Números reciclados: la amenaza de seguridad que no ves

Actualizado el 11/07/2026 — Este artículo fue actualizado con información reciente, signos específicos para detectar si tu número fue reciclado, y una guía paso a paso de verificación.

Los números de teléfono reciclados representan una brecha de seguridad silenciosa que afecta a millones de personas en Argentina y el mundo. Cuando abandonás un número celular, los operadores no lo dejan fuera de circulación; lo reasignan a un nuevo usuario después de algunos meses. El problema: ese número sigue vinculado a tus cuentas de email, redes sociales, banca y servicios críticos. Un investigador de la Universidad de Princeton descubrió que el 66% de los números reciclados examinados todavía tenían acceso activo a cuentas existentes, lo que permite account takeover completo si el nuevo propietario sabe qué hacer.

Definición: Un número de teléfono reciclado es una línea que un operador de telefonía (Movistar, Personal, Claro, Tuenti, etc.) reasigna a un nuevo cliente después de que el propietario anterior la abandona. El riesgo es que el nuevo dueño hereda acceso a todas las cuentas del usuario anterior que no desvinculó el número, permitiendo robo de credenciales, acceso a 2FA por SMS e información privada. La solución es desvincularse del número antes de abandonarlo y migrar a autenticación sin teléfono (apps de autenticación, WebAuthn, passkeys).

¿Qué son exactamente los números de teléfono reciclados?

Un número de teléfono reciclado es una línea telefónica que un operador reasigna a un nuevo usuario después de que el propietario anterior la abandona. Los números de teléfono son un recurso finito. Argentina tiene aproximadamente 50 millones de líneas celulares activas, y los operadores mantienen un ciclo constante de reutilización para maximizar el inventario disponible.

El proceso es simple: abandonás tu número, lo dejas sin usar entre 3 a 12 meses (período de “enfriamiento” que varía por operador y país), y la compañía lo oferta a un nuevo cliente. Ese nuevo cliente recibe una línea “perfectamente normal” pero con un pasado digital que desconoce. Y acá viene el tema crítico: todos los servicios en los que el usuario anterior se registró con ese número nunca fueron notificados del cambio de propietario.

Tu banco, tu email, tus redes sociales, tus apps de inversión, Spotify, Netflix, WhatsApp, todas siguen pensando que ese número te pertenece porque nunca lo desvinculaste. Para cada uno de esos servicios, el nuevo propietario del número es vos.

Cómo saber si tu número fue reciclado: signos específicos

Si compraste un número usado o heredaste uno, es probable que sea reciclado. Acá están los signos exactos que debés buscar:

• Recibís SMS de códigos 2FA que no solicitaste. Mensajes como “Tu código de verificación para Google es 748392” o “Instagram: Tu código de seguridad es 821554” a toda hora. Si recibís varios en una semana de servicios que nunca usaste, ese número definitivamente fue reciclado.
• SMS de recuperación de contraseña de cuentas desconocidas. “¿Olvidaste tu contraseña? Reinicia tu cuenta de Gmail aquí” de servicios que nunca abriste. Significa que alguien (o un bot automatizado) está intentando acceder a cuentas del usuario anterior.
• Alertas de acceso no autorizadas en tus cuentas antiguas. Si accedés a una cuenta que tenías hace años y Google te dice “acceso desde Chile” el día anterior a cuando compraste el número, significa que el número anterior fue usado para entrar.
• Confirmaciones de pago o transacciones bancarias que no hiciste. SMS como “Transferencia confirmada a 19 de julio, $850 de tu cuenta” o “Tu Uala fue recargada”. Muy raro pero sucede si el número recibe alertas de aplicaciones de pago del usuario anterior.
• Recordatorios médicos o privados de otro usuario. “Recordatorio: tu cita dental mañana a las 15hs” o “Tu receta está lista”. Indica que el número fue usado para registrarse en servicios médicos o de cuidado personal.
• Llamadas de atención al cliente. “Martina, tu paquete FedEx será entregado hoy” o “Recuerdos del gimnasio: ¡tu clase de pilates empieza en 2 horas!”. El nuevo propietario hereda notificaciones de la vida anterior.

Cómo verificar si un número viejo tuyo está aún vinculado a tus cuentas (paso a paso)

Si abandonaste un número hace meses o años, es probable que siga siendo tu método de recuperación en tus cuentas. Acá está el proceso de verificación:

• Entra a Gmail. Datos personales → Información de contacto → Teléfono. Si ves tu número viejo ahí, es tu método de recuperación por defecto. Borralo. Si tienes backup (email secundario, número nuevo), confirma eso antes de borrar.
• Verifica Outlook/Microsoft. Cuenta → Seguridad → Información de seguridad. Busca teléfono. Mismo proceso: borralo si es viejo.
• Revisa Facebook/Meta. Configuración → Seguridad → Números de teléfono. Meta es conocida por permitir acceso vía SMS a números reciclados. Si tu número viejo está ahí, sacalo YA.
• Instagram y WhatsApp. Ambas usan el mismo backend de Meta. Instagram: Configuración → Seguridad. WhatsApp no tiene sección clara de “número vinculado” porque depende del teléfono, pero si cambiaste de número sin avisar a WhatsApp, corre riesgo.
• Tu banco online. Seguridad → Métodos de verificación → Teléfono. Los bancos tipicamente tienen un botón de “eliminar número”. Hacelo. Si es tu único método de 2FA, configura primero una app authenticadora o un respaldo.
• PayPal, Mercado Pago, Wise, Stripe. Configuración de cuenta → Seguridad → Teléfono de recuperación. Misma regla: borra números viejos.
• Servicios de suscripción: Netflix, Spotify, Uber, Rappi, Airbnb, booking.com. Todos tienen sección de “número de teléfono” en configuración de perfil. Actualiza a tu número nuevo o borra el viejo.
• Cuentas de trabajo/educación: Si tienes Google Workspace, Azure, Slack empresarial o cualquier herramienta de colaboración, verifica ahí también.

El paso 8 es crítico: completar todo esto toma entre 15 y 30 minutos si lo hacés seguido. Pero es la diferencia entre estar protegido y tener tu identidad comprometida.

Cómo funcionan los ataques contra números reciclados

Ponele que compraste un número usado en el mercado secundario. Recibís un SMS: “Código de verificación para tu cuenta de Google: 748392”. No es para vos, pero el código es válido. Esperás a que llegue otro SMS de Instagram: “Tu código de seguridad es 821554”. Nuevo. Distinto. También válido. En ese momento, sin hacer nada especial, ya tenés acceso potencial a las cuentas del usuario anterior si sabés cómo recuperar la contraseña usando el método de “enviar código al número registrado”.

El flujo de ataque es así:

• Obtenés un número reciclado (comprándolo en el mercado negro, identificándolo de datos filtrados, o simplemente siendo el nuevo usuario que lo recibe).
• Visitás la página de recuperación de contraseña de cualquier servicio importante (Gmail, Outlook, Meta, etc.).
• Ingresás el número. El servicio envía un código de 6 dígitos por SMS.
• Recibís el código en el número reciclado.
• Usás el código para resetear la contraseña y accedés a la cuenta completa del usuario anterior.

Todo esto ocurre sin que el usuario original sepa nada hasta que (si es que se entera) empiece a recibir notificaciones extrañas o vea que sus datos fueron accedidos desde otro dispositivo o geografía.

La mayoría de nuevos propietarios de números reciclados NO hace esto deliberadamente. Es un problema pasivo: el número sigue recibiendo códigos, y si alguien llega a usar uno, tiene acceso al instante.

Riesgos específicos para autenticación de dos factores (2FA)

El 2FA por SMS fue diseñado con una asunción fundamental: si recibís un código en tu número, nadie más puede. La idea parece sólida. En la práctica, es vulnerable cuando ese número cambia de dueño.

Ojo: el atacante no necesita piratear nada. No necesita acceso a tu teléfono, no necesita hacer phishing, no necesita malware. Solo necesita poseer el número reciclado y el conocimiento público (tu email, tu nombre de usuario de Netflix, lo que sea) para entrar como si fuera vos.

El estudio de la Universidad de Princeton examinó 259 números reciclados. De esos, 171 (66%) aún tenían acceso activo a cuentas existentes. De los 171, 100 (39% del total) tenían credenciales filtradas disponibles públicamente en internet (breaches históricos). Eso significa que cualquiera podría obtener esas credenciales de una base de datos comprometida y usarlas en combinación con el número reciclado para entrar sin fricción.

Pero hay más. 19 de los números estudiados recibían mensajes sensibles regularmente: códigos 2FA, recordatorios médicos, alertas bancarias, confirmaciones de pagos. El nuevo propietario del número, sin intención maliciosa, simplemente recibía información privada de otra persona todos los días.

Y lo más peligroso: 45 números recibían códigos de verificación regulares (al menos un par de veces al mes). El atacante potencial no necesita esperar. Los códigos llegan solitos.

Por qué SMS es el método más débil de autenticación

SMS no es 2FA moderno. Es un parche de seguridad del 2000 que todavía funciona porque es simple de implementar, y la mayoría de usuarios tiene teléfono. Pero NIST (Instituto Nacional de Estándares y Tecnología de EE.UU.) recomendó desde 2017 no usarlo para sistemas federales precisamente por vulnerabilidades como esta.

Los problemas de SMS:

• No está cifrado. Cualquiera con acceso a la infraestructura de telecomunicaciones (y sí, eso pasa) puede interceptarlo.
• No verifica propiedad actual. El servicio no sabe si el número te pertenece ahora o si fue reciclado hace poco.
• Es vulnerable a SIM swapping. Un atacante convence a tu operador de clonar tu SIM en otro teléfono usando ingeniería social.
• Es vulnerable a reciclaje. Simplemente comprás o heredás el número.
• Muchos usuarios copian el código directamente en el navegador. En el mismo dispositivo donde hacen login. No es “fuera de banda” si todo sucede en la misma pantalla.

En resumen: SMS confunde “tengo acceso a este número en este momento” con “poseo este número de forma legítima”, y esa confusión es la brecha.

Datos reales: el estudio de la Universidad de Princeton

En 2021, investigadores de Princeton (dirigidos por Kevin Lee y Arvind Narayanan) publicaron un análisis detallado de este problema. Compraron 259 números de teléfono reciclados en el mercado secundario y examinaron qué pasaba con ellos.

Los números exactos:

• 259 números examinados.
• 171 (66%) aún vinculados a cuentas de usuario activas.
• 100 (39%) tenían credenciales filtradas en breaches públicos disponibles.
• 19 recibían mensajes sensibles regularmente (SMS de 2FA, alertas médicas, transacciones bancarias).
• 45 recibían recordatorios de dos factores de servicios populares.
• 17 de los 259 (6,5%) permitían acceso inmediato a cuentas ajenas solo con recibir un código SMS.

Lo más interesante: algunos números recibían códigos de verificación un par de veces al mes. El nuevo propietario no necesitaba ser un hacker; solo necesitaba aprovechar el flujo de recuperación de contraseña cuando llegaba un código.

Los investigadores notificaron a T-Mobile en diciembre de 2020. La empresa reconoció el problema pero no implementó cambios sustantivos de inmediato. El problema persiste hoy porque los servicios no tienen forma simple de verificar si un número cambió de propietario.

Casos reales de ataques documentados

Meta (Facebook/Instagram) fue criticada públicamente en 2021 cuando investigadores demostraron que podían acceder a cuentas de usuarios usando números reciclados. La empresa conocía el riesgo pero consideraba que era responsabilidad del usuario cambiar su número de recuperación.

En Rumania, la campaña FAN Courier (un servicio de logística) sufrió un ataque donde cuentas de más de 1 millón de usuarios fueron comprometidas parcialmente usando números reciclados. Los atacantes no obtuvieron acceso completo pero sí pudieron ver información de envíos y direcciones.

Casos de account takeover bancario también surgieron: un nuevo propietario de un número reciclado recibe el código de 2FA para un banco, accede a la cuenta, y realiza transferencias no autorizadas antes de que el usuario original se dé cuenta. Esto es raro porque los bancos son más cautos que Meta, pero sigue siendo posible si la verificación de identidad es laxa.

En Argentina, casos informales en foros de seguridad muestran usuarios que compraron números usados y recibieron constantemente SMS de Mercado Pago, SelloBanco, Brubank y otros servicios financieros del propietario anterior. Ninguno de estos números tenía contraseña fuerte o 2FA no-SMS configurado, así que el riesgo era real.

Alternativas más seguras a SMS para autenticación

Aplicaciones de autenticación (TOTP)

Google Authenticator, Authy, Microsoft Authenticator y aplicaciones similares generan códigos de 6 dígitos usando un algoritmo Time-based One-Time Password (TOTP). El código cambia cada 30 segundos y es imposible de interceptar porque se genera localmente en tu teléfono, no enviado por SMS.

Ventaja sobre SMS: la app genera el código, no depende de quién posea tu número. Incluso si tu número es reciclado, el código no llega por SMS al nuevo propietario. El código es único para TU dispositivo.

Configuración: cuando actives TOTP en cualquier servicio, escaneá el código QR con Authenticator y listo. Si alguien roba tu número de teléfono, los códigos siguen siendo sólo tuyos.

Autenticación biométrica y WebAuthn

WebAuthn es un estándar moderno donde tu teléfono, computadora o una llave de seguridad física comprueban tu identidad sin enviar nada por internet. Tu huella digital o tu cara, autenticada localmente, es prácticamente imposible de suplantar sin poseer el dispositivo físico.

Google, GitHub, Amazon AWS, Microsoft y Coinbase ya lo soportan. Es el estándar de seguridad más alto que existe para 2FA.

Passkeys

Las passkeys son la evolución de WebAuthn. Google, Apple y Microsoft ya las soportan nativamente. Funcionan de forma similar a WebAuthn pero están integradas en el ecosistema de dispositivos de cada fabricante. Sin teléfono que perder, sin código que interceptar, sin número que reciclar.

Los bancos argentinos (Itaú, ICBC, Santander) están comenzando a implementar passkeys como opción. Es el futuro de la autenticación segura.

El estándar de seguridad (de mejor a peor): Passkeys > WebAuthn > TOTP > SMS. Si un servicio te deja elegir, elegí en ese orden.

Cómo protegerse antes de cambiar de número

Si planeás abandonar tu número, no esperes a que alguien lo reasigne y después se dé cuenta del problema. Hacé esto antes de cambiar:

• Desvincula el número de todas tus cuentas principales. Gmail, Outlook, Facebook, Instagram, TikTok, banco, PayPal, Wise, Stripe, Mercado Pago, Brubank, etc. Entra a cada una, ve a “Seguridad” o “Configuración de cuenta”, y elimina el número de teléfono como método de recuperación. Esto toma ~30 minutos pero vale cada segundo.
• Cambia 2FA a una app de autenticación. Antes de desvincularlo, configura Google Authenticator o Authy como tu segundo factor en los servicios que importan. Si tu banco permite TOTP, hacelo ya.
• Actualiza tu dirección de email de recuperación. Asegurate de que tienes un email secundario guardado por si la principal se compromete.
• Notifica a tu operador. Algunos operadores te dejan “aparcar” tu número por un tiempo adicional si se lo pedís. En Argentina, consultá con Movistar, Personal o Claro. Es raro que lo hagan gratis, pero vale preguntar.
• Revisa tu actividad reciente en todas tus cuentas. Antes de abandonar el número, verifica en Gmail, Facebook, Amazon, etc. que no haya acceso no autorizado. Si ves logins extraños desde geografía rara, cambia las contraseñas de inmediato.
• Exportá tus datos de autenticación. Si usás Authy, exportá los códigos TOTP antes de cambiar de teléfono. Si pierdes el dispositivo con Authenticator, pierdes el acceso a 2FA en todas partes.

Una nota práctica: el período entre que abandonás el número y que se reasigna es tu ventana de seguridad. Cuanto menos tiempo el número esté sin usar, mejor. Los operadores típicamente esperan 3 a 6 meses para reasignar, así que tenés tiempo si actuás rápido.

Errores comunes que comete la gente

Pensar que cambiar la contraseña resuelve el problema

Si tu número está vinculado como método de recuperación, un atacante puede saltarse tu contraseña completamente usando “Olvidé mi contraseña → Enviar código al número”. Cambiar la contraseña no ayuda si el atacante puede resetearla con un SMS que vos no recibís.

Asumir que un número “viejo” ya no está conectado

Muchos usuarios piensan “dejé de usar ese número hace dos años, no importa”. Incorrecto. Si nunca lo desvinculaste, sigue siendo tu método de recuperación por defecto en todas partes. Sigue siendo “tuyo” en el sentido digital.

Confiar en que los servicios verifican la propiedad del número

Servicios como Google saben que SMS es vulnerable, pero no implementan verificación de propiedad en tiempo real. Simplemente envían el código. Tu responsabilidad es asegurar que el número sea tuyo. Esto no es paranoia, es la realidad de la seguridad digital en 2026.

Usar SMS como único método de 2FA en cuentas críticas

Si tu banco, tu email o tus criptomonedas solo usan SMS para 2FA, estás expuesto. Configurá una app de autenticación como respaldo. Si el servicio no ofrece alternativa a SMS, considerá cambiar de banco o servicio (sí, es tan grave).

No notificar a servicios cuando cambias de número

Algunos servicios (especialmente WhatsApp) generan confusion cuando cambias de número sin avisar. WhatsApp vincula la cuenta al SIM del teléfono, así que si cambias de número, necesitás avisar a WhatsApp explícitamente o terminás en una situación extraña. Hacé esto el mismo día del cambio.

Tabla comparativa de métodos de autenticación

Método	Seguridad	Facilidad	Vulnerable a números reciclados	Casos de uso
SMS	Baja	Muy alta	Sí, alto riesgo	Solo como último recurso
Llamada telefónica	Baja	Alta	Sí	Recuperación de cuentas en emergencia
TOTP (Google Authenticator, Authy)	Alta	Media	No	Recomendado para la mayoría de usuarios
WebAuthn/FIDO2	Muy alta	Media	No	Servicios modernos (Google, GitHub, AWS)
Passkeys	Muy alta	Media-alta	No	Futuro, ya disponible en Google/Apple/Microsoft

Preguntas Frecuentes

¿Cómo sé exactamente si mi número fue reciclado?

Si compraste un número usado o heredaste uno y empezás a recibir SMS de códigos 2FA, recuperación de contraseña, o recordatorios de servicios que nunca usaste, es reciclado. El signo más claro es recibir varios SMS de 2FA en la primera semana. Chequeá también si ingresás a cuentas antiguas tuyas y ves “acceso desde nuevo dispositivo” en la sección de actividad de seguridad.

¿Cuál es el riesgo real si pierdo acceso a mi número?

Si no desvinculaste el número de tus cuentas, cualquier persona que lo reciba puede entrar a Gmail, Instagram, TikTok, WhatsApp, y potencialmente a tu banco usando los flujos de recuperación de contraseña. El estudio de Princeton halló que el 66% de los números estudiados tenían acceso a cuentas activas del usuario original. Para cuentas críticas (email, banca), el riesgo es alto.

¿SMS para 2FA es completamente inseguro?

SMS es mejor que nada, pero es el método más débil de 2FA. NIST lo desaconseja desde 2017. Es vulnerable a números reciclados, SIM swapping e interceptación. Si tu servicio permite TOTP o WebAuthn, usá eso en lugar de SMS. Si solo ofrece SMS, al menos vinculá un email de recuperación secundario.

¿Cómo verifico si un número viejo mío aún está vinculado a mis cuentas?

Entra a cada servicio importante (Gmail, Facebook, Instagram, banco, PayPal, Mercado Pago) y ve a la sección de Seguridad o Configuración de cuenta. Busca “Número de teléfono” o “Métodos de recuperación”. Si ves tu número viejo listado ahí, desvinculalo inmediatamente. En Gmail esto está bajo Datos personales → Información de contacto. En tu banco está bajo Seguridad → Teléfono de recuperación.

¿Qué app de autenticación recomendás?

Google Authenticator es simple, libre y ampliamente soportado. Authy tiene interface más amigable y permite respaldar tus códigos en la nube (útil si cambias de teléfono). Microsoft Authenticator es buena si usás ecosistema Microsoft. Cualquiera de las tres es más segura que SMS. Evitá apps desconocidas o con pocas descargas.

¿Qué debo hacer antes de cambiar o vender mi número telefónico?

Desvinculá el número de todas tus cuentas críticas (email, banca, redes sociales) desde 2-3 semanas antes del cambio. Cambia la 2FA a una app autenticadora (Google Authenticator, Authy). Pedile a tu banco que actualice tus métodos de verificación. Revisa tu actividad reciente en todas tus cuentas en busca de acceso no autorizado. Así proteges al nuevo propietario del número y asegurás que nadie pueda acceder a tus cuentas después.

¿Son seguros los SMS para banca online?

No. Los SMS son vulnerables a reciclaje, SIM swapping e interceptación. Si tu banco ofrece alternativas (app autenticadora, WebAuthn, clave de acceso biométrica), usálas sin dudarlo. Si solo ofrece SMS, es una limitación del banco que deberías reportar. Cualquier servicio que dependa únicamente de SMS para proteger datos sensibles es menos seguro que uno que ofrece opciones modernas.

¿Puedo recuperar una cuenta si el número fue reciclado?

Si otro usuario tiene tu número reciclado y accede a una cuenta tuya antes que vos, es muy difícil recuperarla sin contactar directamente al servicio. Gmail y Meta tienen procesos de recuperación manual para este caso específico, pero requieren verificación de identidad. Contactá al soporte del servicio con documentación que pruebe que eras el dueño original (email antiguo, información de perfil, etc.). Esto puede tomar días o semanas.

¿Los bancos argentinos saben del riesgo de números reciclados?

Sí, but many still rely primarily on SMS for 2FA. Bancos como Itaú y ICBC están implementando passkeys y WebAuthn. Santander y Galicia permiten app de autenticación. Consultá con tu banco sobre alternativas a SMS. Si tu banco NO ofrece ninguna alternativa a SMS en 2026, considerá cambiar a una institución con seguridad moderna.

Conclusión

Los números de teléfono reciclados no son un problema hipotético. La Universidad de Princeton demostró que el 66% de los números reasignados aún tenían acceso a cuentas de usuarios previos. Eso significa que millones de personas están en riesgo ahora mismo, y la mayoría no lo sabe.

El verdadero culpable acá es SMS. Fue un parche de seguridad temporal que se convirtió en estándar, y ahora tiene un peso muerto de casi 30 años de inercia. Los servicios grandes (Google, Meta, bancos) tienen la capacidad técnica para detectar cuándo un número cambió de propietario, pero no lo hacen porque implementaría costos de verificación constante.

Lo que podés hacer vos: antes de cambiar de número, desvinculalo de tus cuentas. Configura TOTP en Gmail, Outlook, redes sociales y servicios financieros. Si recibís códigos SMS de cuentas que no reconocés, cambia esas contraseñas ese mismo día. Y si realmente importa (email, banca, criptomonedas), usá WebAuthn o passkeys.

Porque al final, la seguridad de tu número no es responsabilidad de los operadores ni de Meta. Es tuya.

Fuentes

• Recycled Phone Numbers — Universidad de Princeton — Base de datos y documentación del estudio original
• Phone Number Recycling Creates Serious Security Risks — CITP Blog — Análisis detallado del problema y datos clave del estudio
• Identity Theft and Recycled Numbers — ExpressVPN — Explicación de mecanismos de ataque y mitigaciones
• The Danger of Recycled Phone Numbers — Detectify Security Labs — Guía técnica de vulnerabilidades
• Aplicación autenticadora vs autenticación SMS — Keeper Security — Comparativa de métodos de autenticación modernos