Los duplicados de SIM no autorizados representan una de las brechas de seguridad más críticas en el sector de las telecomunicaciones. Este tipo de incidente permite que un tercero obtenga control total sobre una línea telefónica, acceda a comunicaciones privadas y reciba códigos de verificación de servicios bancarios, redes sociales y plataformas digitales. Cuando un operador emite un duplicado sin aplicar medidas de autenticación robustas, se vulneran varios principios del RGPD, especialmente los relacionados con la seguridad del tratamiento, la integridad de los datos y la verificación de identidad.
Este artículo analiza en profundidad cómo se producen estos incidentes, qué obligaciones legales incumplen, qué riesgos generan y cómo debe actuar el usuario para proteger sus derechos, incluyendo la invocación del artículo 15 y la posibilidad de presentar una denuncia ante la AEPD.
1. Qué es un duplicado de SIM no autorizado
Un duplicado de SIM es la emisión de una nueva tarjeta asociada a una línea telefónica existente. Su finalidad legítima es sustituir una tarjeta perdida, dañada o inutilizada. Sin embargo, cuando se emite sin el consentimiento del titular, se convierte en una brecha de seguridad grave.
Un tercero que obtiene un duplicado puede:
Recibir SMS y códigos OTP de bancos.
Acceder a WhatsApp, Telegram y otras aplicaciones vinculadas al número.
Realizar portabilidades fraudulentas.
Modificar contratos y servicios.
Acceder a información privada del usuario.
Este tipo de incidente suele producirse por métodos de autenticación insuficientes, como validar únicamente el nombre, el DNI o los últimos dígitos de una cuenta bancaria.
2. Cómo se producen los duplicados de SIM no autorizados
2.1 Autenticación débil en atención al cliente
Muchos operadores siguen utilizando verificaciones basadas en datos fácilmente accesibles:
Nombre y apellidos.
DNI/NIE.
Fecha de nacimiento.
Últimos dígitos de una cuenta bancaria.
Línea desde la que se realiza la llamada.
Estos datos pueden obtenerse mediante filtraciones, ingeniería social o documentos públicos. Cuando un operador emite un duplicado basándose únicamente en esta información, incumple el artículo 32 del RGPD, que exige medidas de seguridad adecuadas al riesgo.
2.2 Solicitudes telefónicas sin trazabilidad suficiente
En algunos casos, el duplicado se emite tras una llamada telefónica sin verificar:
Si la línea desde la que se llama es un canal autorizado.
Si la persona que llama es realmente el titular.
Si existe documentación que justifique la operación.
Si se ha aplicado un procedimiento de autenticación reforzada.
La ausencia de trazabilidad convierte la operación en una brecha de seguridad.
2.3 Solicitudes presenciales sin verificación documental
También se han detectado casos en los que un duplicado se emite en tienda sin comprobar:
Documento original del titular.
Coincidencia biométrica.
Contrato asociado a la línea.
Autorización formal en caso de terceros.
3. Qué artículos del RGPD se vulneran
Los duplicados de SIM no autorizados pueden vulnerar varios artículos del RGPD:
Artículo 5 — Principio de integridad y confidencialidad.
Artículo 6 — Licitud del tratamiento.
Artículo 24 — Responsabilidad del responsable del tratamiento.
Artículo 32 — Seguridad del tratamiento.
Artículo 33 — Notificación de brechas de seguridad.
Artículo 15 — Derecho de acceso del usuario.
Además, pueden constituir una infracción grave según la LOPDGDD.
4. Riesgos para el usuario
4.1 Acceso a cuentas bancarias
El duplicado permite recibir:
SMS de confirmación.
Códigos OTP.
Notificaciones de movimientos.
Esto facilita fraudes bancarios y transferencias no autorizadas.
4.2 Acceso a aplicaciones de mensajería
Un tercero puede activar:
WhatsApp.
Telegram.
Signal.
Cualquier servicio vinculado al número.
Esto supone una vulneración directa de la privacidad.
4.3 Suplantación de identidad
El atacante puede hacerse pasar por el titular ante:
Bancos.
Servicios digitales.
Plataformas de comercio electrónico.
Operadores de telecomunicaciones.
4.4 Modificación de contratos y servicios
Con el duplicado, el atacante puede:
Cambiar titularidad.
Solicitar portabilidades.
Activar o desactivar servicios.
Modificar tarifas.
5. Obligaciones del operador según el RGPD
El operador debe garantizar:
Autenticación robusta antes de emitir un duplicado.
Registro completo de la operación.
Grabación de la llamada (si procede).
Identidad del solicitante.
Procedimiento aplicado.
Logs de autenticación.
Documentación justificativa.
Si no puede aportar esta información, la infracción queda acreditada.
6. Cómo actuar ante un duplicado de SIM no autorizado
6.1 Bloquear la línea inmediatamente
El usuario debe contactar con el operador por canales oficiales y solicitar:
Bloqueo de la línea.
Anulación del duplicado.
Emisión de una nueva SIM segura.
6.2 Solicitar trazabilidad completa invocando el artículo 15
Debe solicitar:
Grabación de la llamada donde se autorizó el duplicado.
Identidad del interlocutor.
Procedimiento de verificación aplicado.
Logs de autenticación.
IP utilizada (si fue online).
Documentación justificativa.
6.3 Documentar todo
Conservar:
Emails.
Capturas de pantalla.
Contratos.
Referencias internas del operador.
Comunicaciones oficiales.
6.4 Revisar cuentas bancarias y servicios digitales
Cambiar contraseñas y activar doble factor de autenticación.
7. Cuándo acudir a un especialista en protección de datos
Es recomendable acudir a un profesional cuando:
El operador no entrega la trazabilidad.
La incidencia ha generado perjuicios económicos.
Se han accedido a cuentas bancarias o aplicaciones.
El operador niega la existencia de grabaciones.
Se detecta una brecha de seguridad evidente.
Un especialista puede redactar comunicaciones formales, preparar la denuncia y gestionar el expediente ante la AEPD.
8. Denuncia ante la AEPD
La denuncia se presenta en la sede electrónica de la AEPD. Debe incluir:
Descripción detallada de los hechos.
Documentación probatoria.
Solicitudes realizadas al operador.
Respuestas recibidas (o ausencia de ellas).
La AEPD puede requerir al operador:
Grabaciones.
Procedimientos aplicados.
Logs.
IP.
Documentación interna.
Registro de brechas.
Si el operador no puede justificar la operación, la infracción queda acreditada.
Los duplicados de SIM no autorizados son una de las brechas de seguridad más graves en telecomunicaciones. La falta de autenticación robusta, la ausencia de trazabilidad y la negativa a proporcionar información vulneran varios artículos del RGPD y ponen en riesgo la privacidad del usuario.
Actuar rápidamente, invocar el artículo 15 y documentar todo el proceso es fundamental. En casos complejos, contar con un especialista en protección de datos es la mejor garantía para defender los derechos del usuario y presentar una denuncia ante la AEPD.