Fraude de portabilidad y SIM swap: ¿quién protege realmente el número de una empresa?

La versión corta

Esto es investigación, no asesoría legal. Cada afirmación regulatoria enlaza a la regla, la orden o la carta del regulador, y lo que no pudimos confirmar se dice con claridad.

Dos formas de robar un número sin tocar el teléfono

Ambos ataques tienen el mismo objetivo: lograr que la red telefónica entregue sus llamadas y mensajes de texto a un dispositivo que tiene el delincuente. Ninguno necesita su teléfono, su contraseña ni software malicioso en su computadora. Funcionan persuadiendo, sobornando o engañando al operador.

SIM swap (cambio de SIM). La FCC lo describe como "a scam in which a bad actor convinces a victim's wireless provider to transfer the victim's mobile service and number from the victim's cell phone to a cell phone in the bad actor's possession" (una estafa en la que un delincuente convence al operador inalámbrico de la víctima de transferir el servicio y el número móvil de la víctima a un celular que el delincuente tiene en su poder).4 El número nunca sale de su operador; el operador simplemente lo redirige a una nueva SIM o eSIM. El FBI identifica tres modalidades: ingeniería social, en la que el delincuente se hace pasar por la víctima ante el operador; amenaza interna, en la que los delincuentes "pay off a mobile carrier employee" (sobornan a un empleado del operador); y phishing a empleados del operador para instalar software malicioso.15 "Once the SIM is swapped, the victim's calls, texts, and other data are diverted to the criminal's device" (una vez cambiada la SIM, las llamadas, textos y demás datos de la víctima se desvían al dispositivo del delincuente).15

Fraude de portabilidad (port-out). Aquí el número sí sale. La descripción de la FCC: un delincuente que, "posing as the victim, opening an account with a wireless provider other than the victim's current provider, and then arranging for the victim's phone number to be transferred (or 'ported out') to the account with the new wireless provider controlled by the bad actor" (se hace pasar por la víctima, abre una cuenta con un operador distinto del actual y hace que el número de la víctima se transfiera a esa cuenta, controlada por el delincuente).4 Abusa del mismo derecho que le permite conservar su número al cambiar de proveedor. Una portabilidad está diseñada para ser rápida: la orden de la FCC menciona "the industry agreed-upon two-and-a-half hour porting interval for wireless ports" (el intervalo de dos horas y media acordado por la industria para portabilidades inalámbricas).1 Esa rapidez es una ventaja para el cliente que cambia de operador y un regalo para el estafador.

La diferencia importa al responder. Después de un SIM swap, su operador aún tiene el número y puede revertir el cambio. Después de un port-out, el número está en otra empresa, y recuperarlo implica una disputa entre dos operadores mientras cada llamada y cada texto llegan al delincuente.

Una tercera vía, para números que no están en una SIM. Nuestro análisis: un número de teléfono en la nube o VoIP no tiene SIM que cambiar, pero sí un portal de administración en línea. Quien inicia sesión puede desviar llamadas, agregar un dispositivo o iniciar una portabilidad, así que el inicio de sesión es el número. Las reglas de 2023 no abordan este caso, por las razones que se explican más abajo.

Por qué vale la pena robar el número de una empresa

El número en sí no es el premio. El premio es todo lo que confía en él.

• Restablecimientos de contraseña y códigos de acceso. Bancos, plataformas de nómina, proveedores de correo, registradores de dominios y el propio operador suelen enviar códigos de un solo uso por texto o llamada de voz. La FCC lo dijo directamente: los SIM swaps y port-outs fraudulentos "allow bad actors to perpetrate greater fraud by giving them the means to complete text and voice authentications to access the victim's other accounts" (permiten a los delincuentes cometer fraudes mayores al darles el medio de completar autenticaciones por texto y voz para acceder a las demás cuentas de la víctima).4 El FBI describe la secuencia: el delincuente envía solicitudes de "'Forgot Password' or 'Account Recovery'" (olvidé mi contraseña o recuperación de cuenta), y el proveedor envía "a link or one-time passcode via text to the victim's number, now owned by the criminal" (un enlace o código de un solo uso por texto al número de la víctima, que ahora es del delincuente).15
• Llamadas de verificación de bancos y proveedores. El consejo estándar del FBI contra el compromiso del correo empresarial (BEC) es "Use secondary channels and/or two-factor authentication to verify requests for changes in account information" (use canales secundarios o autenticación de dos factores para verificar las solicitudes de cambio de datos de cuenta).17 Muy a menudo el canal secundario es una llamada telefónica. Si el delincuente controla el número al que llama el banco o el proveedor, esa verificación confirma el fraude en lugar de detectarlo.
• Es público y la gente confía en él. El número está en el sitio web, en las facturas y en la camioneta, así que el atacante parte con él en la mano, y los clientes creen a quien lo contesta.

¿Qué tan grande es el problema? La respuesta honesta es que nadie publica cifras completas. El Centro de Quejas de Delitos en Internet (IC3) del FBI solo cuenta las quejas que recibe. Registró 320 quejas de SIM swapping de enero de 2018 a diciembre de 2020 (unos $12 millones en pérdidas), y luego 1,611 quejas y más de $68 millones solo en 2021.15 Su informe anual de 2025 muestra 1,075 quejas y $48,798,103 en pérdidas en 2023, 982 y $25,983,946 en 2024, y 971 y $17,366,758 en 2025.16 Como comparación, el compromiso del correo empresarial, el fraude que un número de verificación secuestrado ayuda a concretar, generó 24,768 quejas y $3,046,598,558 en pérdidas reportadas en 2025.16

No sacaríamos demasiadas conclusiones de la baja en las cifras de SIM swap. Son quejas, no incidentes, y una empresa que pierde dinero por la toma de una cuenta puede no enterarse nunca de que el número de teléfono fue la puerta de entrada.

La guía de autenticación vigente del NIST, SP 800-63B-4, dice que "there is one restricted authenticator: the use of the PSTN for out-of-band authentication" (hay un autenticador restringido: el uso de la red telefónica pública conmutada para autenticación fuera de banda), es decir, los códigos enviados por texto o llamada de voz, e indica a los verificadores que "consider risk indicators (e.g., device swap, SIM change, number porting, other abnormal behavior)" (consideren indicadores de riesgo, como cambio de dispositivo, cambio de SIM, portabilidad del número u otro comportamiento anormal) antes de usarlo.18 Cuando el organismo de normas señala los cambios de SIM y las portabilidades como motivos para desconfiar del canal telefónico, una empresa no debería hacer de ese canal su única prueba de identidad.

Lo que la FCC adoptó en noviembre de 2023

Estados Unidos Las reglas provienen del Report and Order (Informe y Orden) del expediente WC Docket No. 21-341, FCC 23-95, adoptado el 15 de noviembre de 2023 y publicado en 88 FR 85794 el 8 de diciembre de 2023.1 Modifican dos conjuntos de reglas: las reglas de información propietaria de red del cliente (CPNI), al agregar el párrafo (h) a 47 CFR § 64.2010 para los cambios de SIM,2 y las reglas de portabilidad numérica, con un nuevo 47 CFR § 52.37 para los port-outs.3

La FCC eligió "baseline rules, rather than prescriptive requirements" (reglas de base, en lugar de requisitos prescriptivos) y no nombró ningún método de autenticación, porque los requisitos específicos "could either provide a roadmap for bad actors seeking to commit fraud or lock in measures that quickly prove to be ineffective or obsolete" (podrían darle una hoja de ruta a quienes buscan cometer fraude o fijar medidas que pronto resulten ineficaces u obsoletas).1 Los requisitos centrales:

Desplace la tabla hacia los lados para ver todas las columnas.

Los párrafos "[Reserved]" se adoptaron en el Federal Register, pero quedaron "delayed indefinitely" (aplazados indefinidamente) en espera de la revisión de la Ley de Reducción de Trámites (Paperwork Reduction Act, PRA).1 La regla del bloqueo es la que más importa a una empresa: un operador "shall offer customers, at no cost, the option to lock their accounts" (deberá ofrecer a los clientes, sin costo, la opción de bloquear sus cuentas) contra portabilidades y "shall not fulfill a port-out request until the customer deactivates the lock" (no cumplirá una solicitud de port-out hasta que el cliente desactive el bloqueo); el bloqueo de cambios de SIM está redactado igual.1 La FCC se negó a hacer del bloqueo la opción predeterminada,1 así que el bloqueo protege solo a quien lo activa. El aviso debe llegar antes del cambio, de modo que llegue al cliente real y no a la nueva SIM del delincuente, y el cumplimiento "is not a safe harbor for wireless providers" (no es un puerto seguro para los operadores inalámbricos).1

Adoptadas en 2023, todavía no exigibles en 2026

La mayoría de los resúmenes dicen "cumplimiento para julio de 2024" y se detienen ahí. El expediente dice otra cosa.

Desplace la tabla hacia los lados para ver todas las columnas.

Para comprobar si se había anunciado la fecha de cumplimiento, buscamos en el Federal Register todos los documentos desde julio de 2024 que mencionan "port-out", § 64.2010 o § 52.37. Solo encontramos el aviso de la PRA y las entradas de la Agenda Unificada.58 También leímos la lista de presentaciones del expediente en el sistema de comentarios de la FCC: después de la orden de julio de 2024 aparecen comentarios y un aviso ex parte, pero ningún aviso público de la Oficina.9 Con ese registro, casi tres años después de su adopción, las reglas de la FCC sobre SIM swap y port-out no tienen fecha de cumplimiento, y los operadores todavía no están obligados a seguirlas. Si se emitió un aviso en algún lugar que no pudimos ver, no ha llegado al Código de Reglamentos Federales (CFR).

La FCC también abrió un Further Notice sobre alinear las reglas de CPNI más antiguas con las nuevas medidas y sobre si las "limitations on employee access to CPNI prior to customer authentication should be extended to all telecommunications carriers" (limitaciones al acceso de los empleados a la CPNI antes de autenticar al cliente deberían extenderse a todos los operadores de telecomunicaciones).11 El período de comentarios cerró en febrero de 2024,11 y la Agenda Unificada no muestra un siguiente paso.8

Lo que las reglas no cubren

La FCC fue explícita sobre el alcance. Para los cambios de SIM, razonó que "because SIMs are only used to facilitate service for mobile wireless devices, SIM swap fraud is a practice that is exclusive to mobile wireless services" (como las SIM solo se usan para facilitar el servicio de dispositivos móviles inalámbricos, el fraude de SIM swap es una práctica exclusiva de los servicios móviles inalámbricos). Para los port-outs: "we apply these new requirements exclusively to providers of CMRS ... as the record shows that port-out fraud is focused on mobile wireless customers" (aplicamos estos nuevos requisitos exclusivamente a los proveedores de CMRS ... pues el expediente muestra que el fraude de port-out se concentra en los clientes móviles inalámbricos).1 CMRS (commercial mobile radio service, servicio comercial de radio móvil) significa operadores móviles y sus revendedores, tanto de prepago como de pospago.13

Eso deja fuera la mayoría de los lugares donde realmente vive el número de una empresa:

Desplace la tabla hacia los lados para ver todas las columnas.

Las reglas generales de CPNI son más débiles de lo que parecen. Los operadores deben "properly authenticate a customer prior to disclosing CPNI" (autenticar debidamente al cliente antes de divulgar CPNI) y notificar de inmediato al cliente cuando se crea o cambia una contraseña, una cuenta en línea o una dirección registrada.2 Son reglas sobre divulgar información. No dicen cómo autenticar a quien pide desviar la línea, agregar un dispositivo o mover el número.

En una línea fija o VoIP, la regla de portabilidad juega en contra de las verificaciones adicionales. La sección 52.36 dice que un operador "may require only the data described" (solo puede exigir los datos descritos) en su lista de catorce campos "to accomplish a simple port order request" (para tramitar una solicitud de portabilidad simple), y que "The Passcode field shall be optional unless the passcode has been requested and assigned by the end user" (el campo de código de acceso será opcional, a menos que el usuario final lo haya solicitado y se le haya asignado).13 La lista existe para evitar que los operadores que pierden al cliente bloqueen portabilidades legítimas con trámites. El efecto secundario: a menos que usted haya pedido un código de acceso, una solicitud de portabilidad se verifica con el número de cuenta, el código postal y datos similares, muchos de los cuales aparecen impresos en cada factura. Pedirle a su proveedor de línea fija o VoIP un código de acceso para port-out toma diez minutos, y la regla lo convierte entonces en un campo obligatorio.

Las cuentas grandes pueden pactar otra cosa por contrato. La sección 64.2010(g) permite que los operadores acuerden "authentication regimes other than those described in this section" (regímenes de autenticación distintos de los descritos en esta sección) con clientes empresariales que tengan "both a dedicated account representative and a contract that specifically addresses the carriers' protection of CPNI" (tanto un representante de cuenta dedicado como un contrato que aborde específicamente la protección de la CPNI por parte de los operadores).2 La FCC dijo que las nuevas reglas no pretenden "supersede" (reemplazar) esa exención.1 Si ese es su caso, su protección es la que diga el contrato.

Canadá: ninguna regla y una solución confidencial de la industria

Canadá No existe regulación canadiense sobre el SIM swap ni el fraude de port-out. No encontramos ninguna decisión del CRTC, política regulatoria ni disposición de código que establezca requisitos de autenticación, notificación o bloqueo para los cambios de SIM o las transferencias de número. Lo que existe es un expediente de recopilación de información a nivel de personal, el 8665-C12-202000280, "Fraudulent Wireless Customer Transfers" (transferencias fraudulentas de clientes inalámbricos).34

Comenzó el 15 de enero de 2020, cuando el personal del CRTC le dijo a la Asociación Canadiense de Telecomunicaciones Inalámbricas (CWTA) que "certain Canadian mobile customers have been subject to fraudulent activity involving unauthorized porting of their mobile phone numbers" (ciertos clientes móviles canadienses han sido víctimas de actividad fraudulenta que implica la portabilidad no autorizada de sus números móviles) y pidió los planes de la industria.28 En mayo de 2020 el personal pidió a cada operador datos mensuales y "whether and how the person's identity is verified" (si se verifica la identidad de la persona y cómo) en un SIM swap.29

La respuesta de la industria fue un proceso de validación reforzado diseñado a través de la CWTA, cuyos detalles son confidenciales. El Public Interest Advocacy Centre pidió su divulgación y una consulta pública; en octubre de 2020 el personal se negó, concluyendo que "the specific measures being implemented to enhance the verification process for transfers of mobile telephone numbers and SIM swaps should not be disclosed" (las medidas específicas que se están implementando para reforzar el proceso de verificación de las transferencias de números móviles y los SIM swaps no deben divulgarse) porque hacerlo "would provide fraudsters with a better understanding of the processes intended to elude them" (daría a los estafadores una mejor comprensión de los procesos pensados para eludirlos).30 El personal también se negó a publicar las cifras de fraude de los operadores.30

Lo que sí se divulgó es el resultado. En julio de 2021 el personal del CRTC anunció "a 95% decline in the total number of unauthorized mobile telephone number transfers and SIM swaps from October 2020 to May 2021" (una disminución del 95% en el total de transferencias de números móviles y SIM swaps no autorizados entre octubre de 2020 y mayo de 2021).31 En febrero de 2022 el personal agradeció a los operadores "for having succeeded in significantly reducing the occurrence of these fraudulent activities" (por haber logrado reducir significativamente la ocurrencia de estas actividades fraudulentas) y redujo los informes mensuales.32 Para junio de 2023, en una carta titulada "Compliance and Enforcement" (cumplimiento y aplicación), se pidió a los operadores reportar SIM swaps y portabilidades no autorizados solo en los meses en que el total de todas sus marcas llegara a seis o más.33 La última carta del personal en el expediente público, en una copia del Internet Archive de octubre de 2025, tiene fecha del 18 de enero de 2024.34

La parte visible de la solución es un mensaje de texto. Rogers dice que "As of November 3rd, 2020, you will need to authorize your number transfer before it can be completed" (desde el 3 de noviembre de 2020, deberá autorizar la transferencia de su número antes de que se complete): el titular de la cuenta recibe un texto, debe responder "Yes", y si no hay respuesta en 90 minutos la solicitud se cancela.35 Su página sobre fraude da el texto: "To approve this request, please reply YES. To cancel it, simply reply NO." (para aprobar esta solicitud, responda YES; para cancelarla, simplemente responda NO).36 No verificamos páginas oficiales equivalentes de Bell ni de TELUS, así que no afirmamos que se apliquen la misma redacción o el mismo plazo.

Nuestra opinión sobre el modelo canadiense: un texto de confirmación funciona bien contra el fraude de port-out por sí solo. No sirve de nada si el atacante ya hizo un SIM swap, porque entonces el texto llega al atacante. El ataque en secuencia (cambiar la SIM y después aprobar la portabilidad) es justamente para lo que sirve un bloqueo de cambios de SIM. Canadá no tiene un requisito público para ese bloqueo, y el propio expediente del CRTC muestra cuánto depende la protección de que alguien vea el texto: cita una noticia sobre un cliente que no hizo caso de un texto de advertencia y "assumed it was a scam" (supuso que era una estafa).29

Lo que ofrecen hoy los grandes operadores

Los grandes operadores de EE. UU. ya publican herramientas gratuitas que hacen casi todo lo que exigirían las reglas de 2023. Son opcionales, están en menús distintos y algunas deben activarse línea por línea.

Desplace la tabla hacia los lados para ver todas las columnas.

Conviene conocer tres detalles antes de necesitarlos. Después de desactivar SIM Protection, Verizon mantiene los cambios de SIM y las mejoras de equipo "blocked for 15 minutes" (bloqueados durante 15 minutos),22 una demora que perjudica a quien tiene prisa. Verizon dice que "Number Lock must be turned off to successfully port out" (Number Lock debe desactivarse para portar el número con éxito),22 y los pasos de portabilidad de T-Mobile comienzan por desactivar Port Out Protection,25 así que un bloqueo olvidado también bloqueará su propia portabilidad legítima; nuestra guía de portabilidad menciona el bloqueo de port-out como causa frecuente de rechazo. Y quien puede quitar el bloqueo es el verdadero control. Si es el usuario de un antiguo administrador de la oficina, corríjalo ahora.

Los proveedores de línea fija y VoIP varían demasiado para ponerlos en una tabla. Pregúntele al suyo por escrito: ¿pueden poner un código de acceso a las solicitudes de port-out?13 ¿Se puede bloquear la cuenta contra port-outs y cambios de desvío de llamadas? ¿Y cómo nos avisarán de una solicitud de portabilidad, por un canal distinto del propio número?

Lista de protección para el número de una empresa

Ordenada según cuánta protección da cada paso por el tiempo que toma. Nada de esto depende de que las reglas de la FCC entren en vigor.

1. Averigüe qué es realmente el número. Móvil, fijo, VoIP o gratuito; quién tiene la cuenta y bajo qué nombre legal; qué inicio de sesión puede autorizar cambios. Necesita los mismos datos para una portabilidad sin contratiempos.
2. Active todos los bloqueos que ofrezca el operador, en cada línea importante. En móvil: el bloqueo de port-out y el de cambios de SIM, ya que son funciones separadas en Verizon y T-Mobile.2224 Revise la configuración por línea donde corresponda.24
3. Defina un PIN o código de acceso de cuenta, y un código de port-out en las cuentas de línea fija y VoIP. En una portabilidad simple de línea fija o VoIP, el campo del código de acceso es opcional a menos que usted lo pida, así que pídalo.13 Use un valor aleatorio guardado en el administrador de contraseñas de la empresa, no una fecha ni los últimos dígitos del número.
4. Proteja el inicio de sesión del propio operador. El portal del operador es donde se quitan los bloqueos y se generan los PIN.1923 Protéjalo con una aplicación autenticadora o una llave de seguridad, y no deje que sus códigos de recuperación lleguen por texto a la línea que controla.
5. Saque el número de la empresa de la verificación en dos pasos por SMS. Empiece por el correo, el banco, la nómina, el registrador de dominios, el proveedor de DNS y el propio operador, y pásenlos a una aplicación autenticadora o una llave de seguridad, como aconseja el FBI ("physical security tokens, or standalone authentication applications", es decir, llaves físicas de seguridad o aplicaciones de autenticación independientes).15 Cuando un servicio solo ofrezca SMS, use un número aparte, no publicado y bloqueado, nunca la línea publicada.
6. Acuerde con el banco un procedimiento de verificación que no dependa de un solo número. El FBI dice que hay que verificar los cambios por un canal secundario.17 Pida que el banco llame a una persona concreta a un número que no sea la línea publicada, y use una frase de seguridad o una confirmación en la aplicación para transferencias grandes.
7. Limite quién puede hablar con el operador en su nombre. Elimine a antiguos empleados y usuarios autorizados viejos. En AT&T, los usuarios primarios y secundarios pueden cambiar el bloqueo;19 en Verizon, los titulares y administradores de la cuenta;22 en T-Mobile, solo el titular principal puede quitar la protección.24 Mantenga esa lista corta.
8. Esté atento a las señales de alerta. Un teléfono que de pronto muestra "sin servicio" o solo llamadas de emergencia mientras los demás cerca tienen señal; un texto o correo sobre un cambio de SIM, una solicitud de portabilidad o un PIN de transferencia que usted no pidió; clientes que dicen que las llamadas no le llegan. En Rogers el texto de confirmación le da 90 minutos;35 asegúrese de que alguien vigile la línea que lo recibe.
9. Escriba ya el plan de incidentes. El número de fraude del operador y su número de cuenta, guardados en un lugar que no dependa del teléfono secuestrado, y la línea de fraude del banco. Tras una transferencia fraudulenta, dice el FBI, "time is of the essence" (el tiempo es esencial).17
10. Revise una vez al año. La FCC ordena a los operadores revisar su autenticación "not less than annually" (al menos una vez al año).2 Haga lo mismo: quién tiene la cuenta, qué bloqueos están activos y qué servicios aún envían códigos por texto al número de la empresa.

Si su número deja de funcionar

Un SIM swap o un port-out es una carrera. El atacante solo necesita unos minutos para recoger códigos de acceso una vez que el número es suyo.

1. Llame al operador desde otro teléfono, reporte un posible SIM swap o una portabilidad fraudulenta, y pida que lo reviertan, congelen la cuenta y anoten la hora.
2. Llame a la línea de fraude de su banco y dígales que no confíen en ese número hasta que usted lo confirme. Si ya se movió dinero, el FBI indica "Immediately contact your financial institution and request a recall of the funds" (comuníquese de inmediato con su institución financiera y solicite la devolución de los fondos).17
3. Desde un dispositivo limpio, cambie contraseñas y segundos factores, primero el correo (puede restablecer todo lo demás), luego la banca, la nómina, el registrador y el portal del operador.
4. Denúncielo. En EE. UU., el FBI pide a las víctimas presentar una queja ante el IC3 "as soon as possible" (lo antes posible).17 En Canadá, Rogers remite a las víctimas a la policía y al Centro Antifraude de Canadá, además de su banco, los emisores de tarjetas y las agencias de crédito.36
5. Obtenga documentación. Pida al operador, por escrito, un registro del cambio fraudulento. El texto adoptado por la FCC obligaría a los operadores a "Promptly provide customers, upon request, with documentation of fraudulent number ports" (proporcionar con prontitud a los clientes, a solicitud, documentación de las portabilidades fraudulentas),1 pero mientras no se anuncie una fecha de cumplimiento, eso es una petición, no un derecho.

Nuestra opinión: dónde está el vacío regulatorio

La orden de la FCC de 2023 es sólida en lo esencial: reglas de base, un bloqueo gratuito, aviso antes del cambio y una autenticación de cambios de SIM que no puede apoyarse en "readily available biographical information" (información biográfica fácilmente disponible) ni en "recent payment information" (información de pagos recientes), que es justamente como tienen éxito estos ataques.2 Nuestras cuatro críticas se apoyan en el registro anterior.

1. Una regla terminada espera un trámite administrativo. La OMB terminó su revisión el 15 de enero de 2025.67 La orden de 2024 decía que el paso restante era un aviso en el Federal Register con la fecha de cumplimiento.4 No ha aparecido, de modo que ni siquiera las partes que nunca necesitaron revisión de la OMB son exigibles todavía.23 En 2024 la Oficina rechazó la solicitud de la industria de un aplazamiento mayor, citando "the urgency of addressing these types of pernicious fraudulent schemes" (la urgencia de abordar este tipo de esquemas fraudulentos perniciosos).4 Veintiún meses después de la aprobación de la OMB, esa urgencia cuesta verla en el CFR.

2. El alcance sigue el expediente de 2021, no dónde viven hoy los números de las empresas. La FCC limitó las reglas a los operadores móviles porque "the record shows that port-out fraud is focused on mobile wireless customers" (el expediente muestra que el fraude de port-out se concentra en los clientes móviles inalámbricos).1 El número publicado de una pequeña empresa suele estar hoy en un sistema telefónico en la nube o una línea VoIP, donde la verificación de portabilidad es una lista corta de campos con el código de acceso opcional por defecto,13 y ninguna regla específica gobierna un cambio de desvío de llamadas hecho en un portal en línea. Creemos que la pregunta del Further Notice sobre extender las limitaciones de acceso de los empleados "to all telecommunications carriers" (a todos los operadores de telecomunicaciones)11 debería ampliarse a la autenticación de port-out y los bloqueos para números VoIP y de línea fija. Los proveedores de VoIP interconectado ya cuentan como "telecommunications carriers" para el subapartado de CPNI.12

3. La debilidad real está en las empresas que confían en el número de teléfono. La FCC reconoció que "the harmful effects of SIM swap and port-out fraud may extend beyond the control of wireless providers and that the incentives to engage in such fraud implicate the security practices of other industries" (los efectos dañinos del SIM swap y del fraude de port-out pueden ir más allá del control de los proveedores inalámbricos, y los incentivos para cometer ese fraude involucran las prácticas de seguridad de otras industrias).1 Luego se limitó, razonablemente, a lo que está dentro de su propia autoridad.1 Pero mientras bancos, proveedores de correo y registradores acepten un texto a un número de teléfono como prueba de identidad, los operadores cargan con un peso que no pueden resolver del todo. El NIST ya dio su respuesta: los códigos entregados por teléfono son "restricted" (restringidos).18 El paso pendiente es que esas partes que dependen del número dejen de convertir la línea publicada de la empresa en la llave de la cuenta.

4. El enfoque de Canadá funcionó, hasta donde alguien de afuera puede saber, pero no se puede comprobar. Una caída del 95% entre octubre de 2020 y mayo de 2021 es un resultado contundente.31 Pero las medidas son confidenciales,30 ya no se reportan los conteos mensuales pequeños,33 y no hay una regla pública que una empresa pueda citar en una disputa. La confidencialidad tiene cierta justificación para los detalles técnicos, ninguna para lo básico: si existe un bloqueo de cambios de SIM, si es gratuito y si un operador debe documentar una transferencia fraudulenta. Una breve base pública del CRTC, en la línea de los párrafos de bloqueo, aviso y remediación de la FCC, le costaría poco a la industria.

Mientras tanto, la protección está en sus manos: bloquee cada línea, agregue un código de acceso donde las reglas lo dejan opcional, y saque el número de la empresa de la lista de cosas que prueban quién es usted. Para mover un número de forma legítima, vea nuestra guía de portabilidad y el artículo extenso how long does it take to port a phone number (en inglés).