Imagina que un día tu línea telefónica deja de funcionar. Al mismo tiempo, empiezas a recibir notificaciones de intentos de compra a través de tu aplicación bancaria, así como de cambios de contraseñas de redes sociales y correos electrónicos. Poco tiempo después, amistades y familiares te contactan, pues están recibiendo fotografías íntimas tuyas, las cuales, además, han sido publicadas en tus redes.
Ante la preocupación, acudes a la empresa de telefonía para revisar lo que está sucediendo. En el lugar, te mencionan que una persona que no conoces reemplazó la SIM de tu teléfono y obtuvo una copia de esta.
Esto no es ficción: se llama SIM Swapping y es un tipo de fraude que ha cobrado relevancia en los últimos años. Le sucedió a una mujer mexicana, quien recientemente obtuvo una victoria significativa en la Suprema Corte de Justicia de la Nación.
En los amparos directos 25/2024 y 26/2024, el Pleno de la Corte determinó que las empresas de telefonía tienen responsabilidad cuando dicha conducta derivó en un indebido tratamiento de datos personales, lo que condujo, a su vez, a la falta de verificación adecuada de la persona titular de la línea telefónica.
De acuerdo con la Policía Cibernética de la Ciudad de México, el SIM Swapping consiste en una suplantación de identidad realizada mediante la apropiación de un número telefónico. En términos generales, la persona delincuente solicita la cancelación y reposición de la tarjeta SIM de la víctima, haciéndose pasar por esta mediante documentación falsa o adulterada. Una vez que la tarjeta original es desactivada y la nueva es entregada al solicitante, es decir el delincuente, este obtiene control sobre la línea telefónica.
Con ello, puede acceder a información personal, recibir códigos de verificación y restablecer contraseñas de distintas aplicaciones –redes sociales, bancarias, correos electrónicos, entre otros–, ya que el número celular suele utilizarse como mecanismo de recuperación o autenticación de cuentas.
Si bien no existen datos oficiales suficientes sobre el número de fraudes cometidos bajo esta modalidad, sí hay información reveladora sobre su impacto. En México, el entonces Instituto Federal de Telecomunicaciones realizó un informe con datos de distintas autoridades y encontró, respecto de aquellas que contaban con información específica, que en el Estado de México se denunciaron, entre 2021 y 2022, 5,737 casos de suplantación de identidad ante la Fiscalía General del Estado. En el mismo periodo, Baja California Sur registró 2,004 casos y Aguascalientes 1,921.
Asimismo, el informe respectivo señala que la Guardia Nacional reportó 3,624 casos de suplantación de identidad entre 2020 y 2023. Además, la Condusef informó que, mediante el procedimiento especial de Posible Robo de Identidad –PORI–, diseñado especialmente para atender estos casos, registró 14,132 asuntos de 2019 a 2022.
Las resoluciones de la Corte, si bien resultan pioneras al atender por primera vez este tipo de conductas delictivas, también implican una reflexión respecto de un fenómeno reciente y cada vez más regulado: la responsabilidad de las empresas por violaciones a derechos humanos.
De esta manera, las sentencias en comento advierten la importancia de que las empresas garanticen altos estándares de debida diligencia en sus operaciones. Al respecto, los Principios Rectores sobre las Empresas y los Derechos Humanos de la ONU advierten la relevancia de que toda corporación cuente con procesos “de diligencia debida en materia de derechos humanos para identificar, prevenir, mitigar y rendir cuentas de cómo abordan su impacto sobre los derechos humanos”. No obstante, resulta más importante que el Estado regule lo anterior a efecto de prevenir impactos adversos en la dignidad de las personas.
En este contexto, la Corte concluyó que la compañía demandada actuó negligentemente, al autorizar la reposición de la tarjeta SIM, entregarla y vincularla a la línea telefónica de la víctima sin haber agotado un procedimiento adecuado de verificación de identidad. Además, consideró que existió un tratamiento deficiente de los datos personales de la persona usuaria.
La relevancia de esta decisión radica en el doble mensaje que envía la Suprema Corte. Primeramente, que las empresas de telefonía celular, así como cualquier otra, tienen el deber de implementar medidas eficaces para evitar la suplantación de identidad, reforzar la protección de datos personales de personas usuarias, y responder por los daños que ocasionen sus actuaciones negligentes.
En segundo lugar, que, ante su indebida diligencia, las empresas pueden ser responsables por violaciones a derechos humanos. Derivado de ello, y a efecto de lograr un mayor nivel de protección, el Estado debe impulsar medidas que reflejen los más altos estándares adoptados a nivel internacional.
En un entorno cada vez más digitalizado, la protección de las y los usuarios no solo depende de su propia diligencia, sino también de los mecanismos que implementen aquellas instituciones que administran la infraestructura que hace posible nuestra vida en entornos virtuales. El SIM Swapping no implica solo la pérdida de un número telefónico, sino la de nuestra identidad digital, privacidad e, incluso, el patrimonio.
Ministro de la Suprema Corte de Justicia de la Nación