Vishing: cómo funciona una llamada falsa y cómo cortarla

De dónde viene el nombre vishing

El nombre junta voz con phishing, el término para los mensajes falsos que intentan pescar información de quien los recibe. Lo que cambia en una llamada es que quien está al otro lado responde a tus preguntas en directo y ajusta la historia a lo que vas diciendo. Por eso una llamada segura y bien llevada puede seguir siendo falsa: esa seguridad es justamente el producto. INCIBE lo define en su página sobre vishing como una técnica de ingeniería social para engañar a través de llamadas fraudulentas y conseguir datos personales, la instalación de programas o un pago.

La llamada muchas veces empieza por escrito. Un SMS avisa de una compra grande y pide que llames a un número para cancelarla, lo que une un SMS fraudulento con la llamada que viene después. Ya en la conversación se usan las herramientas de siempre de la ingeniería social: autoridad, prisa y un problema que solo puede arreglar la persona que está al teléfono.

El nombre que aparece en la pantalla cambia. El mecanismo, no.

El guion de un falso departamento antifraude

Las versiones se repiten con pequeñas variaciones: una compra sospechosa con tu tarjeta, un móvil nuevo que se acaba de vincular a tu cuenta, una investigación que obliga a mover tu dinero a una cuenta segura mientras se aclara. Quien llama puede pasarte entre departamentos, dejarte en espera con música y leerte datos tuyos que son correctos, y todo eso está ahí para que la llamada se parezca a una entidad de verdad.

Hay una versión pensada para personas mayores que se apoya en una emergencia familiar en lugar de en un banco, que INCIBE describe en su artículo sobre la estafa del familiar en apuros, y otra que se apoya en una devolución que nunca pediste. Cambia la entrada y el final es el mismo.

Lo que un banco de verdad no te pide nunca

Esta es la parte que merece la pena tener en la cabeza, porque resuelve la llamada sin tener que juzgar lo convincente que era la persona. Si alguien por teléfono te pide una de estas cosas, es una estafa:

• tu contraseña completa, tu PIN o el código de un solo uso que acaba de generar tu aplicación o de llegarte por SMS;
• una transferencia o un pago para arreglar un problema de tu propia cuenta, incluida una cuenta segura, una cuenta protegida o una cuenta a tu propio nombre;
• instalar o actualizar una aplicación mientras sigues al teléfono;
• entregar la tarjeta a un mensajero, o dinero en efectivo a alguien que pasa a recogerlo;
• un pago de prueba, una devolución de prueba o una transferencia pequeña para comprobar que algo funciona.

Los bancos tampoco usan la presión y una cuenta atrás para que hagas algo en el minuto siguiente. INCIBE lo dice igual en su página sobre vishing: ante la sospecha, corta la llamada y comprueba la información directamente con la empresa o el servicio implicado a través de sus canales oficiales.

Con los organismos públicos funciona igual. La Agencia Tributaria avisa en su página sobre phishing de que nunca pide por correo ni por SMS información confidencial, económica o personal, ni números de cuenta o de tarjeta, y de que lo que tengas pendiente lo verás entrando tú a su sede electrónica. Si dudas de una llamada que dice venir de una administración, cuelga y búscala tú en la web oficial del organismo.

Cuelga y llama tú

Mientras la llamada está en marcha, quien marcó lleva el ritmo y tiene una respuesta preparada para cada objeción. Esa conversación no la vas a ganar, y tampoco hace falta. Cuelga y busca el número por tu cuenta: el que viene impreso en la tarjeta, el que está dentro de la aplicación que ya tenías instalada o el de la web de la empresa escrita a mano.

Si tienes otro teléfono a mano, llama desde ese, o espera un minuto antes de marcar. No cuesta nada y quita cualquier duda sobre si la llamada anterior se cortó de verdad.

Un departamento antifraude real no tiene ningún problema en que le llames tú por un canal oficial. Si la persona insiste en que la llamada no puede terminar, en que no se lo cuentes a nadie o en que colgar te va a costar el dinero, esa es la señal más fuerte de toda la conversación. Colgar además te da lo que el guion está diseñado para quitarte: un minuto para abrir la aplicación y ver si la compra existe, y un minuto para contarle la historia entera a otra persona en voz alta.

El número de la pantalla no demuestra nada

Quien llama puede hacer que aparezca en tu pantalla casi cualquier número, incluido el que viene impreso en tu propia tarjeta. INCIBE lo explica en su artículo sobre spoofing telefónico: los delincuentes falsifican el identificador de llamada, así que aunque el número corresponda a una entidad conocida no conviene fiarse solo de eso. Por eso tampoco devuelvas la llamada desde el registro de llamadas recientes, porque eso vuelve a marcar al estafador.

Algunos móviles y algunas operadoras marcan ya una llamada como posible spam. Esa etiqueta es una señal útil y nada más. Que no aparezca no significa que la llamada sea real, y que aparezca una marca de verificada no es motivo para leer un código, aprobar un aviso o mover dinero mientras sigues al teléfono. Ninguna etiqueta cambia la lista de lo que un banco no pide nunca.

La voz tampoco es una prueba. INCIBE ha documentado un caso real de fraude con la voz de un familiar creada con inteligencia artificial, y recuerda que bastan unos segundos de audio para generar una voz falsa. Eso pesa sobre todo en la versión de la emergencia familiar. La respuesta sigue siendo la misma de siempre: termina la llamada y busca a esa persona en un número que ya tenías.

Si ya enviaste dinero

1. Llama a tu banco ahora, al número de la tarjeta o al de dentro de la aplicación, y desde otro teléfono si puedes. Di que el pago fue un fraude y pide que bloqueen la cuenta, la aplicación y la tarjeta. El Banco de España explica en su portal del cliente bancario qué ocurre con el uso fraudulento de la tarjeta: desde que lo comunicas, el banco se hace cargo de cualquier operación posterior que tú no hayas hecho, y de las anteriores respondes como mucho hasta 50 euros.
2. Di cómo pagaste y pregunta qué se puede hacer con ese medio de pago, porque son situaciones distintas de verdad. Un cargo en tarjeta tiene un procedimiento de reclamación. Ante una transferencia no autorizada, el Banco de España dice que el banco debe reembolsarte de inmediato los fondos, salvo que pruebe que actuaste de manera fraudulenta o que incumpliste de forma deliberada o por negligencia grave tus obligaciones. Y si la transferencia, la transferencia inmediata o el Bizum los ordenaste tú aunque fuera bajo engaño, el banco del destinatario no puede devolver el dinero sin el consentimiento de quien lo recibió. Pregunta en lugar de dar por supuesta la respuesta.
3. Denuncia. Puedes hacerlo en cualquier comisaría o cuartel, por la Oficina Virtual de Denuncias de la Policía Nacional, que después hay que ir a firmar en comisaría y como muy tarde en 72 horas, o por la denuncia electrónica de la Guardia Civil, que admite los cargos fraudulentos cometidos por medios informáticos y se firma en el momento con certificado digital. Bancos y aseguradoras suelen pedir la denuncia.
4. Avisa también a INCIBE con su reporte de fraude, para que el número y la página se analicen, o llama gratis al 017 si necesitas que alguien te ordene los pasos. Atienden de ocho de la mañana a once de la noche todos los días del año.
5. Apunta todo lo que recuerdes de la llamada mientras lo tienes fresco: la hora, el número que apareció en pantalla, el nombre que usó la persona, el departamento del que decía llamar y qué te pidió exactamente. Guarda justificantes, números de operación y cualquier número de referencia que te den.

Si después te contacta alguien prometiendo recuperar el dinero a cambio de una comisión o de un adelanto, es una segunda estafa sobre la misma lista de víctimas. No pagues por recuperar nada y cuéntalo en la denuncia que ya tienes abierta.

Si instalaste la aplicación que te pidieron

La mayoría de las aplicaciones que se piden durante estas llamadas son herramientas de acceso remoto, esos programas que permiten a otra persona ver y manejar tu pantalla desde lejos. Con eso funcionando, quien llama no necesita tu contraseña: te ve escribirla. INCIBE describe el mismo montaje en sus avisos sobre el falso soporte técnico, donde la instalación del programa es siempre el primer paso.

Desconecta ese aparato de internet y deja de abrir cuentas importantes en él. Usa otro dispositivo para llamar al banco y para cambiar contraseñas, empezando por la del correo, porque quien controla tu correo puede recuperar casi todo lo demás.

Después, en el banco, en el correo y en las aplicaciones de mensajería, busca en los ajustes la lista de dispositivos conectados o de sesiones activas y cierra lo que no reconozcas. Desinstala el programa y, si no tienes claro que el aparato esté limpio, llévalo a un servicio técnico de confianza.

Preguntas frecuentes sobre el vishing