El número de teléfono se ha convertido en una pieza fundamental de nuestra identidad digital. Además de permitirnos comunicarnos, está vinculado a aplicaciones de mensajería, redes sociales, servicios bancarios y sistemas de verificación y recuperación de contraseñas. Esta conexión con buena parte de nuestra actividad en Internet hace que también sea un dato de interés para los ciberdelincuentes, que pueden utilizarlo como punto de partida para diferentes ataques y estafas.

La dimensión de este tipo de amenazas se refleja en los últimos datos publicados por el Ministerio para la Transformación Digital y de la Función Pública. Durante el primer semestre de 2026, el 40% de las consultas realizadas por la ciudadanía al servicio 017 de INCIBE estuvo relacionado con estafas de suplantación de identidad a través de llamadas telefónicas (vishing), SMS (smishing) o correos electrónicos (phishing).

Sin embargo, conocer el número de móvil de una persona no implica tener acceso a su dispositivo, sus conversaciones de WhatsApp o sus cuentas bancarias. Para conseguirlo, los atacantes necesitan obtener información adicional, aprovechar fallos de seguridad o engañar a la víctima para que facilite determinadas credenciales o códigos de acceso.

“Un número de teléfono, por sí solo, no permite acceder a las cuentas de una persona, pero puede ser el primer paso de un ataque más elaborado”, explica Josep Albors, responsable de Investigación y Concienciación de ESET. “Los ciberdelincuentes pueden combinarlo con información obtenida de redes sociales o filtraciones de datos para preparar engaños mucho más creíbles. En muchos casos, el objetivo es conseguir que sea la propia víctima quien les proporcione el acceso que necesitan”.

Cuatro formas en las que los ciberdelincuentes pueden aprovechar tu número de teléfono

Desde ESET identifican cuatro riesgos principales asociados a la exposición de este dato personal:

1. Recopilar información personal para preparar ataques más creíbles: Mediante búsquedas en Internet, redes sociales, plataformas de compraventa o bases de datos filtradas, los ciberdelincuentes pueden intentar asociar el número de teléfono con un nombre, una dirección de correo electrónico, perfiles personales u otros datos. Esta información les permite construir un perfil de la víctima y personalizar sus engaños, aumentando las posibilidades de que una comunicación fraudulenta resulte convincente.
2. Suplantar la identidad de empresas y organismos mediante llamadas o mensajes: Los atacantes pueden contactar directamente con la víctima a través de llamadas, SMS o WhatsApp. Es habitual que estos engaños recurran a la suplantación de entidades bancarias, empresas de mensajería, organismos públicos o servicios conocidos. Por ejemplo, un SMS que alerta de un supuesto problema con un paquete, una llamada que advierte de movimientos sospechosos en una cuenta bancaria o un mensaje que solicita actualizar datos personales. El objetivo es generar confianza o urgencia para conseguir contraseñas, información bancaria, códigos de verificación o que la víctima acceda a una página fraudulenta.
3. Intentar hacerse con el control de WhatsApp y otras cuentas: Muchos servicios digitales utilizan el número de teléfono para verificar la identidad de sus usuarios o recuperar el acceso a una cuenta. Los ciberdelincuentes pueden aprovechar estos mecanismos para intentar registrar una cuenta de WhatsApp en otro dispositivo, provocando que la víctima reciba un código de verificación que no ha solicitado. A continuación, pueden contactar con ella haciéndose pasar por un conocido que ha enviado el código por error o por un supuesto servicio de soporte técnico. Si la víctima comparte ese código, el atacante podría hacerse con el control de la cuenta y utilizarla para solicitar dinero a sus contactos, difundir enlaces fraudulentos o preparar nuevas estafas.
4. Conseguir un duplicado fraudulento de la tarjeta SIM: Esta técnica, conocida como SIM swapping, consiste en suplantar la identidad del titular de una línea para conseguir que el operador transfiera su número a otra tarjeta SIM. Si el atacante logra completar el proceso, puede recibir las llamadas y los SMS dirigidos a la víctima, incluidos los códigos de verificación de aquellos servicios que todavía utilizan este sistema de autenticación. Combinado con otras credenciales comprometidas, esto puede facilitar el acceso a cuentas personales y la realización de operaciones fraudulentas. Una señal de alerta especialmente importante es que el teléfono pierda repentinamente la cobertura móvil sin una causa aparente.

Cómo evitar que tu número de teléfono se convierta en una puerta de entrada a tus cuentas

Ante estos riesgos, los expertos de ESET recomiendan adoptar una serie de medidas preventivas para reducir las posibilidades de sufrir una estafa o un robo de identidad:

• No compartir nunca códigos de verificación. Los códigos recibidos por SMS o mediante aplicaciones de autenticación son personales. No deben facilitarse a terceros, aunque quien los solicite afirme ser un familiar, un conocido o el servicio técnico de una plataforma.
• Desconfiar de llamadas y mensajes inesperados. Si alguien solicita información personal, contraseñas o datos bancarios, es importante interrumpir la comunicación y contactar directamente con la entidad a través de sus canales oficiales. También conviene desconfiar de los enlaces incluidos en mensajes que transmiten una urgencia injustificada.
• Reforzar la seguridad de las cuentas. Activar la autenticación en dos pasos y, siempre que sea posible, utilizar aplicaciones de autenticación, claves de acceso (passkeys) o llaves de seguridad en lugar de códigos por SMS. En WhatsApp, también es recomendable habilitar la verificación en dos pasos mediante un PIN adicional.
• Limitar la exposición de información personal. Revisar los ajustes de privacidad de las redes sociales y las aplicaciones de mensajería, así como evitar publicar innecesariamente el número de teléfono junto a otros datos que permitan identificar al usuario.
• Actuar rápidamente ante cualquier señal sospechosa. Si el móvil pierde la cobertura de manera inesperada, es recomendable contactar con el operador para comprobar si se ha realizado un duplicado de la SIM o algún cambio no autorizado. Si se detectan accesos indebidos o movimientos bancarios sospechosos, también se debe avisar a los servicios afectados, proteger las cuentas y presentar la denuncia correspondiente.

“La clave está en no dar por legítima una comunicación simplemente porque quien nos contacta conoce nuestro número, nuestro nombre o algún otro dato personal. Los ciberdelincuentes utilizan precisamente esa información para ganarse nuestra confianza. Verificar las solicitudes por canales oficiales y proteger adecuadamente los sistemas de recuperación de cuentas puede evitar que un dato tan cotidiano como el número de teléfono termine siendo utilizado para cometer un fraude”, concluye Albors.