OPSEC52 / Semana 16 — Teléfonos desechables: un número limpio en un teléfono sucio no es limpio

La mayoría cree que un desechable es un teléfono barato con una SIM nueva. Ese es el 20% fácil. El número es trivial de mantener limpio; el teléfono, cómo lo pagaste y dónde lo enciendes es donde casi todos los desechables quedan quemados. Una SIM de prepago comprada en efectivo no vale nada si el teléfono que la lleva también llevó tu SIM real la semana pasada, o se enciende en tu dormitorio, o lo compraste con tu tarjeta.

Modelo de amenaza: tu operadora y sus registros de antenas, el baseband del teléfono (una pequeña radio siempre activa que el SO no controla del todo), quien tenga el rastro de compra (procesador de tarjeta, CCTV de la tienda) y cualquier analista que pueda correlacionar dos dispositivos por tiempo y lugar. Un desechable son cuatro cosas limpias a la vez —número, teléfono, compra, movimiento— y falla si una te apunta.

El número es la parte fácil (la Semana 4 ya lo cubrió)

Una SIM de prepago no-KYC comprada en efectivo te da un número limpio. Bien, pero un número es un identificador, y el teléfono a su alrededor emite varios más. Acertar con la SIM y parar ahí es el error clásico: el número está limpio y todo lo demás eres tú.

El teléfono es una baliza, no una herramienta

Todo teléfono emite una identidad de hardware independiente de la SIM:

• IMEI — un número de serie que la red registra junto al IMSI (SIM). Si tu SIM desechable y tu SIM real llegan a estar en el mismo teléfono, los registros de la operadora enlazan ambos números para siempre. Un teléfono, dos SIM = una persona.
• Baseband — el módem celular corre su propio firmware cerrado por debajo del SO. El modo avión y “apagado” son peticiones, no garantías. Trata cualquier teléfono con batería como potencialmente localizable.
• MAC de Wi-Fi / Bluetooth + sensores — incluso sin SIM, un teléfono sondea redes y puede ser identificado. Un desechable que alguna vez se une a tu Wi-Fi de casa se ha geolocalizado en tu dirección.

Así que: un desechable necesita su propio teléfono dedicado que nunca haya llevado tu SIM real ni tocado tus redes — no tu teléfono viejo con una SIM nueva.

El rastro de compra

Compra el teléfono y la SIM como querrías que se mantuvieran anónimos: efectivo, en persona, no ante una cámara que te pueda vincular, no cerca de casa. Un desechable comprado con tu tarjeta —o enviado a tu dirección— queda pre-enlazado antes de encenderse. Igual con las recargas: cupones en efectivo, no tarjeta.

La co-localización es lo que realmente quema desechables

Esto es lo que la gente pasa por alto. Las operadoras (y cualquiera con los datos de antenas) hacen análisis de co-localización: dos teléfonos que se encienden repetidamente en la misma celda a las mismas horas y luego viajan juntos son casi con seguridad una persona. Si tu desechable alguna vez se enciende:

• en tu casa o trabajo, o
• a la misma hora y lugar que tu teléfono real,

…da igual lo limpia que fuera la SIM: el patrón los suelda. Deja tu teléfono real en casa y encendido cuando lleves el desechable; nunca dejes ambos activos en el mismo lugar.

La disciplina

• Teléfono dedicado, comprado en efectivo, que nunca llevó tu SIM real ni tocó tu Wi-Fi.
• Efectivo para el teléfono, la SIM y cada recarga. No cerca de casa, no ante tu propio CCTV.
• Nunca co-localices. El teléfono real se queda en otro sitio (idealmente en casa y encendido como coartada) cuando el desechable está activo.
• Apágalo + saca la batería cuando no lo uses — un baseband activo es una baliza.
• Un propósito por desechable. No dejes que uno solo puentee dos actividades separadas, o se convierte en una clave de enlace como una cuenta reutilizada.
• Retíralo limpio. Al terminar, apágalo, quita/destruye la SIM y deja de usar ese teléfono — no lo “recicles” al uso normal donde se cruza con tu identidad real.

Errores comunes

• SIM nueva, teléfono viejo. El IMEI ya te conoce; la operadora ya lo emparejó con tu IMSI real.
• Cargarlo o encenderlo en casa. Geolocalización instantánea a tu dirección, más co-localización con tu teléfono real.
• Comprarlo con tarjeta / enviarlo a tu dirección. El rastro de compra lo vincula antes del primer arranque.
• Llevar ambos teléfonos juntos. Se pierde todo el sentido — viajan como pareja.
• Iniciar sesión en una cuenta real “solo una vez”. Ese único inicio ata el teléfono a ti para siempre.

Véase también

• Fichas de xmr.club: fuentes de SIM / eSIM no-KYC para el lado del número.
• Semanas OPSEC52 adyacentes: Semana 4 — compartimentación del número, Semana 15 — elegir mensajería segura, Semana 1 — la pila VPN/Tor para el lado de los datos.

OPSEC52 es la serie semanal de OPSEC de xmr.club. Índice: /opsec. Curado por Cyber Satoshi