Una SIM registrada no es una SIM confiable: qué enseñan Malasia e Indonesia sobre los padrones

Lectura de 7 minActualizado: 24 de octubre de 2026

Malasia dio de baja 70.122 líneas prepago por sospecha de uso indebido en 2025. El año anterior habían sido 7.409. Lo interesante no es el volumen: es que Malasia exige registrar las líneas prepago y desde 2017 limita a cinco por persona por operador, un tope que el estándar obligatorio de febrero de 2026 mantuvo. O sea: todas esas líneas estaban registradas.

En agosto de 2026, la asociación de consumidores PPIM denunció el caso de un hombre de 70 años que descubrió 18 líneas a su nombre y otro de alrededor de 400 líneas asociadas a una sola identidad; el ministro de Comunicaciones exigió explicaciones a las operadoras. Indonesia, por su parte, exige verificación biométrica facial para dar de alta una SIM desde el 1 de julio de 2026.

La conclusión: una SIM registrada no es una SIM confiable

Una SIM registrada no es una SIM confiable.

Va en contra de casi todo el debate público sobre padrones de líneas, y me parece la lectura correcta. El registro resuelve una pregunta —a nombre de quién se dio de alta esta línea— que no es la pregunta que importa en el momento en que se usa esa línea para autenticar a alguien.

México ya tuvo esta discusión

El PANAUT se planteó exactamente con esa lógica: si sabemos de quién es cada línea, baja el fraude. La Suprema Corte lo declaró inconstitucional en abril de 2022. Se discutió mucho la privacidad y bastante menos si el padrón realmente iba a funcionar.

Con la evidencia de Malasia sobre la mesa, la segunda pregunta merece más atención de la que tuvo. Un padrón nacional es caro, es sensible en términos de privacidad y —según muestran los mercados que lo implementaron hace años— no impide que alguien acumule cientos de líneas a nombre de un tercero.

Registro es un evento; confianza es un estado

Para quienes construimos autenticación sobre el número de teléfono, la lectura operativa es simple. Una línea puede estar perfectamente registrada y aun así:

• Haber cambiado de SIM ayer.
• Haberse portado a otro operador la semana pasada.
• Haber sido dada de alta hace tres días.
• Estar en manos de alguien distinto al titular, con o sin su conocimiento.

Nada de eso lo resuelve un padrón. Lo resuelve consultar el estado de esa línea en el momento en que se la va a usar, que es justo antes de mandar el OTP y no seis meses después en una auditoría.

Qué cambia en el modelo de riesgo

Mi lectura es que el esfuerzo regulatorio en la región debería correrse de quién es el titular hacia qué le pasó a esta línea últimamente. Lo primero es un dato de alta. Lo segundo es un control.

Qué se puede hacer hoy, sin esperar ningún padrón

• Tratar el teléfono como una señal viva. Guardar la fecha de la última verificación y revalidar antes de operaciones de alto impacto.
• Medir la antigüedad de la relación, no solo de la línea. Cuánto hace que ese número está asociado a esa cuenta en tus propios sistemas ya es una señal útil, y es gratis.
• Consultar a la red antes de enviar el código. Con la API SIM Swap se puede saber si la SIM de esa línea cambió hace poco; lo explico en qué es el SIM swap y cómo consultarlo con las Network APIs.
• Escalar el factor, no bloquear. Una señal de riesgo debería cambiar el método de verificación, no dejar al cliente sin poder operar.
• Auditar los cambios de número. Un cambio de teléfono seguido de una operación sensible es el patrón más repetido del fraude por toma de cuenta.

En sus modelos de fraude, ¿el número de teléfono es un dato fijo del expediente o una señal que se vuelve a consultar?

Actualización de septiembre de 2026: el padrón volvió con otro nombre

Cuando escribí este artículo, el caso mexicano era historia: el PANAUT quedó sin efecto en 2022. Pero México volvió al mismo problema por otra puerta, y esta vez sí está en ejecución. Las líneas móviles se vinculan a la CURP de su titular, y la CRT informó que al 17 de septiembre de 2026 hay 84.8 millones de líneas vinculadas, cerca del 70% del total.

El corte es escalonado por la terminación del número. Las líneas que no se vinculan quedan suspendidas dentro de las 72 horas siguientes a su fecha límite, y los operadores avisan por SMS: el mismo canal del que estamos hablando.

La lectura de fondo no cambia: vincular una identidad a una línea es un evento con fecha, y lo que necesita un flujo de autenticación es el estado de esa línea hoy. Pero el operativo sí cambia, y bastante, de aquí a fin de año.

Qué significa esto para quien manda OTP y notificaciones

Entre septiembre y diciembre va a haber números perfectamente válidos en tu base que dejan de recibir mensajes de un día para el otro, sin ninguna señal previa del lado del emisor. Lo que hago en ese escenario:

• Agrupar la tasa de entrega por el último dígito del número durante las semanas de corte. Si la caída se concentra en una terminación, no es un problema de ruta ni del operador: es el calendario.
• Registrar el motivo de fallo que devuelve el operador y tratarlo como dato, no como ruido. Una suspensión administrativa no se comporta como un número inexistente.
• Cortar los reintentos. Insistir contra una línea suspendida no entrega nada y ensucia la reputación del tráfico.
• No dar de baja el contacto al primer fallo: la suspensión se revierte cuando el titular completa el trámite, y el número vuelve a ser el mismo.
• Tener un camino alternativo para completar la operación —voz, correo o notificación en la app— antes de que el usuario quede trabado.
• Avisar en el flujo: cuando la entrega falla, explicar en pantalla que el número puede estar suspendido por el registro. Ahorra llamadas al centro de contacto.

Es un buen momento para revisar algo que casi nadie mira: cuántos de los números de tu base siguen activos. Un corte administrativo de este tamaño es, además, una limpieza gratuita de contactos muertos, siempre que se lea bien la diferencia entre un número dado de baja y uno suspendido de forma temporal. Más contexto regulatorio en Regulación y telecomunicaciones.

Fuentes

• The Star: Over 70,000 prepaid SIM card lines terminated over suspected misuse in 2025, says Teo (7 de marzo de 2026).
• The Edge Malaysia: Why the need for so many SIM cards? (límite de cinco líneas desde 2017) (27 de octubre de 2025).
• Lowyat.NET: MCMC officially enforces prepaid SIM registration rules under revised Mandatory Standard (27 de febrero de 2026).
• Malay Mail: Telcos must explain alleged mass registration of phone lines under single identities (20 de agosto de 2026).
• Komdigi, Indonesia: Registro de SIM con verificación biométrica (29 de mayo de 2026).
• SCJN, Diario Oficial de la Federación: Sentencia de la Acción de Inconstitucionalidad 82/2021 (PANAUT) (publicada el 12 de diciembre de 2022).

Seguir leyendo

• Guía: OTP por SMS en la banca de México — la referencia completa: regulación, diseño del mensaje, límites, señales de red y métricas.
• Network APIs de GSMA Open Gateway: SIM Swap y Number Verification — señales de red para el análisis de riesgo antes del OTP.
• Identidad de las comunicaciones: la superficie de seguridad que dejamos sin resolver — cómo se resuelve la identidad de quien envía.
• Registro de remitentes SMS en España, Costa Rica y Colombia — qué exige cada esquema y qué protege de verdad.
• Padrón de telefonía móvil: qué pasa con el OTP cuando la línea está suspendida — el efecto del registro de líneas en México sobre la entrega del código de verificación.