IMSI e IMEI: qué identificadores emite el móvil y hasta dónde puede leerlos una torre falsa

Cuando un móvil se conecta a una red celular intercambia identificadores que permiten a la operadora localizarlo, autenticarlo y encaminar sus llamadas. Dos de los más citados son el IMSI y el IMEI, pero no identifican lo mismo ni están protegidos de la misma manera. La diferencia importa porque determina qué puede obtener una torre falsa, también conocida como IMSI catcher, y qué información queda fuera de su alcance en las redes modernas.

Qué identifica cada número

El IMSI (International Mobile Subscriber Identity) lo asigna la operadora cuando se contrata el servicio y vive en la tarjeta SIM. La red lo usa para buscar al abonado y autenticarlo; en la práctica, el mismo IMSI acompaña a la SIM durante años. El IMEI (International Mobile Equipment Identity) identifica el dispositivo físico. La red no lo utiliza para autenticar al usuario: sirve para nombrar un teléfono, no para demostrar quién lo usa.

El artículo de BleepingComputer que sirve de punto de partida compara el IMSI con una matrícula que sigue a la SIM y el IMEI con el número de bastidor que permanece con el aparato. La analogía ayuda a entender por qué el primero es más útil para seguir a una persona y el segundo para identificar un equipo.

Lo que cambia entre 2G, 4G y 5G

En 2G y 3G el IMSI se transmite sin cifrar. El IMEI también viaja en claro y puede enviarse sin un canal seguro. En 4G, el IMSI se envía en claro la primera vez que el teléfono se conecta y después se sustituye por un identificador temporal, el GUTI, para reducir su exposición. El IMEI solo se envía después de la autenticación mutua entre el dispositivo y la red.

En 5G standalone, el identificador de suscriptor se protege mediante un SUCI, una versión cifrada del SUPI, y el IMEI vuelve a enviarse solo tras la autenticación mutua. Los detalles están en las especificaciones de 3GPP: el TS 23.003 describe la estructura de los identificadores y el TS 33.501 recoge la arquitectura de seguridad de 5G.

Cómo actúa una torre falsa

Un IMSI catcher simula una estación base y emite con suficiente potencia para que los teléfonos cercanos intenten conectarse a ella. El teléfono puede revelar su IMSI antes de que la red falsa demuestre que es legítima. En 4G, ese primer intercambio es precisamente el que aprovecha el atacante. La protección de 5G mediante SUCI está pensada para cerrar esa brecha, pero un atacante puede intentar que el dispositivo baje a 4G o a una generación anterior si hay cobertura para ello.

Un caso relacionado es el SMS blaster: un equipo que también se hace pasar por una torre, pero cuyo objetivo es enviar mensajes fraudulentos a los móviles cercanos. En abril de 2026, las autoridades canadienses detuvieron a tres hombres acusados de operar uno de estos dispositivos, según recordó BleepingComputer. La diferencia está en el fin: el IMSI catcher busca identificar y seguir; el SMS blaster, hacer llegar un mensaje de phishing.

El rastro que deja la paginación

Un teléfono inactivo no escucha de forma continua. Se despierta en unos instantes concretos, las paging occasions, para comprobar si la red tiene una llamada, un mensaje o una notificación. En 4G, esos instantes se calculan con una fórmula pública a partir del IMSI, de modo que un identificador estable produce un patrón estable. En 5G se calculan a partir de un identificador temporal.

El trabajo presentado en NDSS en 2019 mostró cómo un atacante que conoce el número de teléfono puede provocar llamadas silenciosas, mensajes o notificaciones y observar qué instante de paginación registra actividad. Con unas ocho tentativas de media, el patrón permitía confirmar la presencia del dispositivo en una zona sin necesidad de montar una torre falsa. Los investigadores validaron el ataque contra todas las operadoras estadounidenses que probaron.

El siguiente paso era más grave: algunos operadores, cuando fallaban las páginas dirigidas al identificador temporal, recurrían a difundir el IMSI sin proteger. Combinando ese comportamiento con el conocimiento del instante de paginación, los investigadores consiguieron asociar un número de teléfono con su IMSI. El trabajo se validó contra una gran operadora estadounidense. Con el IMSI en mano, un atacante puede intentar localizar el dispositivo o interceptar llamadas y mensajes mediante ataques de señalización.

Por qué el IMEI es más difícil de capturar

En 4G y 5G, una torre falsa básica puede obtener el IMSI, pero no el IMEI, porque el teléfono solo lo envía después de autenticarse. Para conseguirlo, el atacante tendría que degradar la conexión a una red anterior o disponer de datos de autenticación obtenidos previamente mediante ataques a SS7 o Diameter. La operadora sí puede relacionar un IMEI con una línea, de modo que un compromiso interno del operador permitiría seguir un dispositivo por ese número.

Qué reduce realmente la exposición

La protección estructural es usar 5G standalone con SUCI y mantener el teléfono en esa red cuando sea posible. Los identificadores temporales, como el GUTI en 4G y el 5G-S-TMSI, reducen la correlación a largo plazo, pero no impiden que una torre falsa capture un identificador en un momento concreto. Rotar el IMSI o el identificador de red puede dificultar el seguimiento histórico, aunque no sustituye el cifrado ni la autenticación de la red.

El artículo original de BleepingComputer está patrocinado por Cape, un operador que promociona la rotación de IMSI como parte de su servicio. Sus afirmaciones comerciales no se han evaluado aquí; las explicaciones técnicas de este texto se apoyan en las especificaciones de 3GPP y en la investigación académica citada.