Privacidad del número de teléfono: lo que aún funciona en 2026

Una nota sobre la financiación: CypherpunkGuide no lleva publicidad de vigilancia. Nada de redes publicitarias, píxeles de rastreo ni contenido patrocinado. Nos sostienen fuentes transparentes: hoy, las donaciones de los lectores; más adelante, una suscripción y afiliados alineados con nuestra línea editorial. Respondemos ante quienes nos leen, no ante los anunciantes.

Todos los formularios de alta lo piden. Tu banco, tu dentista, la tarjeta de puntos del supermercado y —lo comprobé este mes al recopilar los requisitos de registro de seis grandes servicios de IA— hasta tu chatbot. Un usuario de r/privacy lo resumió mejor que la mayoría de las empresas de seguridad: el número de teléfono es el nuevo SSN («the phone number is the new SSN» en el original), el número de la seguridad social estadounidense. Es el identificador que casi nadie cambia en toda su vida, el que te sigue de servicio en servicio y el que sueltas decenas de veces al año. Eso lo convierte en la llave de cruce más barata que pueden desear un adversario o un data broker (un comerciante de datos).

La complicación es que 2026 está cerrando las salidas por los dos extremos a la vez. Desde arriba, la FCC —el regulador de las telecomunicaciones de EE. UU.— propone que cada operadora recoja de todo cliente, nuevo o en renovación, «el nombre, la dirección física, el número de un documento de identidad oficial y un número de teléfono alternativo» (en el original: “the name, physical address, government issued identification number, and an alternate telephone number”) — el modelo que 157 países ya aplicaban de alguna forma según el recuento global de Privacy International de 2021. Desde abajo, los servicios rechazan en silencio el atajo que toda guía recomienda primero: los números VoIP, los números de teléfono por internet que reparten apps como Google Voice o Hushed y que no dependen de ninguna tarjeta SIM. El centro de ayuda de Anthropic ya avisa de que para abrir una cuenta de Claude no puedes usar «números VoIP, Google Voice, números de teléfono creados con apps, líneas fijas» (“VoIP numbers, Google Voice, phone numbers created using apps, landlines” en el original), y el propio Google Voice empezó a exigir un documento de identidad oficial a los usuarios nuevos en enero de 2026. Mientras tanto, el número que ya tienes sigue goteando: el FBI registró 982 denuncias de SIM swap —el secuestro de la SIM— y 26 millones de dólares en pérdidas en 2024, y una empresa de vigilancia fue sorprendida explotando SS7 —la red de señalización entre operadoras, diseñada en los años setenta— para localizar teléfonos por su número durante 2024 y 2025.

Así que la pregunta honesta no es «cómo escondo mi número de teléfono». No puedes esconderlo del todo, y fingir lo contrario es la manera de que alguien acabe herido. La pregunta es qué número hace qué trabajo. Este artículo traza lo que revela un número, documenta la tenaza con fuentes primarias y una tabla país por país, muestra —con mis propias pruebas de alta— qué servicios rechazan de verdad los números alternativos, y despliega después la estrategia de cuatro números que aún funciona, ajustada a cuatro modelos de amenaza concretos.

Tu número de teléfono ya es un documento de identidad

#

Atar la identidad al número de teléfono significa usar tu número como prueba de quién eres, no solo como una vía para localizarte. Ese es el cambio. Un dato de contacto se sustituye; un ancla de identidad es lo que las cuentas, los comerciantes de datos y los gobiernos usan para unir todo lo demás. Tres mecanismos hacen que el número sea especialmente peligroso en ese papel.

Abre cuentas que nunca debiste poder perder. Un SIM swap —el secuestro de la SIM— es un ataque en el que alguien convence a tu operadora para pasar tu número a su propia tarjeta; a partir de ese momento, cada SMS —códigos de acceso incluidos— le llega al atacante. No es nada exótico. Cuando investigadores de Princeton pusieron a prueba a cinco grandes operadoras estadounidenses de prepago en 2020, sus intentos de secuestro triunfaron en 39 de 50 casos (78 %); y de las más de 140 webs populares que auditaron, en 17 se podía tomar el control con solo el número de teléfono, sin contraseña alguna. El IC3 —el centro de denuncias de ciberdelitos del FBI— registró 982 denuncias de SIM swap con 25,98 millones de dólares perdidos en 2024; menos que los 72,7 millones de 2022, aunque parte de las pérdidas puede estar contabilizada hoy en categorías de fraude vecinas.

Difunde tu ubicación a cualquiera que pueda alquilar el acceso. SS7, la red de señalización que las operadoras usan para encaminar llamadas entre sí, permite a quien logra entrar preguntar «¿dónde está este número ahora mismo?». En 2025, investigadores de la firma de seguridad de telecomunicaciones Enea documentaron a una empresa de vigilancia que usaba un comando malformado para saltarse las defensas de las operadoras y extraer ubicaciones de teléfonos a demanda — una clase de ataque que Enea sigue viendo en uso activo desde finales de 2024. No hace falta que pulses nada. Basta con que alguien sepa tu número.

Acaba en tu nombre. En Estados Unidos, CNAM —la base de datos de las operadoras que asocia cada número al nombre de quien llama— convierte números en nombres registrados, y los buscadores comerciales de personas cruzan números con datos de filtraciones, censos electorales y registros de propiedad para devolver un nombre y un domicilio por unos pocos dólares. Un número «privado» que alguna vez estuvo ligado a tu identidad es una entrada de índice, para siempre. Es la misma permanencia que documenté con el historial de redes sociales: borrar la copia visible no borra la llave de cruce.

La tenaza: identificación desde arriba, rechazo desde abajo

#

Este es el giro estructural al que la mayoría de las guías aún no ha llegado: las dos salidas de siempre —comprar una SIM de prepago en efectivo o usar un número de internet— se están cerrando a la vez desde extremos opuestos. Entender las dos mordazas de la tenaza es lo que hace que la estrategia de las siguientes secciones sea realista y no nostálgica.

Desde arriba: los registros obligatorios. Según la revisión global de Privacy International de 2021, 157 países exigían registrar la identidad para comprar una SIM; solo 34 no lo hacían; y 14 pedían datos biométricos, como el escaneo facial. La lista sin registro no deja de encoger: la Suprema Corte de México anuló un padrón biométrico de SIM en 2022 y, aun así, en enero de 2026 llegó la obligación de registrar la línea con la CURP —la clave de identidad nacional mexicana—, con suspensión de las líneas no registradas desde julio de 2026. Estados Unidos venía siendo la gran excepción —sin mandato federal de registro—, y eso es exactamente lo que acabaría la propuesta de la FCC de abril de 2026 (expediente CG 17-59, publicado en el Federal Register el 26 de mayo): una obligación de verificación de identidad (KYC, «conoce a tu cliente») con nombre, domicilio, número de documento oficial y un teléfono alternativo, todo conservado durante cuatro años después de que dejes de ser cliente. Es una propuesta, no una ley —el plazo de réplicas corre hasta el 27 de julio de 2026—, pero la deriva es inequívoca. Japón se movió en la misma dirección un mes antes: una reforma de mayo de 2026 de su ley contra el uso fraudulento de móviles extiende la verificación de identidad a las SIM de solo datos, el último rincón sin identificación de aquel mercado, con plazo de aplicación hasta mayo de 2027.

No son los delincuentes a quienes aprieta primero esta tenaza. La National Network to End Domestic Violence —la red nacional de EE. UU. contra la violencia doméstica— dijo a la FCC que las conductas «sospechosas» que persigue la propuesta —pagar en efectivo, usar un apartado de correos o una dirección de reenvío— «son, para las supervivientes, prácticas de seguridad asentadas y, a menudo, las que les salvan la vida» (en el original: “are, for survivors, well-established and often life-preserving safety practices”). Una mujer que huye de su maltratador puede no tener una dirección segura que dar ni documentos que pueda recuperar. Los periodistas y sus fuentes cargan con el mismo problema, con otras cosas en juego. Es el patrón al que vuelvo una y otra vez en este sitio: los controles de identidad diseñados contra el fraude golpean con más dureza a quienes más tienen que perder.

La situación de tu país. Construí esta tabla a partir de fuentes legales primarias y del estudio de Privacy International; cada fila lleva su propia fuente y su fecha de comprobación. Es una instantánea de regímenes representativos, no una lista completa.

Instantánea de regímenes representativos, no una lista completa — las normas cambian; cada fila lleva su fuente y su fecha de última comprobación. «Sin obligación legal» no significa que la operadora no recoja nada: siguen existiendo los registros de pago, las cámaras de las tiendas y las políticas de cada operadora.

Antes de aplicar nada de lo que sigue, busca en la tabla de arriba la fila del país donde vives. Si lees desde España, tu fila quedó decidida hace tiempo: el registro es obligatorio desde 2007 (Ley 25/2007), la capa de prepago queda ligada a tu identidad en el mismo mostrador, y las otras tres capas tienen que sostener la separación. Si lees desde México, la historia es más reciente: la Suprema Corte tumbó el registro biométrico en 2022, pero desde enero de 2026 rige el registro con CURP y las líneas no registradas se suspenden desde julio de 2026 — cuenta con que el prepago anónimo deja de existir ahí también. Desde cualquier otro país: localiza tu fila y abre la fuente que la acompaña antes de dar nada por hecho.

Desde abajo: los propios servicios. Incluso donde la ley calla, las plataformas rechazan cada vez más los números que no cuelgan de un contrato con una operadora — y saben distinguirlos. La API Line Type Intelligence de Twilio, una de varias consultas comerciales, clasifica cualquier número en doce tipos — mobile, landline, fixedVoip, nonFixedVoip, etcétera — y Twilio vende abiertamente a los equipos antifraude la posibilidad de filtrar los números «nonFixedVoip» de sus flujos de verificación. Google Voice, que durante años fue la recomendación de privacidad por defecto, exige desde el 30 de enero de 2026 verificación con documento oficial para estrenar número. El ecosistema de atajos se está quedando sin sitio: lo que antes era gratis ahora exige documentos, permiso o las dos cosas.

Comprobé qué servicios de IA rechazan los números alternativos

#

Una advertencia abstracta sirve menos que una lista contrastada. En julio de 2026 revisé los requisitos de alta vigentes de seis grandes servicios de IA en sus propios centros de ayuda, condiciones y políticas de privacidad, archivando cada fuente como parte de un conjunto de datos de requisitos más amplio que estoy construyendo — trata la tabla como una instantánea con fecha y verifica las páginas actuales de cada proveedor antes de apoyarte en ella. Los asistentes de IA son un buen banco de pruebas: son la categoría de cuentas que más crece y, como mostré en la auditoría de asistentes de IA, lo que les cuentas queda registrado.

La fila de Claude merece la cita literal, porque es la declaración más nítida de la nueva normalidad que haya publicado un servicio grande: «Exigimos la verificación telefónica a todos los usuarios nuevos y no hay forma de saltarse este paso… no puedes usar números VoIP, Google Voice, números de teléfono creados con apps, líneas fijas ni otros números que no puedan recibir SMS para verificar tu cuenta» (en el original: “We require phone verification for all new users, and there isn’t a way to skip this step… you cannot use VoIP numbers, Google Voice, phone numbers created using apps, landlines, or other numbers that can’t receive texts to verify your account”). Un número móvil real, una cuenta. La horquilla de esa tabla es la lección práctica: la misma categoría de producto va desde «teléfono verificado por la operadora, sin excepciones» hasta «no hace falta ni cuenta». Qué número merece cada servicio —si es que merece alguno— sigue siendo decisión tuya, pero solo si lo compruebas antes de teclear el de verdad.

La estrategia de cuatro números que aún funciona

#

La vulnerabilidad es que un único número hace todos los trabajos. El arreglo duradero es separar funciones — la misma lógica de compartimentación que recorre el modelo de amenazas en la era de la IA — aplicada al identificador que todo el mundo olvida compartimentar. Los números son baratos; lo caro es que una sola llave de cruce basta para encontrarte. Cuatro capas, de la más protegida a la más desechable:

Montarlo, por orden:

1. Blinda la caja fuerte antes que nada. Llama a tu operadora y activa un PIN de portabilidad o un bloqueo del número — los resultados de Princeton muestran por qué la autenticación de las operadoras es el muro más débil. Después retira tu número real de toda cuenta que permita sustituirlo por una app de códigos o una llave de acceso (passkey); el SMS debería ser tu segundo factor solo donde no ofrezcan nada más.
2. Convierte tu número de mensajería en un nombre de usuario. Signal permite ocultar el número detrás de un nombre de usuario desde febrero de 2024: registrarse sigue exigiendo un número, pero con «¿Quién puede encontrarme por mi número?» en Nadie, tus contactos ven cora.01, no dígitos. La capa 2 existe porque poder localizarte y saber quién eres nunca fueron lo mismo.
3. Compra la capa de cuentas. Un servicio VoIP —telefonía por internet, números sin SIM detrás— como MySudo o Hushed te da números compartimentados por unos dólares al mes; JMP.chat funciona sobre XMPP —un protocolo abierto de mensajería— y es popular en las comunidades de privacidad. Espera exactamente lo que enseñó la tabla de arriba: algunos servicios rechazarán estos números, y ese rechazo es en sí mismo información sobre cuánta identidad exige ese servicio.
4. Mantén una capa frontera donde tu fila lo permita. En los países sin registro obligatorio, una SIM de prepago pagada en efectivo sigue siendo legal y sigue siendo el verificador puntual más limpio — la propuesta de la FCC no se ha aprobado. En los países con registro, la versión honesta de esta capa es ningún número: prefiere la vía del email, la del monedero o marcharte. Lo que no recomiendo es mentir a una operadora ni esquivar una obligación legal de identificación — en los países con registro eso puede ser un delito en sí mismo, y este sitio no juega a la ruleta con los riesgos legales.

Dos apuntes de pago, brevemente: paga las capas VoIP con una tarjeta enmascarada o de prepago cuando puedas, porque un número privado facturado a tu tarjeta real es un rodeo burocrático, no un muro; y si ya guardas bitcoin sin KYC por una cuestión de principios, JMP.chat es de los pocos servicios de números que lo acepta.

Encaja los números en tu modelo de amenazas

#

Una estrategia solo significa algo frente a un adversario con nombre. Estos cuatro cubren a la mayoría de los lectores — elige el tuyo y la tabla de arriba se reduce a dos o tres movimientos concretos.

La fila del acosador es para la que escribo. El expediente de la FCC dice en voz alta la parte que suele callarse: la red de supervivientes describe los teléfonos pagados en efectivo y las direcciones confidenciales como prácticas de seguridad «que salvan vidas» (“life-preserving safety practices” en el original), y esas son exactamente las conductas que un régimen KYC marca como sospechosas. Si tu amenaza es una persona que conoce tu nombre, el número de la caja fuerte que ya tiene es el riesgo — un número que nunca ha visto, en una mensajería que no lo confirmará, vale más que cualquier cantidad de bloqueos.

Lo que no funciona

#

Desmontar mitos es una capa de defensa por derecho propio; estos cuatro fallos cuestan dinero real y seguridad real.

• «Una app de números desechables (una burner app) me hace anónima». Un número VoIP oculta tu número de operadora a la persona que llamas — no te oculta ante la app, que conoce tu método de pago, tu dirección IP y muchas veces tu agenda, y queda retratado como VoIP en cuanto un servicio consulta el tipo de línea. Compartimento útil, no capa de invisibilidad.
• «Pues me cambio de número». El número viejo se queda en cada base de datos de comerciantes de datos, cada volcado de filtraciones y cada registro CNAM que tocaste, y el nuevo empieza a acumular historial en cuanto lo repartes de la misma manera. Rotar sin separar funciones no pone nada a cero.
• «El prepago es anónimo». En 157 países queda registrado con tu documento en el mostrador. Incluso en los países sin registro, la compra deja rastros de pago y cámaras de tienda, y la FCC propone cerrar ese hueco del todo. Trata el prepago en efectivo como sin vínculo en la compra, no como imposible de rastrear en el uso — los hallazgos sobre SS7 de arriba valen para todas las SIM por igual.
• «El doble factor por SMS es mejor que nada». Cierto, y también es el mecanismo por el que en 17 de las más de 140 webs auditadas bastaba el número para tomar el control. Donde exista una app de códigos o una llave de acceso, el SMS no es tu respaldo: es tu superficie de ataque, la puerta que dejas abierta.

En conclusión: ¿qué configuración es la tuya?

#

Si hoy haces una sola cosa: activa el PIN de portabilidad con tu operadora y retira tu número real de toda cuenta que acepte una app de códigos en su lugar. Esa única hora cierra la vía del SIM swap que produjo 26 millones de dólares en pérdidas declaradas en EE. UU. el año pasado.

Si montas el sistema completo: número de caja fuerte para la banca y la administración pública, nombre de usuario de Signal para las personas, un número VoIP para las cuentas y — donde la fila de tu país lo permita — un prepago en efectivo para la frontera. Comprueba el servicio antes de gastar el número: la diferencia entre Claude (teléfono verificado por la operadora, sin excepciones) y un servicio con acceso por monedero como Venice es la diferencia entre un vínculo de identidad permanente y ninguno, dentro de la misma categoría de producto.

Y no pierdas de vista el calendario: el plazo de réplicas de la FCC se cierra el 27 de julio de 2026, la norma japonesa de las SIM de solo datos llega como muy tarde en mayo de 2027, y cada fila de la tabla de arriba lleva su fecha de comprobación. En 2026, la privacidad del número de teléfono no es una compra; es una estructura que se mantiene.

Preguntas frecuentes

#

¿Basta un número VoIP para proteger mi identidad?

#

Compartimenta — no anonimiza. Un número VoIP evita que tiendas y apps conozcan tu número de operadora, pero el proveedor VoIP conoce tu método de pago y tu dirección IP, y los servicios pueden detectar el tipo de línea con consultas como la de Twilio y rechazarlo, como hace Claude. Usa el VoIP para la capa de cuentas, nunca como tu único muro.

¿Son ilegales los teléfonos desechables en 2026?

#

En Estados Unidos, no: hoy no existe una obligación federal de identificarse para comprar una SIM de prepago, aunque la propuesta de la FCC de 2026 (réplicas hasta el 27 de julio de 2026) lo cambiaría. En los 157 países con registro obligatorio, el prepago es legal pero queda ligado a tu identidad en la compra; adquirirlo con una identidad falsa puede ser un delito. Comprueba la fila de tu país en la tabla de arriba y su fuente.

¿Signal sigue exigiendo mi número de teléfono?

#

Sí: registrarse exige un número, sin cambios desde el lanzamiento de los nombres de usuario en febrero de 2024. Lo que cambió es la exposición: con un nombre de usuario y «¿Quién puede encontrarme por mi número?» en Nadie, los demás usuarios nunca ven el número. Regístrate una vez con tu número de caja fuerte o VoIP y reparte después solo el nombre de usuario.

¿Qué pasa si la propuesta de la FCC se convierte en ley?

#

Todas las operadoras de EE. UU. —el prepago incluido— recogerían tu nombre, tu domicilio, el número de tu documento oficial y un teléfono alternativo, y guardarían esos registros cuatro años después de que te vayas. Las organizaciones contra la violencia doméstica dijeron a la FCC que eso convierte las prácticas de seguridad de las supervivientes en señales de alarma. Si sale adelante, Estados Unidos abandona el club menguante de países sin registro —34 en 2021, menos México desde enero de 2026— y la capa frontera de la estrategia se desplaza del prepago a las vías sin número.

¿Y si simplemente estreno número y empiezo de cero?

#

Solo como parte de una separación de funciones, y solo si tu amenaza es una persona concreta que tiene el viejo. El número antiguo permanece para siempre en las bases de los comerciantes de datos y en los volcados de filtraciones, y un número nuevo usado a la vieja manera — uno para todo — reconstruye el mismo perfil en cuestión de meses. La estructura vence a la rotación.

Fuentes

#

Cora Aegis escribe sobre privacidad en Bitcoin, autocustodia y soberanía digital bajo seudónimo — una elección que este artículo debería explicar por sí sola. Las fuentes de cada estadística están listadas arriba; la tabla de países lleva su fuente y su fecha de comprobación en cada fila. Correcciones: cora@cypherpunkguide.com.