Cambiamos de contraseña. A veces cambiamos de dirección de correo electrónico. Pero casi nadie cambia de número de teléfono. El tuyo te acompaña desde hace diez, quince, a veces veinte años: ha servido para crear cuentas, recibir códigos bancarios, rellenar formularios de entrega, validar tarjetas de fidelización o participar en un concurso olvidado hace mucho tiempo.
Resultado: ese número de nueve cifras se ha convertido en un identificador permanente, tan revelador como un número de expediente. Y, a diferencia de una contraseña, no se puede revocar. Cuando se filtra —y estadísticamente ya se ha filtrado— pasa a engrosar bases de datos que se revenden, se cruzan y se reactivan durante años.
La buena noticia es que una filtración no es una fatalidad. Exige una reacción metódica, no pánico. Aquí tienes cómo saber en qué punto estás y qué hacer en concreto.
Por qué un número de teléfono vale más que una dirección de correo
En los mercados paralelos de datos, una dirección de correo electrónico por sí sola apenas vale nada. Un número de móvil verificado, asociado a un nombre y a un código postal, vale bastante más. Tres razones explican esa diferencia.
Es único, estable y está vinculado a una identidad real
La asignación de los números móviles está regulada por las autoridades de telecomunicaciones, y dar de alta una línea exige identificar al titular. Por tanto, desde el punto de vista de un estafador, un número activo es una prueba implícita de que hay un ser humano al otro lado. A diferencia de un buzón de correo desechable, no se crea sobre la marcha por millares.
Es el eje de la autenticación
El SMS sigue siendo, pese a sus debilidades conocidas, el segundo factor de autenticación más extendido del mundo. La directiva europea PSD2 ha generalizado la autenticación reforzada para los pagos, y la mayoría de los bancos siguen apoyándose, total o parcialmente, en el envío de un código por mensaje. Conocer tu número es conocer la puerta de entrada; solo falta encontrar la llave, mediante ingeniería social o SIM swapping.
Permite cruzar datos
Un número sirve de clave de unión entre ficheros. Una base procedente de una tienda online, otra de una plataforma de reservas, una tercera de un foro: cruzadas por el número, reconstruyen un perfil detallado —nombre, dirección, historial de compras, edad aproximada—. Es precisamente ese cruce lo que hace que el spear smishing resulte tan convincente: el SMS fraudulento cita tu nombre real, tu ciudad real y, a veces, tu pedido real.
Un mensaje de estafa genérico se detecta en dos segundos. Un mensaje que conoce tu nombre, tu operador y tu última compra exige un nivel de vigilancia mucho más alto.
Cómo saber si tu número se ha filtrado
No existe un registro oficial de números comprometidos. Pero varias señales y herramientas permiten hacerse una idea seria.
Los servicios de verificación de filtraciones
El servicio Have I Been Pwned, gestionado por el investigador en seguridad Troy Hunt, admite desde hace varios años la búsqueda por número de teléfono en formato internacional (+34...) para determinadas brechas, además de la búsqueda por correo electrónico. El Hasso-Plattner-Institut también ofrece un servicio de verificación por correo electrónico con envío del resultado. Estas herramientas no son exhaustivas: solo cubren las filtraciones documentadas públicamente.
Algunas precauciones de uso:
- utiliza únicamente servicios reputados y documentados; las webs oscuras que prometen «escanear la dark web» suelen ser ellas mismas recolectoras de datos;
- introduce el número en formato internacional, sin espacios;
- repite la comprobación una o dos veces al año, ya que las bases se actualizan a posteriori.
Las señales de comportamiento
A menudo, la filtración se manifiesta antes de quedar documentada. Tres indicios clásicos:
| Señal observada | Interpretación probable |
|---|---|
| Aumento repentino de llamadas comerciales | Tu número acaba de entrar en un fichero de prospección revendido |
| SMS fraudulentos que citan tu nombre o un pedido real | Filtración de una base comercial, con datos asociados |
| Códigos de verificación (OTP) no solicitados | Alguien intenta acceder a una cuenta vinculada a tu número |
| Llamadas «ping» de un solo tono | Prueba de actividad del número antes de revenderlo |
El último punto es importante: recibir una llamada que cuelga de inmediato, o un SMS vacío, a veces sirve simplemente para validar que la línea está activa. Nunca devuelvas la llamada a un número desconocido con tarificación exótica.
Comprobar lo que expones tú mismo
Antes de culpar a una filtración, conviene medir la exposición voluntaria. Escribe tu número entre comillas en un buscador. Comprueba:
- tus anuncios en las plataformas de compraventa, a menudo abandonados en línea con el número visible en el texto;
- los directorios inversos, que recogen las líneas no listadas únicamente si el abonado no ha solicitado figurar como no público;
- tus perfiles profesionales y asociativos, PDF de actas, listas de contactos publicadas por un club o un colegio.
Muchas filtraciones no son ataques informáticos: son publicaciones olvidadas.
Qué ocurre en la práctica tras una filtración
Ola 1: la publicidad telefónica
Es la consecuencia más inmediata y más benigna. Las llamadas comerciales están reguladas: existen franjas horarias y días en los que están prohibidas, y hace falta base legal para contactarte. La inscripción gratuita en las listas oficiales de exclusión publicitaria (como el servicio de la Lista Robinson) sigue siendo el primer paso. No bloquea ni las estafas ni a las empresas con las que tienes un contrato en vigor, pero sanea una parte del flujo.
Para la prospección por SMS, el marco es distinto: el RGPD y la normativa de comunicaciones electrónicas exigen un consentimiento previo para los mensajes comerciales dirigidos a particulares, así como un medio sencillo de oposición: el famoso «STOP» seguido de un código.
Ola 2: el smishing dirigido
Este es el verdadero peligro. El smishing (phishing por SMS) explota los datos filtrados para construir un escenario creíble: paquete en espera, multa por pagar, cuenta bancaria suspendida, actualización de la tarjeta sanitaria. Servicios públicos de ciberseguridad como Cybermalveillance.gouv.fr publican periódicamente alertas sobre las campañas en curso y ofrecen fichas de actuación gratuitas, bastante bien hechas.
El único reflejo que hay que retener: nunca se hace clic desde el mensaje. Se vuelve a abrir la aplicación oficial o se escribe la dirección a mano. Quien quiera afianzar este reflejo y comprender las mecánicas de la ingeniería social encontrará en un libro sobre ciberseguridad para particulares una forma de estructurar su vigilancia mucho mejor que acumulando artículos.
Ola 3: el intento de toma de control
La fase final consiste en apoderarse de la propia línea, mediante SIM swapping o portabilidad fraudulenta, para interceptar los códigos de autenticación. Este ataque presupone que el atacante ya dispone de suficiente información personal, de ahí la importancia de limitar el cruce de datos desde el principio.
Reducir tu exposición sin cambiar de número
Cambiar de número es una opción pesada, reservada a situaciones de acoso o de fraude reiterado. En la gran mayoría de los casos, basta con compartimentar.
Adoptar una estrategia de dos números
El principio es simple: un número privado, reservado a los allegados, al banco, al empleador y a la Administración; y un número público, utilizado para las entregas, los registros, los anuncios de compraventa, las tarjetas de fidelización y los servicios en línea.
Ese segundo número puede adoptar varias formas:
- una tarjeta SIM prepago dedicada, la solución más sencilla y económica;
- una eSIM secundaria en un teléfono compatible con doble SIM;
- para usos puntuales, un servicio de envío de SMS en línea sin registro, que evita exponer tu línea personal por un único mensaje.
Si tu dispositivo no admite la doble SIM, un smartphone doble SIM de gama de entrada conservado como segundo aparato cumple muy bien esta función y te evita mezclar usos.
Limpiar lo que ya está en línea
El RGPD te otorga un derecho de supresión (artículo 17) y un derecho de oposición al tratamiento con fines de prospección (artículo 21). En la práctica:
- Identifica los sitios que muestran o poseen tu número.
- Envía una solicitud escrita de supresión, precisando tu identidad y el tratamiento en cuestión. Las autoridades de protección de datos ponen a disposición modelos de escritos gratuitos en sus webs.
- El responsable del tratamiento dispone en principio de un mes para responder.
- Si no hay respuesta o el rechazo no está motivado, puedes reclamar ante la autoridad de protección de datos mediante su formulario de denuncia en línea.
En cuanto a los directorios inversos, pide a tu operador que tu línea figure como no pública: el trámite es gratuito y surte efecto en la siguiente actualización.
Blindar la línea del lado del operador
Tres medidas poco conocidas que puedes solicitar directamente al servicio de atención al cliente:
- la activación de un código PIN en la tarjeta SIM (a menudo desactivado por comodidad);
- la creación de una contraseña o una pregunta secreta en la cuenta de cliente, exigida antes de cualquier operación sensible;
- la vigilancia sobre el código de portabilidad, que permite trasladar la línea: no se lo comuniques nunca a un tercero.
Abandonar progresivamente el SMS como factor de autenticación
Allí donde sea posible, sustituye la validación por SMS por una aplicación de autenticación (códigos TOTP) o, mejor aún, por una llave de seguridad física. Las agencias nacionales de ciberseguridad recomiendan desde hace años priorizar estos métodos para las cuentas sensibles. Una llave de seguridad FIDO2 cabe en un llavero, cuesta lo que una cena y hace que el phishing de tus credenciales resulte prácticamente inoperante en los servicios que la admiten.
Para los códigos de recuperación y las contraseñas asociadas, un gestor de contraseñas sigue siendo la herramienta básica: evita la reutilización, principal causa de compromisos en cascada tras una filtración.
Qué hacer en las 48 horas siguientes a una filtración confirmada
Si una empresa te notifica una violación de datos que incluye tu número —obligación prevista por el RGPD cuando el riesgo es elevado—, esta es una hoja de ruta razonable.
Día 1 — Inventario. Enumera las cuentas que usan ese número como medio de recuperación o de doble autenticación: banco, mensajerías, redes sociales, buzón de correo principal, plataformas de pago.
Día 1 — Refuerzo. Cambia las contraseñas de las cuentas más críticas, empezando por el correo electrónico, que gobierna todas las demás. Activa una autenticación que no sea por SMS allí donde exista la opción.
Día 2 — Vigilancia. Configura una alerta sobre los movimientos bancarios. Anota la fecha de la filtración: si un SMS sospechoso hace referencia, unos días después, a un servicio afectado, el vínculo queda establecido.
Día 2 — Denuncia. Reporta los SMS fraudulentos a las plataformas nacionales de lucha contra el spam telefónico y por SMS (en Francia, el 33700). La notificación es gratuita: se reenvía el mensaje y después se envía el número del remitente como respuesta. En caso de perjuicio económico, es posible presentar una denuncia y reportar el caso en las plataformas oficiales de ciberdelincuencia del Ministerio del Interior, como THESEE.
Un cuaderno de notas seguro, de papel, guardado fuera del domicilio para los códigos de recuperación, sigue siendo una precaución sorprendentemente eficaz: no se puede hackear a distancia.
Las falsas buenas ideas
Algunos reflejos muy extendidos hacen más mal que bien.
- Responder «STOP» a un SMS fraudulento. Con un remitente legítimo, es el gesto correcto. Con un estafador, es una confirmación de que la línea está activa. Distingue: un mensaje comercial auténtico identifica claramente al anunciante.
- Bloquear los números uno a uno. Las campañas de smishing utilizan números desechables, renovados continuamente. El bloqueo individual es un trabajo de Sísifo; el filtrado de remitentes desconocidos, disponible de forma nativa en iOS y Android, resulta más eficaz.
- Instalar una aplicación «antispam» invasiva. Muchas aplicaciones de filtrado de llamadas exigen acceso completo a la agenda y suben tus contactos a sus servidores. Proteges tu número exponiendo el de tus allegados.
- Creer que un número «oculto» protege. La ocultación del número que llama solo afecta a la visualización. No impide ni el cruce de datos ni su conservación por parte de la red.
Un principio simple: tratar tu número como un dato sensible
El número de teléfono se percibió durante mucho tiempo como un dato de contacto banal, que se daba sin pensar. En la práctica, se ha convertido en un identificador de nivel bancario: abre cuentas, valida pagos, prueba una identidad.
La conclusión operativa se resume en tres preguntas que conviene hacerse antes de cada dato que introduces:
- ¿Necesita realmente este servicio contactarme por teléfono?
- ¿Puedo usar mi número secundario?
- Si este fichero se filtra mañana, ¿qué revela de mí una vez cruzado con el resto?
Tres preguntas, unos segundos. Es la mejor relación esfuerzo/protección de toda la higiene digital, y con diferencia.
