Suplantación de identidad digital en España: cómo actuar ante SIM swapping y fraudes de WhatsApp

¿En qué consiste la suplantación de identidad digital?

En términos sencillos, suplantar la identidad digital significa utilizar los datos personales de alguien sin su consentimiento para hacerse pasar por esa persona. El objetivo suele ser obtener un beneficio ilícito (por ejemplo, acceder a cuentas bancarias, realizar compras o contratar servicios a nombre de la víctima) o incluso perjudicar su reputación. La suplantación puede adoptar muchas formas: desde la creación de perfiles falsos en redes sociales o email, hasta el acceso a cuentas bancarias ajenas usando credenciales robadas. En el plano offline se ve con el uso indebido del DNI físico o la falsificación de firmas, pero en el plano digital toma nuevas dimensiones.

Es importante destacar que no hace falta un perjuicio económico directo para que exista delito. El simple hecho de hacerse pasar por otra persona, aunque sea brevemente o para actos puntuales, ya puede ser sancionable. Por ejemplo, contratar una línea de teléfono con datos ajenos o iniciar sesión en WhatsApp con el número de otra persona, son actos de suplantación. A continuación, abordamos dos técnicas comunes que están proliferando en España: el SIM swapping (clonación de la tarjeta SIM) y la suplantación de cuentas de WhatsApp.

¿Qué es el SIM swapping o duplicado fraudulento de SIM?

Al duplicar la tarjeta SIM, los estafadores pueden recibir tus mensajes y llamadas, accediendo así a tus cuentas. SIM swapping es una técnica de fraude en la cual los ciberdelincuentes duplican la tarjeta SIM del teléfono móvil de la víctima para tomar el control de su número de teléfono. En la práctica, implica suplantar la identidad del titular frente a la compañía telefónica: el estafador recopila datos personales de la víctima (nombre, DNI, incluso respuestas de seguridad) a través de phishing, ingeniería social o filtraciones. Con esa información, contacta a la operadora móvil haciéndose pasar por la víctima y solicita un duplicado de la SIM alegando una excusa (pérdida, robo, avería).

Una vez la operadora emite la nueva SIM, la tarjeta original de la víctima queda desactivada y su teléfono pierde cobertura sin explicación. A partir de ese momento, todas las llamadas y mensajes SMS de verificación van al móvil del delincuente. Esto les permite interceptar códigos de autenticación bancaria (OTP), mensajes de WhatsApp, contraseñas temporales y cualquier comunicación enviada al número suplantado. En otras palabras, el SIM swapping es la llave que les abre nuestras cuentas: con el control del número, pueden resetear contraseñas, acceder a la banca online y realizar operaciones fraudulentas como transferencias bancarias o compras, haciéndolas pasar por la víctima.

Las autoridades españolas han alertado que el SIM swapping es una amenaza cada vez más presente. En 2023, la Policía Nacional advirtió de un auge de este tipo de fraudes, citando casos sonados: por ejemplo, un joven de Melilla logró estafar cerca de 72.000 € mediante SIM swapping, y se reportaron incidentes similares en Valladolid y Barcelona, entre otros. En Cataluña, una banda llegó a duplicar tarjetas SIM para vaciar cuentas bancarias, estafando 429.000 € antes de ser detenidos. Todos estos casos evidencian lo sencillo pero peligroso que resulta el duplicado indebido de una SIM.

Suplantación de cuentas de WhatsApp (clonación de WhatsApp)

Mensaje típico de un estafador que finge ser tu contacto y pide el código de verificación de WhatsApp. Otra modalidad muy extendida de suplantación es el “hackeo” o robo de cuentas de WhatsApp. Aquí, el objetivo del delincuente es apropiarse de tu número de WhatsApp para hacerse pasar por ti en esa aplicación de mensajería. ¿Cómo lo logran? Los métodos más comunes son dos: aprovechar el propio SIM swapping (una vez duplicada la SIM, instalan WhatsApp en otro dispositivo y reciben el SMS de verificación), o emplear ingeniería social pura y dura.

En un escenario típico, el estafador toma control previo de la cuenta de un conocido tuyo (por ejemplo, hackeó el WhatsApp de un amigo). Luego te envía un mensaje desde ese contacto, con urgencia fingida, pidiéndote un favor: “Hola, lo siento, te envié un código de 6 dígitos por SMS por error, ¿puedes pasármelo? Es urgente”. Ese código de 6 dígitos en realidad es el código de verificación de tu propio WhatsApp. Si se lo reenvías creyendo ayudar a tu amigo, el delincuente lo introduce en su dispositivo y toma el control total de tu cuenta de WhatsApp. En segundos, tu WhatsApp queda secuestrado (cerrado en tu móvil y activo en el del atacante). Ahora el estafador puede leer tus chats, hacerse pasar por ti y, muy comúnmente, pedir dinero a tus contactos simulando que tú estás en problemas económicos.

La Guardia Civil, Ertzaintza y Mossos d’Esquadra han detectado un aumento de secuestros de cuentas de WhatsApp bajo este modus operandi. Recomiendan nunca compartir el código de verificación con nadie, aunque parezca un amigo solicitándolo. WhatsApp jamás te pedirá ese código por mensaje, y ningún contacto legítimo debería hacerlo. Además, es vital activar la verificación en dos pasos en WhatsApp (un PIN adicional) para poner una capa extra de seguridad. Sin esta protección, los ciberdelincuentes pueden engañarnos con relativa facilidad y dejarnos incomunicados mientras utilizan nuestra cuenta para estafar a otros en nuestro nombre.

Casos recientes y estadísticas en España

Las cifras de ciberestafas por suplantación de identidad han ido en aumento en España en los últimos años. No existe un registro único de “robo de identidad digital”, pero distintos informes y operaciones policiales dan idea de la magnitud del problema. Por ejemplo, a finales de 2024 se desarticuló en Cataluña una red criminal que había estafado más de 1 millón de euros a unas 1.200 víctimas en toda España mediante suplantación de identidades vinculada a una entidad bancaria. Fue un fraude masivo coordinado desde la provincia de Barcelona, lo que muestra cómo estos delitos pueden tener un alcance nacional.

A nivel más local, tanto en País Vasco como en Cataluña se han destapado casos de importancia. En Bizkaia, la Guardia Civil informó en 2024 de la detención de un grupo que contrataba líneas de teléfono y compraba móviles de alta gama usando la identidad de otras personas. Una vecina de Bilbao descubrió que a su nombre se habían dado de alta dos líneas móviles, una línea fija e incluso una cuenta bancaria, todo sin su conocimiento. Gracias a la investigación (Operación “Crassun”), se halló que los estafadores –un clan familiar– utilizaban sus datos para adquirir servicios y equipos, dejando impagos a su nombre. La víctima, al destapar el caso, se dio cuenta de que figuraba como implicada en procesos penales en media España por estafas que nunca cometió, debido a los contratos fraudulentos con su DNI. De hecho, tuvo que lidiar con decenas de denuncias en diferentes provincias (Córdoba, Jaén, Madrid, etc.), todas originadas por las actividades delictivas realizadas bajo su identidad.

En Cataluña, los Mossos d’Esquadra han afrontado situaciones parecidas. Por citar un caso, en 2023 detuvieron en Barcelona a dos hombres que suplantaron a al menos 35 personas usando DNIs sustraídos, para retirar más de 57.000 € de cuentas ajenas. Los estafadores incluso escogían víctimas con cierto parecido físico (para no despertar sospechas al mostrar el DNI robado en los bancos) y actuaban en distintas localidades para dificultar su detección. Entre ambos acumulaban decenas de antecedentes por fraudes similares, lo que evidencia la reincidencia en este tipo de delitos.

Estos ejemplos reflejan una realidad inquietante: la suplantación de identidad digital va en auge y puede afectar tanto a ciudadanos de Bilbao como de Barcelona, Donostia o cualquier punto del país. Nadie está exento de que utilicen sus datos personales para delinquir. Por eso, es de vital importancia conocer las consecuencias legales y las señales de alerta para reaccionar a tiempo.

Consecuencias legales para la víctima suplantada

Ser víctima de una suplantación de identidad conlleva un calvario legal y personal. En primer lugar, el perjudicado suele enterarse después de que el daño está hecho: cuando recibe facturas de servicios que nunca contrató, notificaciones bancarias extrañas o, en el peor de los casos, citas judiciales por delitos no cometidos. La carga de probar la inocencia recae inicialmente en la persona suplantada, quien debe demostrar que alguien más utilizó su identidad sin permiso.

A nivel legal, la víctima puede verse envuelta en procedimientos penales o civiles injustamente. Por ejemplo, si tu identidad se usó para abrir cuentas y blanquear dinero, es posible que aparezcas como investigado en la causa hasta que se aclare la situación (como le ocurrió a la vecina de Bilbao con procesos en múltiples provincias). Esta situación genera angustia, gastos y desgaste reputacional: tendrás que contratar abogado, aportar pruebas y explicar a policías o jueces que tú no fuiste el autor de esos hechos. Incluso tu historial crediticio puede quedar dañado si se contrajeron deudas a tu nombre.

Lo positivo es que, una vez demostrada la suplantación, la ley te reconoce como víctima y no como culpable. Pero llegar a ese punto requiere diligencia. En España, el ordenamiento prevé que el suplantador (cuando es hallado) responda penalmente y deba indemnizar los perjuicios causados. Sin embargo, el proceso puede ser largo. En lo que se esclarece, la persona inocente puede sufrir medidas cautelares o al menos la incertidumbre de tener una acusación pendiendo sobre ella. Por ello, es fundamental actuar rápidamente al primer indicio de suplantación, para minimizar las posibles consecuencias legales.

Señales de alerta de una posible suplantación de identidad

Afortunadamente, hay señales de alerta que pueden indicarnos que estamos siendo víctimas de suplantación antes de que el daño escale. Algunas a las que debemos prestar atención son:

• Pérdida repentina de cobertura móvil sin motivo aparente. Si de un momento a otro tu teléfono marca “Sin servicio” o no puedes recibir llamadas/SMS en una zona donde normalmente tienes cobertura, podría ser que tu SIM haya sido duplicada. Esta es la señal más típica del SIM swapping: los estafadores han desactivado tu tarjeta original.
  
  
• Dificultad para realizar o recibir llamadas y mensajes. En línea con lo anterior, notar que tu línea está inusualmente inoperante (no entran llamadas de repente, o tus SMS no salen) es motivo de alerta inmediata.
  
  
• Notificaciones de actividades sospechosas en tus cuentas bancarias o emails. Por ejemplo, avisos de códigos de verificación que tú no pediste, correos de “recuperación de contraseña” no solicitados, o mensajes de tu banco sobre accesos desde dispositivos nuevos. Esto podría indicar que alguien está intentando (o logrando) entrar a tus cuentas.
  
  
• Mensajes de conocidos pidiéndote códigos o datos personales. Si recibes por WhatsApp (u otra red) el famoso mensaje “Te envié un código por error, pásamelo”, desconfía al instante. Ningún amigo verdadero debería necesitar tu código de WhatsApp, eso casi seguro es un intento de hackeo. Igualmente, llamadas inesperadas de supuestos técnicos solicitando datos de verificación son muy sospechosas.
  
  
• Movimientos extraños en tu factura telefónica. Por ejemplo, que aparezcan solicitudes de duplicado de SIM que tú no realizaste, o consumos de datos en horarios en que tenías el móvil apagado. Las operadoras suelen reflejar el pedido de una nueva SIM o cambios de tarjeta en los datos de tu cuenta; revísalos periódicamente.

Estar alerta a estas señales es vital. Una detección a tiempo puede ahorrarte muchos problemas: si descubres antes que te han clonado el número o accedido a tu WhatsApp, puedes cortarles el paso a los delincuentes antes de que vacíen tus cuentas o perjudiquen tu nombre.

¿Qué hacer si sospechas que has sido víctima? (FAQ práctico)

A continuación, presentamos una guía práctica de pasos a seguir si crees que estás siendo víctima de suplantación de identidad digital. Son recomendaciones inmediatas, a modo de FAQ, para reaccionar adecuadamente ante distintas situaciones frecuentes:

¿Cómo confirmo si me han duplicado la tarjeta SIM?

Si tu móvil pierde señal repentinamente y persiste sin servicio mientras otros alrededor tienen cobertura, sospecha. Llama cuanto antes a tu operadora desde otro teléfono y pregunta si se ha emitido un duplicado de tu SIM. Las compañías pueden verificar si alguien solicitó recientemente un reemplazo de tu tarjeta. Si la respuesta es afirmativa (y tú no lo pediste), notifícalo como fraude de inmediato. También revisa tu buzón de SMS en cuanto recuperes la línea: si hubo intentos de acceder a tus cuentas (banco, redes sociales), probablemente verás códigos de verificación o mensajes de restablecimiento de contraseña que tú no solicitaste.

¿Qué hago para recuperar mi cuenta de WhatsApp si la han robado?

En caso de pérdida de acceso a tu WhatsApp (por ejemplo, la aplicación se cierra y te pide código porque alguien la registró en otro dispositivo), actúa rápido: reinstala WhatsApp e intenta verificar tu número de nuevo con el código SMS. Esto, en muchos casos, expulsará al intruso de tu cuenta. Después, activa la verificación en dos pasos (un PIN de 6 dígitos adicional) desde Ajustes > Cuenta, para impedir que vuelva a ocurrir. Avísales a tus contactos por otros medios (email, SMS) de que tu WhatsApp fue comprometido, para que no caigan en posibles engaños del suplantador. Si no consigues recuperarla por tus medios, escribe a WhatsApp (correo de soporte) explicando la situación y solicita desactivar tu cuenta; dispones de un plazo (generalmente 7 días) antes de que el atacante pueda consolidar el control, así que no demores.

¿Debo avisar a mi banco y a otras empresas de servicios?

Sí. En cuanto sospeches de suplantación, especialmente si involucra tu número de teléfono o DNI, contacta a tu banco para alertar de posibles accesos no autorizados. Pide que bloqueen temporalmente operaciones sospechosas y revisen movimientos recientes. Del mismo modo, informa a tu compañía telefónica para que anule la SIM duplicada y asegure tu línea (pueden ponerte una contraseña adicional para trámites). Si tus tarjetas de crédito, cuentas de correo u otras plataformas pudieron verse comprometidas, cámbiales las contraseñas de inmediato. En resumen, pon en sobreaviso a cualquier entidad donde el impostor pudiera hacer uso de tus datos (bancos, financieras, redes sociales, etc.). Más vale prevenir: es más fácil detener a tiempo una transferencia fraudulenta o anular un contrato recién hecho, que reclamar después.

¿Tengo que denunciar el incidente ante la Policía?

Absolutamente. Presentar una denuncia formal es clave tanto para investigar el delito como para protegerte legalmente a ti. Acude cuanto antes a la Policía Nacional, Guardia Civil o Mossos/Ertzaintza (según tu zona) y relata los hechos con el mayor detalle posible. Lleva contigo cualquier evidencia: mensajes extraños, capturas de pantalla de conversaciones, SMS sospechosos, emails de confirmación de compras que no hiciste, etc. Cuanta más documentación aportes, mejor. La denuncia dejará constancia oficial de que tú has sido víctima, lo cual será muy útil si más adelante alguien intenta atribuirte a ti las fechorías cometidas por el suplantador. Recuerda mencionar todos los datos relevantes (por ejemplo, el momento en que tu SIM quedó sin servicio, nombres o números desde los que te contactaron, movimientos bancarios raros, etc.). Las autoridades pueden así iniciar una investigación y, en coordinación con unidades de ciberdelitos, tratar de rastrear al responsable.

¿Qué evidencias debo conservar para defenderme luego?

Guarda todo rastro documental relacionado con la suplantación. Esto incluye: los extractos bancarios con movimientos fraudulentos, las facturas telefónicas donde consten duplicados de SIM o llamadas que no realizaste, los correos electrónicos de restablecimiento de contraseña, capturas de los perfiles falsos o conversaciones donde se aprecie el engaño, y por supuesto la copia de la denuncia policial que presentaste. Si recuperaste tu cuenta de WhatsApp, puedes descargar el historial de chats que el delincuente tuvo con tus contactos (para ver si pidió dinero en tu nombre, por ejemplo). Toda esta evidencia será imprescindible para probar que tú no estuviste detrás de las acciones ilícitas. Además, anota una cronología de los hechos: cuándo perdiste la línea, a qué hora avisaste a la compañía, cuándo descubriste cada cosa... Ese timeline te ayudará a explicar coherentemente el caso a las autoridades y a tu abogado.

¿Qué hacer si recibes una denuncia o citación por un delito que no cometiste?

Este es el peor escenario para una víctima de suplantación: recibir en casa una denuncia, citación judicial o notificación de investigación penal por hechos cometidos por el impostor. Ante todo, mantén la calma y ten presente que tienes derecho a defenderte y a demostrar la verdad. Lo primero es no ignorar la citación: aunque se trate de un error (derivado de la suplantación), debes atender el requerimiento legal. No presentarse a una citación puede empeorar las cosas.

Si recibes una citación o notificación judicial injusta, te recomendamos leer también este artículo sobre los derechos del detenido.

Acto seguido, es altamente recomendable contactar con un abogado penalista de confianza. Si te encuentras en Bilbao, Barcelona o Donostia, puedes acudir a un despacho con experiencia en ciberdelitos, como Lambda Estudio Jurídico, que conoce bien este tipo de casos. El abogado te asistirá en la preparación de tu defensa: presentará alegaciones explicando que eres víctima de un robo de identidad y no el autor del delito investigado. En este punto, resultan clave las pruebas que hayas reunido previamente (denuncias, informes del banco o de la operadora, etc.), ya que servirán para respaldar tu versión.

En la comparecencia o escrito de defensa, deberás relatar los hechos tal cual ocurrieron: cuándo y cómo te diste cuenta de la suplantación, qué medidas tomaste (denuncia policial, bloqueo de cuentas) y aportar cualquier elemento que apunte hacia un tercero desconocido como autor. En muchos casos, si la suplantación está documentada, la propia policía o fiscalía podrían retirar los cargos contra ti y redirigir la acusación hacia “personas por identificar” (es decir, el impostor). No obstante, puede que durante un tiempo sigas figurando formalmente en la causa, por lo que tu abogado deberá estar pendiente hasta lograr tu desvinculación total del proceso.

Es comprensible el miedo y la impotencia que genera verse acusado injustamente. Pero recuerda: el sistema legal cuenta con mecanismos para aclarar estas situaciones. Ha habido numerosos casos donde, tras las pesquisas, se comprobó que el DNI o la línea móvil del investigado habían sido utilizados por terceros, quedando aquel exonerado de responsabilidad. La clave está en actuar proactivamente: no quedarse de brazos cruzados esperando que “se aclare solo”, sino moverse para demostrar tu inocencia. Con un buen asesoramiento jurídico y las pruebas adecuadas, podrás reconducir la situación y limpiar tu nombre.

Y si te interesa conocer cómo la tecnología se cruza con el derecho, este análisis sobre IA y ciberdelitos puede ayudarte a entender el contexto jurídico actual.

Contacta con Lambda Estudio Jurídico para recibir ayuda

Enfrentar un caso de suplantación de identidad digital puede ser abrumador, pero no tienes por qué afrontarlo solo. Si vives en Bilbao, Barcelona, San Sebastián (Donostia) o alrededores, Lambda Estudio Jurídico está a tu disposición para ayudarte. Nuestro despacho cuenta con expertos en derecho penal y ciberdelitos, con amplia experiencia en casos de estafas online, phishing y usurpación de identidad a nivel local. Entendemos la urgencia y la delicadeza de estas situaciones: desde el momento en que sospechas de la suplantación hasta la defensa legal en un juicio, te acompañamos en cada paso.

¿Por qué contactarnos? Porque actuaremos rápidamente para proteger tus derechos: recopilaremos evidencias, gestionaremos las comunicaciones con operadores y bancos, presentaremos las denuncias necesarias y, sobre todo, prepararemos una sólida estrategia legal para defender tu inocencia si has sido acusado injustamente. En Lambda Estudio Jurídico combinamos conocimientos técnicos en materia digital con el rigor jurídico, proporcionando un trato cercano y adaptado a cada cliente.

No permitas que un delincuente arruine tu tranquilidad o tu reputación. Si sospechas que has sido víctima de SIM swapping, clonación de WhatsApp o cualquier suplantación de identidad, contáctanos cuanto antes. La prevención y la reacción temprana marcan la diferencia. En Bilbao, Barcelona o Donostia, puedes contar con un equipo legal comprometido en restablecer tu seguridad y reivindicar tu buen nombre. Llámanos o envíanos tu consulta – en Lambda Estudio Jurídico estaremos encantados de asistirte y devolver la tranquilidad a tu vida digital.