Me cambiaron el chip y me sacaron plata del banco: ¿qué hacer y quién responde?

El teléfono se queda sin señal sin explicación y, cuando vuelve, entran de golpe los avisos de transferencias, avances y hasta un crédito que nadie pidió. Se llama SIM swap y tiene dos responsables posibles: el banco que no detuvo operaciones anómalas y la compañía que entregó la línea sin verificar quién la pedía. Qué hacer en las primeras horas y qué exigir por escrito.

El teléfono marca “Sin servicio”. No hay corte en el sector, no se está en un subterráneo y reiniciar el aparato no cambia nada. Horas después, cuando la línea vuelve, entran de golpe los avisos: una transferencia, un avance en efectivo, a veces un crédito de consumo que nadie solicitó. Ese silencio no fue una falla de cobertura. Fue el rato en que otra persona tuvo el número.

El fenómeno tiene nombre y tiene cifras. En su informe técnico sobre fraude en medios de pago, publicado en julio de 2025, el SERNAC analizó los 9.899 reclamos por fraude que recibió durante 2023 y encontró que la suplantación de identidad concentra el 24% de ellos. El mismo informe dedica un apartado propio a los fraudes que se originan a través de la portabilidad numérica fraudulenta, y el organismo publicó después una guía específica sobre SIM swapping.

Esta guía trata de tres cosas: qué hacer en las primeras horas, por qué el titular no pierde la protección aunque los códigos hayan llegado a su propio aparato, y contra quién se reclama. Porque aquí hay dos responsables posibles, y conviene no soltar a ninguno.

¿Qué es un SIM swap y en qué se diferencia de una portación y de un duplicado de chip?

Un SIM swap es el secuestro del número de teléfono. El delincuente consigue que la línea funcione en un chip que él controla y, desde ese instante, recibe las llamadas, los mensajes y los códigos de verificación que el banco envía.

En la conversación corriente esto se llama clonación del chip o robo del número, y conviene precisar el punto: no se clona nada ni se copia la tarjeta. La línea se traslada, deja de funcionar en el aparato del titular y empieza a funcionar en el del delincuente, que desde ahí monta la estafa. Es, en el fondo, un robo de identidad ejecutado sobre una línea telefónica.

Hay tres caminos técnicos distintos, y la diferencia importa porque determina a quién se reclama.

Portación fraudulenta. El número se lleva a otra compañía haciéndose pasar por el titular. El régimen viene de la Ley N° 20.471, que creó el organismo implementador de la portabilidad numérica, y del reglamento dictado por el Ministerio de Transportes y Telecomunicaciones. Desde el Decreto N° 6, publicado el 5 de noviembre de 2024, ese reglamento lo dice sin rodeos: es responsabilidad de la proveedora receptora la adecuada verificación de la identidad de quien pide la portación. El mismo decreto incorporó un mecanismo de anulación de la portabilidad cuando la receptora detecta situaciones no imputables al suscriptor, y puso en cabeza de ambas compañías la restitución de las condiciones técnicas y comerciales previas.

Duplicado o cambio de chip dentro de la misma compañía. Aquí no cambia el operador: el delincuente pide un chip nuevo para una línea que no es suya. Buena parte de los casos son de este tipo y no de portación, lo que importa mucho, porque tanto la trazabilidad como la responsabilidad quedan en la propia compañía del titular. La Resolución Exenta N° 566, de 2024, de la Subsecretaría de Telecomunicaciones exige, para toda activación de una tarjeta SIM y sin importar si el trámite fue presencial, telefónico o virtual, al menos uno de tres estándares: biometría de huella dactilar viva, biometría facial con detección de vida o firma electrónica avanzada. Y añade lo que en un juicio termina siendo decisivo: el resultado de esa verificación debe ingresar de forma automática al sistema comercial del proveedor, sin intervención de personas, y solo un resultado correcto permite continuar. Externalizar la atención no libera de esa obligación.

Activación de una eSIM. La misma operación sobre una SIM digital, en otro equipo y sin chip físico de por medio.

En los tres casos el resultado es idéntico: el titular se queda sin señal y el delincuente empieza a recibir sus códigos.

¿Por qué quedarse sin señal es la primera alerta y qué hacer en las primeras horas?

Cuando la línea muere sin explicación, y reiniciar no la devuelve, hay que sospechar de inmediato. Ese silencio es exactamente la ventana en que el delincuente opera, y suele durar poco.

En los primeros minutos. Llamar a la compañía desde otro teléfono. Pedir el bloqueo de la línea y la reversión de la portación o del cambio de chip, y anotar la hora y el número de atención. En paralelo, entrar al banco desde otro dispositivo y por una red distinta de la del celular comprometido.

En las primeras horas. Dar el aviso de bloqueo por fraude al banco, marcando 1212 desde cualquier teléfono del país o por la línea de emergencias de la entidad, y exigir el folio con fecha y hora. Después, presentar el reclamo formal desconociendo las operaciones, con la declaración jurada simple que se exige para eso. Ese reclamo es el que hace correr los plazos de devolución, así que no conviene esperar a tener reunido el resto. Cambiar además las claves del correo y de la banca, desde un equipo que no sea el afectado.

En los primeros días. Presentar la denuncia penal ante Carabineros, la Policía de Investigaciones, el Ministerio Público o un tribunal con competencia penal, y entregar el respaldo al banco. Aquí hay dos relojes que conviene no confundir: el respaldo debe llegar antes de que venza el plazo de restitución y, si llega después, el banco retiene los fondos y dispone de 24 horas desde su presentación para devolverlos. Y existe un tope: si transcurren 30 días corridos desde el reclamo sin que se acompañe la denuncia, la ley entiende que el usuario se retracta y la devolución no procede. En esos mismos días hay que solicitar por escrito los registros, tanto al banco como a la compañía, y recuperar el chip legítimo.

Sobre el reclamo, dos datos que deciden casos completos. Se presenta dentro de los 30 días hábiles siguientes al aviso, y puede comprender las operaciones de los 60 días corridos anteriores a ese aviso. Esa ventana hacia atrás es la que salva a quien descubre el fraude tarde, que en un SIM swap es lo habitual: el titular estuvo sin señal y sin notificaciones justo mientras ocurría todo.

¿Por qué la culpa no es del titular si los códigos llegaron a su teléfono?

Aquí está el corazón del asunto, y es donde los bancos suelen apoyar su negativa.

La autenticación reforzada de clientes descansa en factores que deben ser independientes: algo que se sabe, algo que se tiene y algo que se es. El problema es que hoy el mensaje con el código, la aplicación del banco, la biometría y el correo de recuperación viven todos en el mismo aparato. Un chip suplantado no derriba un factor: derriba varios a la vez, y con ellos la independencia que da sentido al modelo. El Reglamento Delegado (UE) 2018/389, que inspiró el diseño que se replicó en buena parte del mundo, lo formula así en su artículo 9: hay que garantizar que el quebrantamiento de uno de los elementos no comprometa la fiabilidad de los demás, y adoptar medidas específicas cuando varios de ellos se usan en un mismo dispositivo polivalente.

La guía técnica del NIST va en la misma dirección y conviene citarla con precisión, porque no dice lo que a veces se le atribuye. En su revisión de julio de 2025 clasifica el envío de códigos por la red telefónica como un autenticador restringido, con obligaciones concretas para quien lo usa: ofrecer al usuario al menos una alternativa no restringida, advertirle del riesgo y planificar la migración. Y recomienda, en términos de buena práctica y no de exigencia, que antes de enviar un código por esa vía se consideren indicadores de riesgo como el cambio de dispositivo, el cambio de SIM o la portación del número. Es una recomendación, no una obligación, pero describe con exactitud lo que un sistema diligente debería haber mirado.

Con todo, el argumento más fuerte no viene de fuera. La autenticación no libera al banco de su deber de monitoreo, y ese deber está escrito en la ley chilena. El artículo 6 de la Ley N° 20.009 obliga a los emisores a contar con sistemas de monitoreo que detecten las operaciones que no corresponden al comportamiento habitual del usuario, a tener procedimientos internos para gestionar las alertas que esos sistemas generan, a identificar patrones de potenciales fraudes y a establecer límites y controles en sus distintos canales. Son obligaciones autónomas: se incumplen aunque la clave se haya digitado correctamente. La Norma de Carácter General N° 538 de la Comisión para el Mercado Financiero, de junio de 2025, desarrolla esos estándares mínimos de seguridad, registro y autenticación, y sus casos de uso obligatorios de autenticación reforzada rigen desde julio de este año.

Traducido a lo concreto, un motor antifraude razonable debió marcar señales como estas: el enrolamiento de un teléfono nuevo, un cambio de SIM o una portación recientes, un cambio de clave seguido de transferencias, operaciones de madrugada, una dirección IP o una geolocalización inhabituales, avances en efectivo en un cliente que nunca los usa, transferencias consecutivas a beneficiarios nuevos y un crédito de consumo solicitado de forma remota. Ninguna de esas señales exige tecnología exótica. Todas constan en los registros del propio banco.

La Corte Suprema ha venido diciendo lo mismo. En enero de este año, en la causa Rol N° 38.510-2025, fijó el alcance del concepto de fraude y descartó que la ley exija la vulneración de los sistemas de seguridad del banco o distinga según el origen del engaño. Y en julio, en la causa Rol N° 51.579-2024, dejó firme la condena a Scotiabank a pagar $17.389.624 a un cliente al que le cursaron un crédito a su nombre y le vaciaron la cuenta en tres transferencias desde una dirección IP inhabitual, sin que el banco bloqueara ni alertara nada.

¿Contra quién se reclama: el banco o la compañía telefónica?

Contra los dos, por vías distintas. Ese reparto no es una estrategia: es la estructura misma del SIM swap, donde una empresa entrega el número y otra acepta lo que se hace con él.

Al banco se le reclama bajo la Ley N° 20.009. Dado el aviso oportuno, el emisor debe restituir, y si pretende eximirse alegando dolo o culpa grave del usuario, su único camino es acudir al Juzgado de Policía Local y acreditarlo allí. No puede decidirlo por su cuenta ni cerrar el caso con una carta. Mientras esa declaración judicial no exista, la obligación de restituir sigue vigente y su incumplimiento abre el reclamo ante el SERNAC, la denuncia infraccional por la Ley N° 19.496 y el recurso de protección.

Conviene decir también lo que juega en contra, porque enterarse tarde es caro. La ley permite al emisor suspender la restitución cuando reúne antecedentes suficientes, siempre que pida autorización al Juzgado de Policía Local dentro de un plazo breve, y contempla un catálogo de presunciones de dolo o culpa grave del usuario. Por eso importa tanto la calidad del relato y de la prueba desde el primer día: en un SIM swap el titular no entregó ninguna clave y ni siquiera controlaba su línea, y eso hay que dejarlo documentado antes de que la discusión se traslade al tribunal.

A la compañía telefónica se le reclama por otra cosa: por haber entregado la línea sin verificar quién la pedía. La obligación es expresa y recae en la proveedora receptora en la portación, y en la propia compañía cuando se trata de activar un chip nuevo. Sobre esa base operan el deber de seguridad y el deber de información de la Ley N° 19.496, con su denuncia infraccional y su acción indemnizatoria. El reclamo se presenta ante la compañía y ante Subtel, y la infracción se acredita, otra vez, con los registros que la propia empresa está obligada a conservar.

Y esto ya no es teoría. En mayo de este año la Corte de Apelaciones de Rancagua condenó con costas a Entel PCS Telecomunicaciones S.A. a pagar $2.000.000 por daño moral a una clienta cuyo número fue portado sin comprobar la identidad de la titular, lo que permitió que terceros tomaran el control de la línea y realizaran compras fraudulentas. El fallo, unánime, revocó en esa parte la sentencia de 12 de septiembre de 2024 del Juzgado de Policía Local de Santa Cruz, dictada en la causa rol 104.066-23, que había rechazado la demanda civil, y dejó firme la multa de 10 UTM a beneficio municipal por infracción a la ley del consumidor.

Lo que conviene retener es el razonamiento. La Corte descartó que el asunto se agotara en las molestias propias de un incumplimiento contractual, porque la consumidora perdió el control de su número, vio comprometida su seguridad digital y quedó expuesta a operaciones de terceros, todo ello, dice el fallo, derivado de una deficiente verificación y control por parte de la empresa proveedora del servicio. Y agregó lo que da la medida del daño: hoy el número telefónico da acceso a información privada relevante de orden comercial y social. Esa frase describe exactamente por qué un SIM swap no es un problema de telefonía.

¿Qué pruebas hay que exigir por escrito?

Esta es la parte que decide los casos, y la que casi nadie pide a tiempo. Conviene solicitarla por escrito, al banco y a la compañía, dejando constancia de la fecha:

• El registro de la solicitud de portación o de cambio de chip, con los medios de verificación de identidad empleados y su resultado.
• El historial de dispositivos y de enrolamientos asociados a la cuenta.
• Los registros de cambio de clave, con dirección IP y geolocalización.
• El puntaje de riesgo asignado a cada operación, las alertas que generó el motor antifraude, quién las revisó y qué se resolvió sobre ellas.
• Las grabaciones del centro de atención telefónica, tanto las del titular como las de quien llamó haciéndose pasar por él.
• La política de límites y umbrales aplicable a los productos afectados.

Si la respuesta es que esos registros no existen, esa respuesta también sirve: revela una falla de control en quien estaba obligado a conservarlos. Hay que dejarla por escrito y volver a pedir los mismos antecedentes en sede judicial.

¿Qué no se debe hacer?

• No repactar la deuda originada en el fraude.
• No firmar transacciones ni acuerdos extrajudiciales de desistimiento, en especial por montos inferiores a lo sustraído.
• No aceptar un crédito nuevo para cubrir lo defraudado. Puede leerse como un reconocimiento de la deuda.
• No discutir por teléfono lo que debe quedar por escrito, ni devolver la llamada al número desde el que llamaron.
• No dejar vencer los plazos, que corren desde el aviso y desde el reclamo, no desde que se aclare qué pasó.

¿Qué pasa si el banco rechaza el reclamo o demanda al cliente?

Puede ocurrir, y no es el final del camino. Varios bancos, antes de asumir el costo, demandan al propio cliente ante el Juzgado de Policía Local imputándole negligencia inexcusable. La víctima queda así convertida en demandada, y con frecuencia litigando en dos frentes.

Hay defensa. La carga de acreditar el dolo o la culpa grave es del banco, cada operación se juzga por separado y el solo registro de que se usaron las claves no basta para probar nada, porque en todo fraude por suplantación se usan las claves. En un SIM swap el punto es aún más claro: el titular no entregó ningún dato y estaba incomunicado mientras ocurrían las operaciones. Esa etapa la tratamos en detalle en qué hacer tras un fraude bancario y cómo defenderse cuando el banco demanda.

¿Qué hacer, ante quién y en qué plazo?

El banco debe restituir salvo que acredite dolo o culpa grave del usuario ante el Juzgado de Policía Local. Ese es el orden, y no se invierte porque la entidad lo afirme en una carta.

¿Cómo protegerse para que no vuelva a pasar?

• Poner un PIN a la tarjeta SIM, que es la protección más barata y la que casi nadie activa.
• Evitar el mensaje de texto como segundo factor donde exista alternativa, y preferir una aplicación autenticadora o una llave física.
• Activar todas las alertas del banco, incluidas las de enrolamiento de dispositivos y cambio de clave.
• Usar un correo de recuperación que no dependa del mismo teléfono.
• Ante una pérdida de señal sin explicación, no esperar: llamar a la compañía desde otro aparato y revisar la cuenta desde un equipo distinto.

Vale la pena añadir un dato reciente. Desde el 20 de agosto de este año rige la exigencia de registro e individualización de los usuarios de servicios telefónicos que incorporó la Ley N° 21.729 a la Ley General de Telecomunicaciones, que alcanza también a las líneas de prepago y asocia cada número a una identidad y a los identificadores del equipo. No impide el fraude, pero mejora la trazabilidad de quien recibió el chip, que es justo lo que faltaba en la mayoría de estas investigaciones.

Dos frentes, y ninguno se cierra solo

El SIM swap se ve como un problema de tecnología y termina siendo un problema de verificación de identidad: alguien entregó una línea a quien no era su titular y alguien más aceptó como propias las operaciones que vinieron después. La ley reparte esas dos responsabilidades y no obliga a elegir entre ellas.

Lo que sí decide el resultado es lo que se hace en las primeras horas: el folio del aviso, el reclamo presentado a tiempo, la denuncia con su respaldo y la solicitud escrita de los registros. Ninguna de esas cuatro cosas es difícil de obtener el primer día. Todas son imposibles de fabricar después.

Este artículo tiene carácter general e informativo y no constituye asesoría jurídica para un caso concreto. La normativa y la jurisprudencia citadas deben verificarse en su versión vigente antes de adoptar decisiones. Si le cambiaron el chip o portaron su línea sin autorización y con eso operaron en sus cuentas, contáctenos para revisar su situación en nuestra área de Fraude Bancario.