Malasia dio de baja más de 70.000 líneas prepago por uso indebido en 2025. El año anterior habían sido 7.409. Lo interesante no es el volumen: es que Malasia exige registro de SIM desde 2006 y desde 2017 limita a cinco líneas prepago por persona por operador. O sea: todas esas líneas estaban registradas.
En los casos documentados hay un consumidor que descubrió 18 líneas a su nombre y otro con alrededor de 400 asociadas a su identidad. Indonesia, por su parte, exige verificación biométrica facial para dar de alta una SIM desde mediados de 2026.
La conclusión incómoda
Una SIM registrada no es una SIM confiable.
Va en contra de casi todo el debate público sobre padrones de líneas, y me parece la lectura correcta. El registro resuelve una pregunta —a nombre de quién se dio de alta esta línea— que no es la pregunta que importa en el momento en que se usa esa línea para autenticar a alguien.
México ya tuvo esta discusión
El PANAUT se planteó exactamente con esa lógica: si sabemos de quién es cada línea, baja el fraude. Terminó declarado inconstitucional. Se discutió mucho la privacidad y bastante menos si el padrón realmente iba a funcionar.
Con la evidencia de Malasia sobre la mesa, la segunda pregunta merece más atención de la que tuvo. Un padrón nacional es caro, es sensible en términos de privacidad y —según muestran los mercados que lo implementaron hace veinte años— no impide que alguien acumule cientos de líneas a nombre de un tercero.
Registro es un evento; confianza es un estado
Para quienes construimos autenticación sobre el número de teléfono, la lectura operativa es simple. Una línea puede estar perfectamente registrada y aun así:
- Haber cambiado de SIM ayer.
- Haberse portado a otro operador la semana pasada.
- Haber sido dada de alta hace tres días.
- Estar en manos de alguien distinto al titular, con o sin su conocimiento.
Nada de eso lo resuelve un padrón. Lo resuelve consultar el estado de esa línea en el momento en que se la va a usar, que es justo antes de mandar el OTP y no seis meses después en una auditoría.
Qué cambia en el modelo de riesgo
| Padrón de titulares | Señal de estado de línea | |
|---|---|---|
| Qué responde | A nombre de quién se registró | Qué le pasó a esta línea últimamente |
| Cuándo se consulta | Al alta, una vez | En cada operación sensible |
| Se degrada con el tiempo | Sí, rápidamente | No: se vuelve a consultar |
| Naturaleza | Dato de alta | Control operativo |
Mi lectura es que el esfuerzo regulatorio en la región debería correrse de quién es el titular hacia qué le pasó a esta línea últimamente. Lo primero es un dato de alta. Lo segundo es un control.
Qué se puede hacer hoy, sin esperar ningún padrón
- Tratar el teléfono como una señal viva. Guardar la fecha de la última verificación y revalidar antes de operaciones de alto impacto.
- Medir la antigüedad de la relación, no solo de la línea. Cuánto hace que ese número está asociado a esa cuenta en tus propios sistemas ya es una señal útil, y es gratis.
- Escalar el factor, no bloquear. Una señal de riesgo debería cambiar el método de verificación, no dejar al cliente sin poder operar.
- Auditar los cambios de número. Un cambio de teléfono seguido de una operación sensible es el patrón más repetido del fraude por toma de cuenta.
En sus modelos de fraude, ¿el número de teléfono es un dato fijo del expediente o una señal que se vuelve a consultar?