Teléfonos móviles en la guerra: riesgos de la SIM y OPSEC

Los riesgos de la tarjeta SIM y del teléfono móvil se han convertido en uno de los grandes temas de la guerra contemporánea. El aparato que cualquier soldado lleva en el bolsillo es, a la vez, una radio, una cámara, un GPS, un diario personal y un registro de contactos. Cuando está encendido, conversa con la red; cuando publica una foto, deja coordenadas; cuando se pierde o se intercepta, cuenta quién es su dueño y con quién habla.

Este artículo largo reúne lo que se sabe públicamente sobre esos riesgos, los casos que los hicieron visibles y cómo han respondido ejércitos y gobiernos. Como en el resto de la enciclopedia, el enfoque es histórico y descriptivo: no es una guía para eludir investigaciones ni para atacar redes, sino una explicación de por qué el móvil es hoy una cuestión de seguridad de las operaciones (OPSEC).

Lo esencial en 30 segundos

• La SIM identifica al abonado ante la red; el teléfono identifica el aparato. Juntos generan un rastro de ubicaciones, horarios y contactos aunque no se escuche ninguna llamada.
• Ese rastro se puede obtener de la red, de las aplicaciones, de las redes sociales o del propio dispositivo.
• Una SIM «desechable» rara vez es anónima: los patrones de uso suelen conectarla con otras.
• Los ejércitos responden con prohibiciones, normas sobre geolocalización, redes propias y formación; los gobiernos, con recomendaciones de seguridad para la población.
• Hay un dilema real: el móvil también sirve para documentar crímenes, avisar de ataques y mantener la moral de las tropas.

Qué es una SIM y qué rastro deja

La tarjeta SIM (Subscriber Identity Module) es un pequeño chip que almacena el identificador del abonado, el IMSI, y las claves que permiten a la red reconocerlo. Cada tarjeta tiene además su propio número de serie, el ICCID. Las eSIM cumplen la misma función, pero integradas en el teléfono y descargadas a distancia. El aparato, por su parte, tiene su propio identificador, el IMEI.

El punto clave es que la mayor parte de la información sensible no está en el contenido de las conversaciones, sino en los metadatos: en qué celda estaba el teléfono, a qué hora, con qué otros números habló, cuánto duraron las llamadas y con qué frecuencia se repiten. Un antiguo director de la NSA y la CIA, Michael Hayden, lo resumió en un debate público en 2014 con una frase que se hizo célebre.

Matamos a gente basándonos en metadatos.

Michael Hayden, debate en la Universidad Johns Hopkins, 2014

La frase es provocadora, pero describe bien una realidad documentada: el análisis de patrones de comunicación puede bastar para identificar y localizar a una persona.

Los riesgos, por capas

Para ordenar el problema conviene separar los niveles en los que un móvil puede revelar información. La tabla resume cada capa con un ejemplo público, sin entrar en técnicas.

La red: el teléfono como emisor

Un móvil encendido se registra constantemente en las estaciones base cercanas. El operador sabe en qué celda está y, con métodos más precisos, puede estrechar mucho esa ubicación. Esa información se conserva y puede llegar a jueces y policías con las garantías legales de cada país. Además, cualquier emisor puede ser detectado por la guerra electrónica enemiga, igual que una radio militar, como explicamos en el artículo sobre radiogoniometría.

La identidad: el registro obligatorio

Según la GSMA, la asociación mundial de operadores, más de 150 países exigían en 2021 algún tipo de registro con documento de identidad para activar una SIM. En España, la identificación de los compradores de tarjetas de prepago es obligatoria desde la Ley 25/2007. Esto conecta el número con una persona desde el primer día, salvo fraude documental.

La señalización: SS7, el protocolo de los años setenta

Las redes de distintos operadores se comunican entre sí mediante protocolos de señalización, el más antiguo de los cuales es el Sistema de Señalización n.º 7 (SS7), diseñado cuando solo unas pocas compañías telefónicas de confianza estaban conectadas. En el congreso 31C3 de 2014, investigadores como Tobias Engel y Karsten Nohl mostraron públicamente que sus debilidades podían permitir localizar teléfonos o desviar mensajes. En 2017, el diario alemán Süddeutsche Zeitung informó de robos en cuentas bancarias en los que los delincuentes habían aprovechado esas debilidades para interceptar códigos enviados por SMS.

La cuenta: el SIM swapping

El SIM swapping consiste en conseguir, mediante engaño o soborno, que el operador traslade el número de una víctima a una SIM controlada por el atacante. A partir de ahí, los SMS de verificación llegan al delincuente. El FBI informó de que en 2021 recibió 1.611 denuncias por este fraude, con pérdidas de más de 68 millones de dólares, frente a 320 denuncias entre 2018 y 2020. Es un riesgo sobre todo civil, pero ilustra algo importante: un número de teléfono no es una prueba sólida de identidad.

Las aplicaciones: el rastro voluntario

Fotos con coordenadas, rutas de ejercicio, perfiles en redes sociales y aplicaciones de citas generan una información que nadie tiene que interceptar: la publica el propio usuario. Varios de los casos más conocidos de la última década pertenecen a esta capa.

El dispositivo: lo que guarda el teléfono

Si un teléfono cae en manos enemigas o es infectado con software espía, todo lo almacenado queda expuesto: mensajes, fotos, contactos y ubicaciones. Los programas de espionaje comercial como Pegasus mostraron que incluso los teléfonos de periodistas y altos cargos pueden verse comprometidos.

Casos: cuando el teléfono pesó en el resultado

2005-2020: el caso Hariri y las «redes» de teléfonos

El 14 de febrero de 2005, un enorme coche bomba mató en Beirut al ex primer ministro libanés Rafiq Hariri y a otras 21 personas. El Tribunal Especial para el Líbano, creado con respaldo de la ONU, basó buena parte de su caso en el análisis de datos de telefonía: los investigadores identificaron grupos de teléfonos que solo se llamaban entre sí y que se movían de forma coordinada, a los que denominaron por colores.

En agosto de 2020, el tribunal condenó en ausencia a Salim Ayyash, miembro de Hezbolá, y absolvió a otros tres acusados por falta de pruebas suficientes. La sentencia, accesible públicamente, es uno de los ejemplos más detallados de cómo teléfonos aparentemente anónimos pueden vincularse con personas reales a partir de su ubicación compartida con teléfonos personales.

2011: Abbottabad y el mensajero

Osama bin Laden evitó durante años los teléfonos y conexiones a internet en su escondite de Abbottabad, en Pakistán. Según la reconstrucción oficial estadounidense y la investigación periodística de Peter Bergen, fue precisamente el rastreo de su mensajero de confianza, que sí utilizaba el teléfono, uno de los hilos que llevaron a la CIA hasta la casa. El caso muestra que la disciplina de una persona no basta si su entorno no la comparte.

2014: los «soldados del selfi» en el Donbás

Durante la guerra de 2014 en el este de Ucrania, investigadores de fuentes abiertas como Bellingcat y periodistas como Simon Ostrovsky, de Vice News, utilizaron fotos publicadas por soldados rusos en redes sociales para documentar su presencia en territorio ucraniano, en contra de las negativas oficiales de Moscú. En 2019, Rusia aprobó una ley que prohíbe a los militares en servicio llevar dispositivos capaces de grabar y transmitir datos, así como publicar información sobre su servicio.

2018: Strava revela bases militares

En enero de 2018, el estudiante australiano Nathan Ruser llamó la atención sobre el mapa de calor global de la aplicación deportiva Strava, que mostraba las rutas agregadas de millones de usuarios. En zonas casi vacías de Siria, Irak o Afganistán, las líneas brillantes dibujaban el perímetro de bases militares y sus rutas de patrulla. En agosto de ese año, el Departamento de Defensa de EE. UU. prohibió el uso de funciones de geolocalización en dispositivos personales en zonas operativas.

2018: aplicaciones trampa contra soldados israelíes

En julio de 2018, las Fuerzas de Defensa de Israel anunciaron que Hamás había creado perfiles falsos y aplicaciones de citas y de seguimiento del Mundial de fútbol para infectar los teléfonos de soldados con software espía. Según el Ejército israelí, cientos de militares descargaron alguna de ellas. Es un ejemplo de que el riesgo no siempre es técnico: muchas veces empieza con un engaño.

2022-2023: Ucrania, llamadas interceptadas y Makiivka

Desde el inicio de la invasión a gran escala en 2022, el Servicio de Seguridad de Ucrania (SBU) ha publicado numerosas grabaciones que presenta como llamadas interceptadas de soldados rusos a sus familias, a menudo realizadas desde teléfonos civiles. Su autenticidad no siempre puede verificarse de forma independiente, pero su volumen indica que el uso de teléfonos sin protección fue frecuente.

En la madrugada del 1 de enero de 2023, un ataque ucraniano con cohetes alcanzó un edificio de Makiivka, en la región ocupada de Donetsk, donde se alojaban soldados rusos recién movilizados. El Ministerio de Defensa ruso reconoció 89 muertos y atribuyó la localización del edificio al uso masivo de teléfonos móviles por parte de los soldados. Numerosos analistas y blogueros militares rusos discreparon y señalaron también la concentración de tropas junto a munición. Kiev dio cifras mucho mayores. La causa exacta sigue siendo objeto de debate, pero el caso se convirtió en el símbolo más citado del peligro del móvil en el frente.

Por qué una SIM desechable no es anónima

Una idea muy extendida, alimentada por el cine, es que basta con comprar un teléfono barato y una SIM nueva para volverse invisible. Los casos anteriores muestran por qué no suele ser así. Hay varias razones generales, todas públicas:

• Registro: en muchos países la SIM se vincula a un documento desde la compra.
• Aparato: si la SIM nueva se inserta en un teléfono ya usado, el identificador del aparato puede conectarla con la anterior.
• Coincidencias de ubicación: dos teléfonos que pernoctan siempre en el mismo lugar o viajan juntos sugieren un mismo dueño, como en el caso Hariri.
• Patrones de contacto: llamar a los mismos números que el teléfono personal deja una huella reconocible.
• Errores humanos: basta un descuido —encender el teléfono en casa, usarlo para algo personal— para romper la separación.

Por eso los investigadores y los servicios de inteligencia hablan menos de anonimato y más de patrones de vida: no importa tanto un número como el comportamiento que lo rodea.

Alternativas: cómo responden ejércitos y gobiernos

Normas y prohibiciones

Las respuestas más visibles son las restricciones. Rusia prohibió los dispositivos con grabación y transmisión de datos a los militares en servicio en 2019. Estados Unidos restringió la geolocalización en zonas operativas en 2018 y, según la prensa militar estadounidense, unidades como la 82.ª División Aerotransportada desplegaron en Oriente Próximo en enero de 2020 con instrucciones de dejar atrás sus teléfonos personales. Este tipo de medidas forma parte de la disciplina OPSEC: proteger la información aparentemente inocua que, sumada, revela operaciones.

Comunicaciones militares propias

La alternativa militar a la red civil son los sistemas propios: radios tácticas cifradas, redes de mando independientes y enlaces por satélite. No son invisibles —toda emisión puede detectarse—, pero están diseñados para resistir la interceptación y la interferencia y no dependen de un operador civil que puede estar en territorio enemigo. La guerra de Ucrania ha mostrado también el uso masivo de terminales de internet por satélite, con sus propias ventajas y vulnerabilidades.

Formación y cultura

Los informes del RUSI sobre Ucrania insisten en que la tecnología no basta sin disciplina: los soldados tienden a usar el móvil por aburrimiento, por miedo o para hablar con su familia. Por eso la formación en seguridad de las operaciones y la supervisión de los mandos son tan importantes como cualquier equipo.

Recomendaciones para la población civil

Tras la campaña de intrusión en operadores de telecomunicaciones estadounidenses atribuida a un grupo vinculado a China y conocida como Salt Typhoon, la agencia de ciberseguridad de EE. UU. (CISA) publicó en diciembre de 2024 una guía de buenas prácticas para comunicaciones móviles dirigida a altos cargos. Sus recomendaciones generales coinciden con las de organismos como el INCIBE en España:

• Preferir aplicaciones de mensajería con cifrado de extremo a extremo frente a los SMS y llamadas convencionales.
• No usar el SMS como segundo factor de autenticación cuando haya alternativas más robustas, como llaves de seguridad físicas o aplicaciones de autenticación.
• Proteger la cuenta con el operador con un PIN o clave adicional para dificultar el SIM swapping.
• Mantener actualizado el sistema operativo y revisar los permisos de ubicación de las aplicaciones.

Una eSIM no es, por sí sola, más segura ni menos: elimina el riesgo de robo físico de la tarjeta, pero el control de la cuenta y del número siguen dependiendo del operador.

El dilema: el móvil también salva vidas

Sería un error concluir que el móvil es solo un riesgo. En Ucrania, aplicaciones oficiales han permitido a los civiles avisar del paso de drones y misiles, y millones de vídeos grabados con teléfonos han servido para documentar crímenes de guerra ante tribunales internacionales. Para los soldados, hablar con la familia es una fuente de moral que ningún mando puede ignorar del todo.

Por eso las políticas reales no suelen ser prohibiciones absolutas, sino equilibrios: cuándo, dónde y cómo se permite usar un teléfono. El debate, abierto en todos los ejércitos, es cuánto riesgo se acepta a cambio de esos beneficios.