Suplantación de identidad en la red, nuevas tipologías.
En un entorno cada vez más digital, la protección de la identidad online se ha convertido en una prioridad tanto para usuarios particulares como para empresas, en España, los casos de suplantación de identidad digital y estafas asociadas a la telefonía móvil y aplicaciones de mensajería no dejan de crecer, en este artículo explicamos en qué consisten estas amenazas, cómo reconocerlas y qué pasos seguir para protegerte y actuar a tiempo.
¿Qué es la suplantación de identidad digital?
La suplantación de identidad digital ocurre cuando un tercero se hace pasar por una persona o empresa en Internet con el fin de obtener información, dinero o acceso a cuentas privadas, puede afectar tanto a usuarios como a compañías, y suele ser el paso previo a fraudes financieros y ataques reputacionales.
Entre los métodos más utilizados destacan dos:
- El SIM Swapping, o duplicado fraudulento de la tarjeta SIM.
- Los fraudes a través de WhatsApp, mediante el secuestro o uso indebido de cuentas
¿Qué es el SIM Swapping y cómo funciona?
El SIM Swapping es una técnica mediante la cual un delincuente duplica tu tarjeta SIM sin tu autorización, tras obtener el control de tu número móvil, puede:
- Recibir tus SMS y llamadas.
- Recibir tus SMS y llamadas.
- Acceder a códigos de verificación (OTP).
- Resetear contraseñas de servicios online.
- Entrar en tu banca digital y otras cuentas sensibles.
La víctima normalmente lo detecta cuando su móvil pierde cobertura sin motivo, o cuando recibe notificaciones de actividad sospechosa en sus cuentas.
Fraudes por WhatsApp: una estafa en crecimiento
Los ataques por WhatsApp suelen comenzar con ingeniería social, los estafadores contactan con la víctima o con sus contactos haciéndose pasar por ella, su objetivo:
- Obtener el código de verificación para secuestrar la cuenta, concretamente engañan a la víctima para que revele el código OTP (p. ej. con mensajes o llamadas de phishing que se hacen pasar por soporte o por contactos de confianza) o le inducen a solicitar un nuevo código.
- Solicitar dinero a contactos cercanos, se hacen pasar por la persona víctima (usando su cuenta secuestrada) y envían mensajes urgentes a familiares o amigos pidiendo dinero por una “emergencia”, a menudo piden transferencias rápidas o Bizum.
- Obtener datos personales o bancarios, se hacen pasar por bancos, servicios o contactos de confianza (vía correo, SMS o llamadas) y usan páginas o formularios falsos para que la víctima introduzca claves, números de tarjeta o datos personales.
Una vez dentro, el atacante escribe en nombre de la persona, aumentando la probabilidad de éxito gracias a la confianza preexistente.
¿Estas amenazas afectan a las empresas?
Sí, estas amenazas impactan a las empresas porque los atacantes explotan cuentas personales de empleados (WhatsApp, correo, móvil) para pedir pagos, solicitar accesos o introducirse en redes corporativas mediante ingeniería social o credenciales reutilizadas.
El resultado puede ser pérdida económica directa, fugas de datos, daño reputacional y sanciones regulatorias, además de interrupciones operativas si el ataque consigue entrar en el sistema de la empresa.
Cuando un delincuente logra acceder a la cuenta de alguien de confianza, puede engañar fácilmente a compañeros, jefes o proveedores para conseguir dinero o información.
Para una mitigación crítica, aplicar Autenticación Multifactor (MFA) fuerte, formación continua en phishing, protocolos verificables para pagos, protección contra SIM swap y un plan de respuesta a incidentes claro.
La identidad digital de una empresa es mucho más que su presencia en Internet, es la suma de su reputación, confianza y credibilidad ante clientes, empleados y socios.
Protegerla significa resguardar los canales oficiales, las cuentas corporativas, las marcas y la información que representa a la organización, cuando un ciberdelincuente suplanta esa identidad, no solo puede engañar a terceros o robar datos, sino también destruir en minutos la confianza que llevó años construir:
¿Puedo tener consecuencias legales?
Cuando los estafadores utilizan una cuenta de WhatsApp ajena para engañar a otras personas, la persona suplantada puede verse inicialmente señalada como presunta autora de la estafa, al aparecer su número o perfil como origen del fraude, con lo que pueden acosar, injuriar, calumniar u ofender gravemente el honor de otra persona o realizar estafas en tu nombre.
Sin embargo, no existe responsabilidad penal si se demuestra que también ha sido víctima, siempre que se actúe de forma inmediata, la rapidez es clave, cada minuto cuenta para frenar la estafa, proteger la identidad y conservar rastros digitales que se pierden con facilidad o la mayoría de ocasiones borran los estafadores. Solo una recopilación legal de evidencias y un informe técnico profesional garantizan que la víctima pueda demostrar los hechos ante las autoridades y defender su inocencia con pruebas sólidas y válidas judicialmente, ya que la inacción o la falta de denuncia puede generar sospechas o incluso responsabilidades civiles si no se acredita la suplantación, por ello, es fundamental documentar el incidente de manera técnica y legal para proteger su identidad, reputación y evitar imputaciones erróneas.
- El Código Penal español, art. 401, tipifica la Usurpación del estado civil (suplantación de identidad) con penas de 6 meses a 3 años de prisión.
- También se señala que una “víctima de suplantación de identidad podría enfrentarse a penas” si no se demuestra con eficacia que fue víctima y se le imputa un delito de estafa derivado del uso de su identidad.
¿Qué hacer si eres víctima?
Si descubres que han suplantado tu identidad o utilizan tu cuenta para engañar a otros, cada minuto cuenta y el tiempo corre en contra.
Acciones inmediatas:
- Contactar con la operadora para bloquear la línea o duplicado SIM.
- Cambiar contraseñas de correo, banca online y redes sociales.
- Activar la verificación en dos pasos (preferiblemente sin SMS).
- En WhatsApp: cerrar sesiones, activar 2FA y recuperar control.
- Avisar a contactos (si es un fraude por WhatsApp).
- Denunciar ante Policía Nacional o Guardia Civil.
- Informar a la entidad bancaria y activar alertas de movimiento.
Consejos cómo prevenir la suplantación de identidad, para USUARIOS.
- No compartir códigos de verificación.
- Activar 2FA en todos los servicios.
- No publicar el teléfono en exceso.
- Desconfiar de enlaces y mensajes urgentes.
- Revisar dispositivos vinculados a WhatsApp.
Consejos cómo para prevenir la suplantación de identidad, para EMPRESAS.
- Verificación en dos pasos en todos los accesos corporativos.
- Definir protocolos de respuesta ante ciberfraudes.
- Formar al personal en ciberseguridad y fraude digital.
- Informar al cliente sobre los canales oficiales.
- Monitoreo continuo de cuentas y actividad online.