Tu celular marca “Sin servicio” en tu propia casa y reiniciarlo no lo arregla. Si al mismo tiempo llega un correo de tu banco que no esperabas, no es una falla de red: alguien pudo haber sacado un chip nuevo con tu número.
Ese ataque se llama SIM swapping (duplicado de SIM) y su objetivo no es tu teléfono: son los códigos SMS que protegen tu banca, tu correo y tu WhatsApp. Esta guía sigue el orden en que tienes que actuar.
Puntos Clave
- La primera hora decide el daño: recuperar la línea desde otro teléfono corta el acceso del atacante a tus códigos SMS antes de que entre a tus cuentas.
- La verificación en dos pasos frena el robo de WhatsApp aunque te quiten el número: desde agosto de 2026 acepta una contraseña alfanumérica en lugar del PIN de seis dígitos.
- La ley ya está de tu lado: la Suprema Corte resolvió en 2026 que la operadora puede responder si entregó tu chip sin verificar con rigor tu identidad.
Cómo saber si ya te duplicaron la SIM
Las señales en tu celular
El síntoma principal es la pérdida total de señal en un lugar donde siempre tienes cobertura. Si reinicias, activas y desactivas el modo avión y sigue igual, la red ya no reconoce tu chip porque hay otro activo con tu número.
Otras señales:
- Dejas de recibir llamadas y SMS, aunque el teléfono funciona con WiFi.
- Te llega un aviso de tu operadora sobre un cambio de SIM que no pediste.
- WhatsApp te avisa que tu número ya no está registrado en ese teléfono.
- Recibes códigos de verificación que no solicitaste.
Antes de alarmarte, descarta una suspensión por falta de registro con CURP: los plazos de las líneas terminadas en 4 y 5 ya vencieron. Si es tu caso, sigue los pasos para reactivar una línea suspendida por no registrarla.
Las señales en tus cuentas
Mientras tu celular está sin red, el atacante trabaja con tus datos. Condusef identifica tres alertas:
- Un correo del banco que avisa que tu contraseña de banca móvil cambió sin tu autorización.
- Movimientos o cargos que no reconoces.
- Avisos de inicio de sesión desde dispositivos desconocidos en tu correo o redes sociales.
Revísalo todo conectado a WiFi, porque tu línea ya no sirve para eso.
Duplicado de SIM o robo de código: no es lo mismo
No todo robo de WhatsApp implica un duplicado. El método más común es más simple: alguien te escribe que te envió “un código por error” y te pide reenviarlo. Ese código es el que registra tu cuenta en su teléfono.
| Duplicado de SIM | Robo de código de WhatsApp | |
|---|---|---|
| Qué controla el atacante | Tu número: llamadas y SMS | Solo tu cuenta de WhatsApp |
| Tu celular | Sin señal | Funciona normal |
| Riesgo principal | Banca, correo y toda cuenta que se recupera por SMS | Suplantación ante tus contactos |
| Primer paso | Llamar a tu operadora desde otro teléfono | Volver a registrar WhatsApp con tu número |
Qué hacer en la primera hora, en orden
Paso 1: recupera la línea desde otro teléfono
Llama a tu operadora desde un teléfono prestado o un fijo y reporta suplantación, no “falla de señal”. Pide que suspendan el chip activo y anota el folio: lo vas a necesitar con el banco y en la denuncia.
Los números de atención de Telcel, AT&T, Movistar y Bait están en nuestra guía de qué hacer si te roban el celular con la línea registrada a tu CURP.
Después acude a un centro de atención con tu INE y solicita la reposición del chip a tu nombre. Tu número sigue vinculado a tu CURP: la reposición no borra ese registro.
Pasos 2 y 3: bloquea tu banca y protege tu correo
Desde otro dispositivo, llama a tu banco y pide el bloqueo temporal de la banca móvil y de tus tarjetas digitales. El reloj cuenta: si reportas un cargo no reconocido dentro de las primeras 48 horas, el banco debe abonarte el monto de forma provisional en un máximo de dos días hábiles mientras investiga.
Luego cambia la contraseña de tu correo principal antes que cualquier otra, porque es la llave para restablecer todo lo demás. Luego quita tu número como método de recuperación donde puedas y sustitúyelo por una app autenticadora o una llave de acceso.
Mientras el atacante controle la línea, cualquier cuenta que se recupera por SMS está expuesta.
Paso 4: revisa qué líneas están a tu nombre
Quien reunió tus datos para pedir un duplicado (nombre, CURP, fecha de nacimiento) también puede intentar registrar líneas nuevas a tu nombre. Una línea ajena vinculada a tu CURP te deja expuesto a que se use para otros fraudes y ocupa uno de tus 10 lugares disponibles.
Consulta el portal y desvincula lo que no reconozcas con esta guía para saber qué líneas están registradas con tu CURP.
Cómo recuperar tu WhatsApp si ya lo tomaron
Si el atacante no activó la verificación en dos pasos
Con tu línea de vuelta, abre WhatsApp, registra tu número y escribe el código de seis dígitos que llega por SMS. Al completar el registro, la sesión del otro teléfono se cierra.
Tus conversaciones anteriores no quedan expuestas: los chats tienen cifrado de extremo a extremo y se guardan en tu dispositivo, así que quien entra desde otro equipo no ve tu historial. Lo que sí puede hacer es escribir a tus contactos como si fueras tú.
Después entra a Ajustes > Dispositivos vinculados y cierra cualquier sesión de WhatsApp Web o de escritorio que no reconozcas.
Si te pide una clave que tú no creaste
Significa que el atacante activó la verificación en dos pasos para dejarte fuera. Sin esa clave, WhatsApp te obliga a esperar siete días antes de permitirte verificar solo con el código SMS.
Registrar tu número con el código SMS cierra igual la sesión del atacante, aunque no conozcas su clave. Durante esa semana no pierdes la cuenta, pero los mensajes que lleguen en ese lapso pueden perderse.
Si tu problema es otro (la línea está suspendida y WhatsApp sigue abierto en tu teléfono), lo explicamos en qué le pasa a tu WhatsApp cuando suspenden tu línea.
Avisa y reporta la cuenta
Escribe a tus contactos cercanos por otra vía: el siguiente paso de la estafa casi siempre es pedirles dinero a tu nombre.
Reporta la cuenta a WhatsApp en support@whatsapp.com con tu número completo (+52 y lada) y el asunto “Teléfono robado/extraviado: Por favor, desactiva mi cuenta”, como recomienda el IPN.
Verificación en dos pasos: cómo activarla hoy
La ruta en Android y iPhone
- Abre WhatsApp. En Android toca los tres puntos y luego Ajustes; en iPhone, la pestaña Ajustes.
- Entra a Cuenta > Verificación en dos pasos > Activar.
- Crea tu clave y confírmala.
- Agrega un correo de recuperación. Sin él, si olvidas la clave, quedas sujeto a la misma espera de siete días que impone a un atacante.
El cambio de 2026: contraseña en lugar de PIN
El 25 de agosto de 2026, WhatsApp anunció que la verificación en dos pasos pasa del PIN de seis dígitos a una contraseña más larga, con letras, números y caracteres especiales. El despliegue es gradual y el cambio no es automático: si tu menú todavía muestra el PIN numérico, actualiza la app.
El cambio vale la pena. Un PIN de seis dígitos tiene un millón de combinaciones y mucha gente usa su fecha de nacimiento, el mismo dato que el atacante ya tiene para pedir tu duplicado.
Llaves de acceso: la capa que no viaja por SMS
En Ajustes > Cuenta > Llaves de acceso puedes verificar tu cuenta con huella, Face ID o el bloqueo de pantalla. Más de mil millones de personas ya las usan, y desde agosto se pueden registrar varias, una por dispositivo.
A diferencia del SMS, una llave vive en tu equipo y el duplicado de SIM no la transfiere. Explicamos por qué en passkeys vs contraseñas.
El PIN de la SIM no frena un duplicado
Muchas guías recomiendan activar el PIN del chip (Android: Seguridad > Bloqueo de SIM; iPhone: Ajustes > Celular > PIN de la SIM). Sirve si te roban el chip físico, porque sin el PIN no arranca en otro teléfono. Contra el duplicado no hace nada: la operadora emite un chip nuevo.
Lo que sí ayuda es pedir a tu operadora una clave adicional para trámites en tu línea, como recomienda Condusef, y no publicar tu CURP ni tu fecha de nacimiento.
A quién reportarlo y qué te pueden responder
Tu banco y Condusef
Presenta una reclamación formal por cada cargo y pide folio. Tienes hasta 90 días naturales para hacerlo; el banco tiene 45 días para responder en operaciones nacionales y 180 en internacionales. Si en una operación nacional pasan los 45 días sin respuesta, la reclamación se resuelve a tu favor.
Si la respuesta no te convence, escala a Condusef por su Portal de Queja Electrónica o al 55 5340 0999. Anticipa un argumento: el banco puede alegar que la operación se autorizó con tus códigos. Por eso pesan el folio de la operadora y el acta de denuncia.
Ministerio Público
Presenta denuncia ante la fiscalía de tu estado, en línea o en persona, y guarda el acta: respalda tus reclamaciones con el banco y con la operadora.
Para orientación, la Policía Cibernética de la CDMX atiende en el 55 5242 5100, extensión 5086, y el 088 de la Guardia Nacional recibe reportes de posibles delitos en todo el país.
La operadora también puede responder
En 2026, la Suprema Corte resolvió (amparos directos 25/2024 y 26/2024) que una telefónica puede tener responsabilidad civil si entrega un chip sin medidas suficientes para confirmar quién lo pide. En el caso analizado, la empresa solo pidió una identificación y no documentó qué revisó.
La Corte fijó un estándar mínimo: verificar la identidad en persona con identificación vigente, cruzar datos, hacer preguntas de seguridad, documentar el trámite y, cuando sea posible, avisar al titular.
La responsabilidad no es automática: hay que probar la negligencia. Pide por escrito a tu operadora la constancia de cuándo y dónde se hizo la reposición.
El tamaño del problema es real: según cifras de Condusef citadas por el ministro Arístides Guerrero, 13.5 millones de personas son susceptibles a este fraude.
Preguntas Frecuentes
Sí, y es la vía más común: basta con que reenvíes el código de seis dígitos que te llega por SMS. WhatsApp nunca te pide ese código por chat, llamada o mensaje.
No. El número sigue vinculado a tu CURP y lo recuperas con una reposición de chip a tu nombre presentando tu INE.
No. Los chats están cifrados y guardados en tu teléfono, así que solo ve los mensajes nuevos que lleguen mientras controla la cuenta.
Llama a tu operadora desde otro teléfono y pregunta si hubo una reposición de chip reciente en tu línea. Si la hubo y no la pediste, trátalo como duplicado aunque tus cuentas sigan limpias.
