SIM swapping: quién responde cuando duplican tu chip y vacían tu cuenta

Maria Luján Lihuen Díaz
20 ago
5 min de lectura

*Por María Lujan Lihuen Díaz

La Cámara de Apelación en lo Civil y Comercial de Junín confirmó la condena solidaria de una empresa de telefonía móvil y de un banco por la sustracción de $19.200.000 de la cuenta de una usuaria, después de que un tercero duplicara su tarjeta SIM. El fraude en sí no está en discusión, el fallo se concentra en qué controles debía tener cada proveedor, y en por qué el hecho del tercero no las libera de responsabilidad.

Un chip duplicado y siete transferencias

El 26 de septiembre de 2024, entre las 15 y las 16 horas, alguien solicitó el cambio de la tarjeta SIM asociada a la línea de A. D. El trámite se hizo bajo la modalidad de autogestión, a través del cual el sistema valida la identidad con el número de trámite del DNI y una serie de preguntas personales aleatorias, cuyas respuestas se contrastan con una base de datos externa. Quien lo pidió respondió correctamente y el chip se activó de manera automática.

Con la línea bajo su control, el tercero pasó a recibir los mensajes dirigidos a la usuaria y desde la cuenta bancaria de ella se ordenaron siete transferencias a cinco cuentas de una billetera virtual, en un lapso breve y por un total de $19.200.000. La propia empresa de telefonía, al informar en la causa penal, reconoció que la operación resultaba compatible con un fraude de SIM swapping y la revirtió.

La usuaria reclamó primero ante la OMIC, donde el banco le restituyó $9.600.000 en concepto de "gesto comercial". Luego demandó a la empresa de telefonía, que citó al banco como tercero. En noviembre de 2025, el Juzgado Civil y Comercial nro. 3 de Junín condenó solidariamente a ambas por $19.200.000 en concepto de daño emergente, $5.760.000 por daño moral y el equivalente a cuatro canastas básicas totales para el hogar 3 del INDEC en concepto de daño punitivo, con intereses y costas. Las dos apelaron y el 30 de junio de 2026, la Cámara confirmó la sentencia en todos sus términos.

Qué es el SIM swapping

La tarjeta SIM identifica al usuario dentro de la red de telefonía móvil, quien consigue que esa identificación se traslade a un chip propio se apropia de la línea, y en consecuencia recibe las llamadas y los mensajes ajenos.

El problema excede a la telefonía, ya que el número de celular funciona hoy como llave de acceso a cuentas bancarias, billeteras virtuales, correos y redes sociales, porque el mensaje de texto opera como segundo factor de autenticación.

La maniobra fraudulenta no necesita vulnerar la seguridad del banco, alcanza con apoderarse de la pieza que el banco eligió para verificar la identidad de su cliente. Hace falta, en definitiva, una empresa que entregue la línea sin verificar bien quién la pide, y un sistema financiero que acepte esa línea como prueba suficiente de identidad. El fallo se ocupa de las dos.

Una misma obligación de seguridad, dos proveedores

La Cámara encuadra el caso en la relación de consumo y en la obligación de seguridad de los artículos 5 y 6 de la ley 24.240. Es una obligación de resultado, que se incorpora a ambos contratos por el principio de buena fe y genera responsabilidad objetiva, siendo que el proveedor solo se libera demostrando que la causa del daño le fue ajena.

Respecto de la empresa de telefonía, el tribunal recuerda la ley 25.891 de servicios de comunicaciones móviles, que impone registrar y sistematizar los datos que permitan identificar con claridad a los usuarios, y el artículo 9 de la ley 25.326 de protección de datos personales, que obliga a adoptar medidas contra la adulteración o el tratamiento no autorizado de la información. Sobre todo, invoca la Resolución 263/2023 del ENACOM, que exige revalidar la identidad de quien pide un cambio de SIM mediante datos biométricos con prueba de vida y, cuando ello no sea posible, mediante mecanismos de validación de múltiples pasos o factores. Frente a ese estándar, una trivia de preguntas personales no alcanza, son datos que circulan en filtraciones y bases comerciales.

Respecto del banco, el razonamiento parte de una premisa simple, quien impulsa la banca electrónica por las ventajas económicas y operativas que le reporta no puede trasladar sus riesgos al usuario, que es la parte más débil del sistema. La normativa del Banco Central (A 7224, del 10/3/2023), exige establecer y revisar perfiles de comportamiento de los usuarios y correlacionar eventos para identificar actividad sospechosa o inusual. Siete transferencias a distintos destinatarios, en minutos y por montos elevados, describen con precisión el patrón que ese monitoreo debe detectar.

El hecho del tercero no siempre es ajeno

Las dos defensas apuntaron a la otra. Por un lado, la telefónica sostuvo que el despojo se consumó dentro del sistema bancario. Asimismo, el banco replicó que, según la pericia informática, si se utilizan credenciales válidas obtenidas por fraude, el sistema interpreta la operación como legítima y no puede detectarla.

Ese argumento merece detenerse. Distinguir credenciales verdaderas de falsas no era, en rigor, la función que le cabía al banco, su deber pasaba por advertir un comportamiento anómalo en una cuenta cuyo perfil tenía a su alcance. Que la autenticación haya funcionado nada dice sobre el monitoreo, que es un control distinto y posterior. La Cámara lo resuelve señalando que el perito explicó correctamente las particularidades técnicas de la maniobra, pero que de su dictamen no surge eximente alguno.

El artículo 1731 del Código Civil y Comercial exige que el hecho del tercero reúna los caracteres del caso fortuito para interrumpir el nexo causal. El tribunal concluye que la maniobra era previsible y evitable con las medidas que cada proveedora debía adoptar. Previsible, porque el SIM swapping estaba descripto en normas regulatorias dictadas antes del hecho. Evitable, porque esas mismas normas indican cómo.

La seguridad como prestación, no como advertencia

El fallo de Junín aplica deberes que ya existían y que, sencillamente, no se cumplieron. Su valor está en mostrar que la seguridad de un servicio digital se mide en controles verificables en el punto exacto donde el fraude ocurre, y no en recomendaciones al usuario ni en cláusulas de exención.

*Abogada (UNLaM) y Auxiliar Letrada del Juzgado Correccional N.º 4 del Departamento Judicial de La Matanza, con trayectoria en el ámbito judicial penal desde 2008. Magíster con Diploma de Honor en Derecho Penal y Diplomada en Derecho Constitucional Profundizado por la Universidad Austral, Posgrado en Teoría del Delito en casos en la Universidad Pompeu Fabra de Barcelona, Posgrado en Derecho Constitucional Judicial (UBA), Posgrado Criptoactivos en Investigaciones Criminales (UBA), Cursos sobre teoría del delito en la Asociación Pensamiento Penal y sobre reglas de admisión de la prueba y litigio de instrucciones en juicio por jurados (UDE). Actualmente cursando la Maestría en Justicia Constitucional y Derechos Humanos de la Universidad de Bologna y autora de publicaciones doctrinarias sobre derecho penal, principio de legalidad, violencia de género, compliance y activos virtuales.