunca tiene.

El resto de esta guía recorre los cuatro puntos donde un ataque puede materializarse de verdad, y luego te da la lista de comprobación que cierra el único que importa.

«Hackear una eSIM» no es una sola cosa. Son cuatro objetivos muy distintos, con niveles de dificultad radicalmente diferentes, y mezclarlos es justo lo que hace que la gente acabe preocupándose por el que no toca.

Lee esa lista en orden de esfuerzo: un atacante empieza por abajo y solo sube si no le queda otra. Nadie ataca el chip cuando una simple llamada a la atención al cliente funciona igual de bien.

Un SIM swap es el robo de un número de teléfono. El atacante nunca toca tu teléfono ni rompe ningún cifrado. Convence a tu operador de que él es el titular de la línea, y de que hay que trasladar el servicio a una SIM nueva o a un nuevo perfil de eSIM. A partir de ese momento, cada llamada y cada SMS dirigidos a ti suenan, en su lugar, en el dispositivo del atacante.

1. 01
   Reúnen los datos

   Tu nombre, número, fecha de nacimiento, dirección y los últimos cuatro dígitos de una tarjeta. Filtraciones de datos, redes sociales y una llamada amistosa contigo aportan casi todo.

2. 02
   Contactan con el operador

   Línea de soporte, chat o mostrador de tienda. La historia es corriente y aburrida: un teléfono perdido, un móvil roto, una mejora de plan. Corriente y aburrida es lo que se aprueba.

3. 03
   El número se traslada

   Tu línea se queda muerta. La suya cobra vida con tu número, normalmente en minutos.

4. 04
   Restablecen lo que pueden

   Correo, banco, exchange, almacenamiento en la nube. Cada «olvidé mi contraseña» envía un código por SMS, y ese SMS llega ahora a su teléfono.

5. 05
   Vacían las cuentas y desaparecen

   Las cuentas cripto primero, porque esas transferencias son irreversibles. Toda la secuencia suele completarse en menos de una hora, a menudo de madrugada.

Una guía honesta tiene que decirlo sin rodeos: la eSIM no creó el SIM swapping, pero sí eliminó la fricción que antes lo frenaba. Ya no hay una tarjeta de plástico que enviar por correo ni una tienda que visitar — la línea de repuesto es un código QR, emitido al instante.

• La entrega es inmediata. El ataque antiguo necesitaba una tarjeta por correo o presentarse en persona con una identificación falsa. El nuevo necesita una dirección de correo y una captura de pantalla.
• Escala. Todo lo que se reduce a un formulario web puede lanzarse contra muchas víctimas a la vez, desde cualquier lugar.
• La víctima se da cuenta más tarde. Un swap a las 3 de la madrugada parece mala cobertura hasta la mañana siguiente, y la ventana útil para el atacante se mide en minutos.
• El portal de autoservicio es ahora un objetivo. Donde un operador te permite aprovisionar una eSIM desde tu cuenta online, con robar ese inicio de sesión ya basta — no hace falta ninguna conversación con la atención al cliente.

Nada de esto es un argumento en contra de la eSIM. Esa misma permanencia que hace difícil mover un perfil es la razón por la que una eSIM aguanta mejor que el plástico un teléfono robado — no hay ninguna bandeja que abrir con un clip ni ninguna tarjeta que extraer y reutilizar.

No, de ninguna forma con la que debas contar. Esta es la pregunta que la gente realmente tiene en mente cuando pregunta si se puede hackear una eSIM, y es el único punto donde la tecnología aguanta de verdad.

• Las claves nunca salen del chip. Un perfil vive en la eUICC, un elemento seguro certificado y resistente a manipulaciones. Sus secretos se usan dentro de ella y nunca se exportan en forma legible — ni al sistema operativo, ni a una app, ni a ti.
• Ambos extremos demuestran quiénes son. La descarga de un perfil se realiza por un canal autenticado mutuamente: el servidor se identifica ante el chip y el chip se identifica ante el servidor, usando certificados que ninguno de los dos puede falsificar.
• Un perfil está atado a un solo chip. Está cifrado para una eUICC específica. Copiar el código QR, la cadena de activación o el archivo solo le da al atacante un paquete de datos que su hardware no puede abrir.
• El código es de un solo uso. Una vez descargado un perfil, su código de activación queda consumido. Una captura de pantalla filtrada después no instala nada.

Los viejos ataques de clonación que la gente recuerda a medias pertenecen a otra era de la tecnología, contra algoritmos retirados mucho antes de que existiera la eSIM. Son historia, no un riesgo actual.

Cada paso de un SIM swap apunta a un único activo: el número de teléfono, porque es el número el que recibe los códigos. Quita el número de la ecuación y el ataque se queda sin objeto. Una eSIM de viaje solo de datos no tiene número, no puede recibir SMS y no está atada a ningún nombre.

Es el mismo argumento estructural que recorre nuestra guía sobre el modelo de amenazas: un servicio que nunca recopila algo no puede filtrarlo, y una línea que nunca tuvo número no puede sufrir que se lo roben. No es una promesa que alguien tenga que cumplir — es una ausencia.

Esta es la parte que de verdad te protege, y lleva unos veinte minutos, una sola vez. Recorre la lista en orden — los dos primeros puntos bloquean el ataque por completo, el resto limita el daño si algo más sale mal.

1. 01
   Activa un PIN de portabilidad o un bloqueo de número

   Casi todos los grandes operadores ofrecen ya uno, con un nombre como protección de SIM, bloqueo de número o congelación de portabilidad. Bloquea cualquier traslado de tu línea hasta que tú mismo lo levantes. Es el interruptor de mayor valor de toda esta página, y suele venir desactivado por defecto.

2. 02
   Saca tus códigos del SMS

   Cambia toda cuenta que importe — el correo primero, luego el banco y el exchange — a una app de autenticación o a una llave de seguridad. Los códigos por SMS son la razón por la que se roban los números; quita la recompensa y el ataque deja de ser rentable.

3. 03
   Quita tu número como método de recuperación

   Muchas cuentas siguen enviando por SMS un código de restablecimiento a tu número aunque tengas activado el 2FA por app, lo que reabre en silencio el agujero que acabas de cerrar. Elimina el número donde exista esa opción.

4. 04
   Pon una contraseña real en la cuenta del operador

   Ni el nombre de tu perro, ni tu año de nacimiento, ni la respuesta a una pregunta de seguridad que cualquiera puede leer en tu perfil. Guárdala en un gestor de contraseñas junto con todas las demás.

5. 05
   Mantén tu fecha de nacimiento y tu dirección fuera de los perfiles públicos

   Son exactamente los campos que usa la atención al cliente para identificarte. Cada uno que publicas es una credencial gratis para quien llame haciéndose pasar por ti.

• Empieza por el correo. Quien controle tu bandeja de entrada puede restablecer casi todo lo demás, así que merece el método más fuerte que estés dispuesto a usar.
• Prefiere una llave de seguridad o una passkey donde la cuenta lo permita. Ninguna de las dos es vulnerable al phishing, ni se puede redirigir o leer en una pantalla de bloqueo.
• Guarda tus códigos de respaldo sin conexión antes de necesitarlos — en papel, en algún sitio que no sea el teléfono.
• Usa una eSIM solo de datos en el extranjero para que tu línea de casa pase el viaje inactiva. Una línea que nadie usa es una línea que nadie vigila por ti, y un registro de roaming menos en un país que solo estás visitando.

Un swap se puede superar si lo detectas a tiempo, y la señal temprana es inconfundible una vez que sabes qué buscar. Tu teléfono no te avisa de que te han robado el número. Simplemente deja de tener cobertura.

• «Sin servicio» o SOS repentino en tu línea de casa, en interior, en un sitio donde siempre ha funcionado, sin ningún corte en ningún otro lado.
• Las llamadas y los SMS dejan de llegar mientras las apps que usan Wi-Fi siguen funcionando con normalidad — la señal de que se fue la línea y no internet.
• Un mensaje sobre un cambio de SIM o un traslado de número que tú no pediste. Algunos operadores lo envían; vale la pena leerlo en vez de descartarlo.
• Correos de restablecimiento de contraseña que no pediste, sobre todo varios seguidos en pocos minutos.
• Que te cierren la sesión en cuentas en un dispositivo que funcionaba bien hace una hora.

1. 01
   Llama a tu operador desde otro teléfono

   Di literalmente «creo que me han hecho un SIM swap» y pide que congelen la línea. Aquí la rapidez gana a la educación — cada minuto es otro código de restablecimiento entregado a otra persona.

2. 02
   Blinda primero tu dinero

   El banco, luego cualquier exchange o monedero con inicio de sesión custodiado. Congela tarjetas y detén transferencias antes de ponerte a ordenar el correo.

3. 03
   Cambia las contraseñas desde un dispositivo limpio

   El correo antes que nada, luego todo lo que usara códigos por SMS. Usa un portátil o un segundo teléfono, no el móvil que acaba de perder la línea.

4. 04
   Reconstruye bien el 2FA

   Una vez recuperado el número, cambia esas cuentas a una app de autenticación o a una llave, para que el mismo ataque no se pueda repetir el mes que viene.

Las estafas que sí existen específicas de la eSIM no son ataques contra el chip. Son los fraudes corrientes de internet, adaptados: una tienda que cobra y no entrega nada, un código QR que instala un perfil de alguien que tú no elegiste, una cuenta de «soporte» que aparece en tus respuestas ofreciendo ayuda.

• Escanea solo los códigos que tú pediste. Un QR llegado por mensaje, una respuesta de foro o una pegatina en un hostel es una invitación a instalar un perfil controlado por un desconocido. No puede leer tus otros perfiles, pero sí puede transportar tu tráfico.
• Trata un código sin usar como si fuera efectivo. Antes de instalarlo es un bono al portador — cualquiera que lo fotografíe puede instalar el plan en tu lugar. Instálalo cuanto antes y deja de importar.
• Compra en la tienda real. La reventa se ha convertido en una industria casera: el mismo paquete, con sobreprecio, vendido desde una página que imita a la original y sin ninguna forma de conseguir soporte después.
• Nadie legítimo necesita tu token. Un «soporte» que te pide el código que es tu cuenta no es soporte. El nuestro es la cadena XXXX-XXXX-XXXX-XXXX que guardaste al darte de alta, y no debería escribirse en ningún sitio que no sea el cuadro de inicio de sesión.
• Comprueba el dominio antes de pagar, sobre todo en un teléfono donde la barra de direcciones queda medio oculta. Las páginas de pago son, por algo, las páginas más clonadas de internet.

Aquí se aplica la misma honestidad que aplicamos a la privacidad. Eliminar el número de teléfono elimina por completo una categoría de ataque y deja las demás exactamente donde estaban.

• Un dispositivo comprometido sigue comprometido. Un malware con vista de tu pantalla lee los códigos del autenticador con la misma facilidad que los SMS. Ninguna tecnología de SIM ayuda con eso.
• El phishing sigue funcionando. El secuestro de cuenta más común sigue siendo que alguien escriba una contraseña real en una página falsa convincente. Las passkeys y las llaves de seguridad lo derrotan; una eSIM de datos no.
• La red sigue viendo la forma de tu tráfico. Una compra anónima no es lo mismo que un transporte cifrado — el argumento está desarrollado por completo en qué oculta una eSIM anónima — y qué no.
• Tu hardware sigue siendo identificable. Los teléfonos se anuncian ante las antenas sin importar qué perfil tengan instalado, como explica la guía de rastreo.
• Las redes no fiables siguen sin ser fiables. Una línea blindada no hace nada por el Wi-Fi del hotel al que te conectes después — ese riesgo tiene su propia guía.

Dicho de forma simple: una eSIM solo de datos elimina el activo que persiguen los atacantes de SIM swapping, y un bloqueo de portabilidad protege el número que sigues conservando. Juntos cierran la brecha que le cuesta a la gente dinero de verdad. Si hoy quieres la parte de conectividad, los paquetes por país están en la página de destinos y la compra tarda unos cinco minutos, sin nombre, sin correo y sin tarjeta.