Por Canuto  

Un ex empleado de AT&T recibió 16 meses de prisión por utilizar su acceso interno para ejecutar SIM swaps que permitieron interceptar códigos bancarios. El esquema, activo entre 2018 y 2019, generó pérdidas potenciales de casi USD $600.000 y terminó con una orden de restitución.
***

  • Kenneth Carter realizó intercambios no autorizados de tarjetas SIM desde una tienda de AT&T en Portland, Oregón.
  • Tres víctimas enfrentaron pérdidas potenciales combinadas de USD $593.963,77, aunque solo una transferencia se concretó.
  • El juez ordenó al exempleado pagar USD $99.528 en restitución tras su declaración de culpabilidad.

Un ex empleado minorista de AT&T fue condenado a 16 meses de prisión federal por utilizar su acceso a los sistemas de la compañía para ejecutar intercambios fraudulentos de números telefónicos. Kenneth Carter, de 44 años, realizó los SIM swaps desde una tienda ubicada en Portland, Oregón, y permitió que una red criminal interceptara códigos de autenticación y mensajes de recuperación de cuentas bancarias. Según The Register, el esquema generó pérdidas potenciales combinadas de USD $593.963,77 para tres víctimas.

El caso muestra cómo una operación relativamente sencilla, apoyada en la manipulación de líneas móviles, puede convertirse en una amenaza directa para las cuentas financieras. Aunque Carter sostuvo que recibió menos de USD $4.000 por su participación, los fiscales afirmaron que el pago oscilaba entre USD $1.000 y USD $2.000 por cada intercambio de SIM ejecutado desde la tienda.

El SIM swapping consiste en transferir el número telefónico de una persona a una tarjeta SIM o dispositivo controlado por otra persona. Cuando una entidad bancaria envía un código de autenticación por SMS, el atacante puede recibirlo en el nuevo teléfono y utilizarlo para acceder a la cuenta, restablecer contraseñas o autorizar movimientos de fondos.

El mecanismo de la operación

Los documentos judiciales describen una estructura con al menos cuatro participantes, entre ellos Carter y tres cómplices. El Cómplice Uno, identificado como el principal hacker de la operación, buscaba víctimas con cuentas bancarias en línea, reunía sus datos personales y enviaba esa información a Carter para que pudiera reasignar sus números telefónicos.

Con el acceso que tenía por su empleo, Carter transfería los números de los clientes a teléfonos controlados por los delincuentes. En varios casos, los conspiradores utilizaban teléfonos plegables de bajo costo, una elección que les permitía recibir mensajes y códigos sin llamar la atención por el valor o las características del dispositivo.

Los Cómplices Dos y Tres ingresaban a la tienda y se hacían pasar por las víctimas cuyo número pretendían intercambiar. Carter completaba entonces la reasignación de la línea hacia el teléfono que ellos controlaban, una intervención que los fiscales consideraron instrumental para el funcionamiento del esquema.

Una vez activado el número en el dispositivo de los criminales, los códigos de autenticación de dos factores enviados por SMS dejaban de llegar al teléfono legítimo. Los cómplices retransmitían esos códigos al principal hacker, quien los utilizaba junto con los datos personales de las víctimas para ingresar a sus cuentas bancarias.

Pérdidas y controles antifraude

El Departamento de Justicia señaló que tres víctimas enfrentaron pérdidas potenciales combinadas de USD $593.963,77. Sin embargo, solo una sufrió un perjuicio económico confirmado, después de que los conspiradores transfirieran USD $99.528,33 hacia una cuenta bancaria en Portugal.

En los otros dos casos, los delincuentes intentaron mover USD $247.652,74 y USD $246.782,70, respectivamente. Los controles antifraude de las instituciones financieras bloquearon ambas transacciones, por lo que esas cantidades quedaron registradas como pérdidas previstas y no como fondos efectivamente sustraídos.

La diferencia entre el dinero intentado y el dinero robado ilustra el papel que todavía desempeñan los sistemas de monitoreo bancario frente a accesos inusuales. No obstante, el caso también evidencia que una cuenta puede quedar expuesta incluso cuando el atacante no conoce directamente la contraseña, si consigue apropiarse del canal utilizado para verificar la identidad.

Los documentos del acuerdo de culpabilidad incluyeron detalles de tres ataques de SIM swapping en los que Carter reconoció haber colaborado. Además, el exempleado admitió haber ejecutado otros intercambios no autorizados, aunque la información judicial no atribuyó una cifra total adicional a esas operaciones.

La defensa de Carter y la respuesta de los fiscales

La policía allanó la residencia de Carter en noviembre de 2019 y encontró copias de los datos personales que le habían entregado para realizar los intercambios. Entre ese material figuraba el número de Seguro Social de la víctima cuyo dinero sí fue transferido, un hallazgo que vinculó los documentos físicos con el ataque financiero exitoso.

AT&T despidió a Carter en una fecha no especificada de 2019, después de que el esquema ya hubiera operado durante varios meses. El caso se desarrolló entre mayo de 2018 y noviembre de 2019, periodo en el que el grupo combinó la información obtenida por el hacker con el acceso operativo disponible en la tienda.

Carter se declaró culpable el 24 de marzo de 2026 de conspiración para cometer fraude electrónico y fraude bancario. En una carta dirigida al juez federal Stanley Blumenfeld Jr., describió los hechos como “una situación aislada que realmente fue un error” y afirmó que actuó después de recibir una propuesta de un primo político para obtener dinero adicional.

El ex trabajador explicó que cuidaba de su suegra, quien pasaba gran parte del tiempo en una cama hospitalaria instalada en la sala familiar, y de dos hijas, una de ellas con esquizofrenia. También afirmó que le dijeron que no tendría que hacer nada más que cumplir con su trabajo y que, en ese momento, creía estar participando en una actividad inofensiva.

La sentencia y las consecuencias

En su carta, Carter sostuvo que no sabía que formaba parte de una red criminal ni que la actividad tenía un alcance interestatal. Añadió que solo comprendió la gravedad de lo ocurrido después de conocer qué hacían sus cómplices con los teléfonos plegables vinculados a cuentas de clientes.

Los fiscales federales rechazaron esa explicación y argumentaron que Carter no había presentado pruebas suficientes para demostrar que desconocía el alcance o la naturaleza del delito. También sostuvieron que su participación no era menor frente a la del hacker que coordinaba la operación, porque sin la reasignación de los números los demás integrantes no habrían podido recibir los códigos enviados por SMS.

El juez Blumenfeld Jr. impuso una pena de 16 meses de prisión federal y ordenó a Carter pagar USD $99.528 en restitución. La cantidad coincide prácticamente con los fondos transferidos a la cuenta bancaria portuguesa, que representaron la única pérdida económica confirmada entre los tres ataques descritos por los documentos judiciales.

La sentencia también deja una advertencia para las empresas de telecomunicaciones y los usuarios que todavía dependen de mensajes de texto como segundo factor de autenticación. El control sobre una línea móvil puede abrir la puerta a servicios financieros, correos electrónicos y procesos de recuperación de contraseñas, especialmente cuando un empleado utiliza indebidamente sus privilegios internos.

Para los clientes, el riesgo no se limita a recibir un mensaje sospechoso o a perder temporalmente la señal del teléfono. Una interrupción repentina del servicio, avisos de cambio de SIM o solicitudes inesperadas de restablecimiento pueden indicar que alguien intenta tomar el control del número y utilizarlo como llave de acceso a otros servicios.

El caso de Carter combina una vulnerabilidad tecnológica con una falla de controles internos: los criminales necesitaban datos personales y el empleado podía convertirlos en una línea activa bajo su control. La condena muestra que el beneficio económico individual de una operación clandestina puede ser muy inferior al daño financiero provocado y a las consecuencias penales para quien facilita el acceso.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados