Un empleado de AT&T en Portland, condenado a 16 meses por hacer SIM swapping

Kenneth Carter, de 44 años, ex trabajador de una tienda de AT&T en Portland (Oregón), ha sido condenado a 16 meses de prisión federal por usar su acceso a los sistemas de la operadora para hacer SIM swapping a clientes y ceder sus números a una banda que después saqueaba sus cuentas bancarias. El esquema funcionó entre mayo de 2018 y noviembre de 2019 y buscó hacerse con casi 600.000 dólares, según los documentos judiciales.

Un eslabón dentro de la operadora

El SIM swapping consiste en llevarse el número de teléfono de alguien a un dispositivo que controla el atacante. Carter tenía la llave de esa puerta: podía reasignar líneas desde dentro de AT&T. Un cómplice al que las actuaciones se refieren como el conspirador número uno identificaba víctimas con banca online, reunía sus datos personales y se los pasaba a él. Otros dos entraban en la tienda haciéndose pasar por el titular de la línea y Carter movía el número a un teléfono que ellos controlaban, normalmente un plegable barato. Desde ahí interceptaban los códigos de doble factor enviados por SMS y los mensajes de restablecimiento de contraseña, y los reenviaban al cabecilla, que entraba en las cuentas bancarias.

Los fiscales describieron el papel de Carter como "instrumental" para el entramado. Los documentos mencionan además a un familiar sin identificar que pasaba de vez en cuando los códigos de autenticación al conspirador principal.

El dinero

Las tres víctimas identificadas suman unas pérdidas previstas de 593.963,77 dólares. Solo una perdió dinero de verdad: 99.528,33 dólares transferidos a una cuenta bancaria portuguesa. Los intentos con las otras dos, de 247.652,74 y 246.782,70 dólares, los bloquearon los controles antifraude de sus bancos.

Según la acusación, Carter cobraba entre 1.000 y 2.000 dólares por cada swap; él sostiene que ingresó menos de 4.000 en total. El registro de su vivienda en noviembre de 2019 encontró copias de los datos personales que le habían entregado, incluido el número de la Seguridad Social de la única víctima a la que robaron el dinero. AT&T lo despidió ese mismo año. Se declaró culpable el 24 de marzo de 2026 de conspiración para cometer fraude electrónico y bancario. Además de los 16 meses, el juez Stanley Blumenfeld Jr. le ordenó pagar 99.528 dólares de restitución.

En una carta al juez, Carter describió lo suyo como "una situación puntual que de verdad fue un error", contó que un primo político le ofreció ganar un dinero extra y aseguró que creía que solo tenía que hacer su trabajo. La fiscalía respondió que no aportó pruebas de que desconociera el alcance de la operación ni de que su responsabilidad fuera menor que la del cabecilla.

Para quien administra sistemas, el caso vuelve sobre lo mismo: el doble factor por SMS sigue siendo el punto blando, y al atacante no le hace falta romper nada si tiene dentro a alguien con acceso a la herramienta adecuada. Permisos mínimos, alertas ante reasignaciones de línea y una lista corta de quién puede tocar el aprovisionamiento de números.