El número de teléfono, que suele considerarse un dato menor, está vinculado a cuentas, redes sociales y mecanismos de recuperación de acceso, por lo que puede convertirse en un activo buscado por ciberdelincuentes para iniciar engaños y escalar ataques.
David González, Investigador de Seguridad Informática de Eset Latinoamérica, precisó que el dato, por sí solo, no habilita un acceso directo a dispositivos o cuentas: “Por sí solo, el número de teléfono tiene capacidades limitadas”.
Cuatro riesgos frecuentes
A partir de un número, un atacante puede intentar vincularlo con información pública sobre una persona. El objetivo es asociarlo con datos sensibles como el nombre, perfiles en redes sociales, cuentas de mensajería, publicaciones u otra información que haya quedado expuesta en alguna filtración, con el fin de construir un engaño más creíble.
El segundo riesgo es el contacto directo para ejecutar estafas por llamada, SMS, WhatsApp u otros servicios de mensajería. En ese escenario entra en juego la Ingeniería Social: el ciberatacante puede hacerse pasar por un banco, una empresa, un servicio de entrega, un representante de soporte técnico o alguien del entorno para obtener contraseñas, códigos de verificación, datos personales, información financiera o inducir a hacer clic en un enlace malicioso.
Un tercer escenario es la toma de control de cuentas. Muchos servicios utilizan el número de teléfono para iniciar sesión, recuperar una contraseña, verificar la identidad o enviar códigos de acceso, por lo que puede integrarse a un proceso de recuperación o de acceso. Eset ejemplificó un caso habitual advertido por WhatsApp en su Help Center: se recibe un código no solicitado y, segundos después, alguien escribe diciendo que fue enviado por error y pide que se lo reenvíen; “El código no llegó para dárselo a otra persona”, comentó González.
El cuarto riesgo es el SIM swapping. El atacante busca convencer al operador de telefonía de que es el titular para transferir el número a otra SIM. Si lo consigue, pasa a recibir llamadas y mensajes, lo que cambia el escenario del caso anterior: ya no necesita pedir el código, sino que intenta que le llegue directamente.
Eset señaló que, aunque obtener un número de teléfono no implica entrar de forma inmediata a las cuentas, puede abrir un abanico de amenazas: acceso al correo electrónico, toma de control de WhatsApp u otros servicios de mensajería, acceso a redes sociales, cambio de credenciales, utilización de una cuenta comprometida para engañar contactos y aprovechamiento de esa cuenta para acceder a otros servicios.
Entre las recomendaciones difundidas se incluyen nunca compartir códigos de verificación, no entregar información personal durante llamadas o mensajes no solicitados, verificar por canales oficiales pedidos extraños de información, revisar qué información personal está expuesta públicamente y proteger las cuentas con doble factor de autenticación.
