Cómo saber si tu número de teléfono se filtró

Un número de teléfono es el hilo que une tus cuentas entre sí. Es una vía de recuperación y, a menudo, un nombre de usuario; durante mucho tiempo fue el segundo factor por defecto. Cualquiera que tenga tu número puede intentar recuperar cuentas en servicios que ya olvidaste que existían.

Por eso vale la pena actuar cuando tu número se filtra, aunque parezca menos grave que una contraseña filtrada. Una contraseña filtrada es una puerta cerrada a la que le falta la llave. Un número filtrado es una llave que la mitad del edificio ya cree que te pertenece.

Los números se escapan por la actividad comercial cotidiana mucho antes de aparecer en una filtración. Los formularios de registro, los registros de entregas, los programas de fidelización, los anuncios en plataformas de venta y los sitios de directorios los recopilan, y los flujos de datos con licencia los trasladan de una empresa a otra.

Luego están los propios registros de filtraciones, donde los números de teléfono suelen aparecer junto con nombres, direcciones y hashes de contraseñas. Que un número aparezca en muchas de esas fuentes no indica una única filtración catastrófica. Es el estado normal de un número que lleva años en uso.

Una consulta de número de teléfono devuelve los registros en los que aparece el número, etiquetados con la fuente de la que proviene cada uno. Un resultado positivo significa que el número está presente en un registro de terceros. No significa que alguien haya leído tus mensajes ni que el número esté comprometido en sentido técnico alguno.

Lo útil es el patrón, no la cantidad. Un número que aparece en unos cuantos registros de filtraciones junto con un nombre y una dirección te indica que cualquiera que tenga esos registros puede vincularte con el número, que es justo el material con el que se arma un mensaje de phishing convincente. Lee el resultado por lo que permite, no por lo alarmante que parezca la cifra.

Un intercambio de SIM (SIM swap) ocurre cuando alguien convence a tu operador de trasladar tu número a una SIM que esa persona controla. Un traslado de número (port-out) es la misma idea a través del sistema de portabilidad: el número pasa a otro operador. En cualquiera de los dos casos, las llamadas y los mensajes dejan de llegarte a ti y empiezan a llegar al atacante, y cualquier cuenta que confíe en un código por mensaje de texto pasa a ser suya.

La FCC ha endurecido las reglas para ambos casos. Los operadores inalámbricos ahora deben autenticar correctamente al cliente antes de cambiar una SIM o trasladar un número, deben notificarte las solicitudes de cambio de SIM y de traslado de número en tu cuenta, y deben ofrecerte la opción de bloquear tu cuenta para que esas solicitudes ni siquiera puedan procesarse.

Esa última opción es la que vale la pena activar. Pide a tu operador el bloqueo de cuenta o la congelación de portabilidad de tu línea, y actívalo. Es una configuración, es gratuita y ningún operador ni agente de soporte te pedirá que la desactives para él. Si alguien que dice ser de tu operador te lo pide, ese es el ataque.

Si tus cuentas se recuperan mediante un mensaje de texto, incluso el bloqueo más fuerte del operador te deja dependiendo del factor más débil. Traslada las cuentas que importan a una aplicación de autenticación o a una llave de hardware, que no se pueden vencer apoderándose de un número.

Donde no se ofrezca un código por aplicación, usa los códigos de respaldo e imprímelos, en lugar de dejarlos en tu correo electrónico, porque tu correo suele ser precisamente la cuenta en cuestión. Después, elimina el número de teléfono como opción de recuperación siempre que el servicio lo permita, para que el número deje de ser una vía de regreso a la cuenta.

Sigue estos pasos en orden después de encontrar tu número en un registro.

Actúa partiendo de la base de que quien tiene tu número controla todas las cuentas que confiaban en él.

Contacta a tu operador de inmediato y dile que el traslado fue fraudulento, para que restauren el número y bloqueen la cuenta. Después, protege primero tu cuenta de correo electrónico, porque todo lo demás se restablece a través de ella, y avanza hacia fuera: banca, pagos y cuentas gubernamentales. Cambia la contraseña de cualquier cuenta que usara el número como acceso o vía de recuperación.

Revisa tu historial de crédito en busca de cuentas que no abriste y coloca una congelación mientras lo resuelves. Luego denúncialo: tanto tu operador como la FCC reciben quejas por traslado de número e intercambio de SIM, y el registro que generes será importante si más adelante necesitas disputar cargos o responsabilidades.