Seguridad I.VII

2.6. Vishing

Los métodos más utilizados, cómo funcionan y cómo protegerse.

Actualizado a 7/07/2026

Vishing: cuando la estafa entra por el teléfono

El vishing es una técnica de fraude en la que los estafadores llaman por teléfono haciéndose pasar por bancos, empresas o incluso servicios técnicos. Con un tono profesional y mensajes urgentes, buscan ganarse tu confianza para que reveles datos personales, códigos de verificación o información bancaria. La mejor defensa es sencilla: desconfía de las prisas y nunca facilites información sensible por teléfono.

Vishing, qué es y cómo protegerte

El vishing (voice phishing) es una técnica de ingeniería social en la que los atacantes utilizan llamadas telefónicas para engañarte y conseguir información sensible, acceso a tus cuentas o incluso que realices transferencias o pagos.

Se aprovechan de la confianza, la autoridad y la presión psicológica para manipularte.

Cómo funciona el vishing
El vishing funciona como una forma de ingeniería social basada en llamadas telefónicas en la que los ciberdelincuentes utilizan la voz, la urgencia y la autoridad aparente para manipular a la víctima y conseguir información sensible o acceso a servicios críticos. Los atacantes se hacen pasar por entidades que generan confianza o preocupación inmediata, como bancos, servicios de soporte técnico de empresas conocidas como Microsoft, Amazon o las operadoras, organismos oficiales como la Policía, Hacienda o la Seguridad Social, empresas de mensajería, servicios médicos o compañías de seguros. En los casos más sofisticados incluso pueden hacerse pasar por tu propio banco utilizando técnicas de spoofing que permiten mostrar en la pantalla un número idéntico al oficial, lo que hace que la llamada parezca completamente legítima y elimina la sospecha inicial del usuario.

Durante la llamada los delincuentes intentan obtener códigos SMS de verificación que forman parte del segundo factor de autenticación y que, si la víctima los entrega, permiten al atacante entrar en cuentas bancarias o servicios críticos. También buscan conseguir claves, contraseñas o datos personales que puedan utilizar para acceder a plataformas internas o para preparar ataques posteriores. En muchos casos guían a la víctima para instalar una aplicación que supuestamente sirve para resolver un problema técnico pero que en realidad es malware o un sistema de control remoto que permite al atacante ver la pantalla, manejar el dispositivo o interceptar comunicaciones. En otros escenarios presionan para que la víctima realice pagos o transferencias alegando problemas urgentes, bloqueos de cuenta o supuestos fraudes que deben resolverse de inmediato. A lo largo de la conversación recopilan información personal que puede utilizarse para completar perfiles, realizar suplantaciones más creíbles o ejecutar ataques adicionales. El vishing es especialmente peligroso porque explota la confianza que genera una voz humana, utiliza técnicas de manipulación emocional y se apoya en la autoridad aparente de la entidad suplantada, lo que hace que la víctima actúe sin verificar y entregue datos que nunca debería compartir por teléfono. Cuando el atacante consigue que la persona confíe, la llamada se convierte en una herramienta poderosa para acceder a información crítica, robar dinero o comprometer la seguridad digital del usuario.

Cómo protegerte del vishing
Protegerse del vishing exige una combinación de calma, verificación y una comprensión clara de cómo operan los atacantes, porque este tipo de fraude se basa en la voz, en la urgencia y en la autoridad aparente para manipular a la víctima. La primera medida consiste en no confiar en el número que aparece en pantalla, ya que los ciberdelincuentes pueden suplantar cualquier número mediante técnicas de spoofing, incluso el de tu propio banco, lo que hace que la llamada parezca completamente legítima. Si surge cualquier duda, lo más seguro es colgar y llamar tú mismo al número oficial de la entidad, porque esa verificación rompe el engaño y permite confirmar si realmente existe algún problema. Nunca debes proporcionar códigos, contraseñas ni datos sensibles por teléfono, ya que ninguna entidad legítima solicita códigos de verificación, claves de recuperación, contraseñas o el número completo de la tarjeta y cualquier petición de este tipo es una señal inequívoca de fraude.

La urgencia es una herramienta central en el vishing y debe interpretarse siempre como una señal de alerta. Cuando la llamada insiste en que tu cuenta ha sido bloqueada, en que existe un cargo fraudulento, en que necesitan acceder a tu ordenador o en que perderás el acceso si no actúas de inmediato, lo que está ocurriendo es un intento de manipulación emocional diseñado para impedir que pienses con claridad. Los atacantes saben que la presión bloquea el análisis racional y buscan que actúes sin verificar nada. También es fundamental no instalar aplicaciones de control remoto, ya que los delincuentes suelen pedir que instales herramientas como AnyDesk, TeamViewer o QuickSupport con la excusa de resolver un problema técnico, pero en realidad estas aplicaciones permiten que el atacante controle tu móvil u ordenador y acceda a información crítica. Tampoco debes pulsar números ni seguir instrucciones automáticas durante la llamada, porque muchos ataques utilizan bots para validar tu número, llevarte a menús fraudulentos o grabar tu voz con fines de suplantación.

Si no conoces el número, lo más prudente es dejar que la llamada salte al buzón de voz, ya que si realmente es importante dejarán un mensaje y la mayoría de ataques de vishing cuelgan cuando aparece el buzón. Esta simple acción reduce enormemente el riesgo porque evita que entres en una conversación manipulada desde el primer segundo. En conjunto, protegerse del vishing implica desconfiar de la urgencia, verificar siempre por canales oficiales, evitar cualquier entrega de información sensible y recordar que ninguna entidad seria utiliza la llamada telefónica como herramienta para presionar, exigir códigos o solicitar instalaciones. Cuando aplicas estas medidas, la llamada fraudulenta pierde su capacidad de engaño y el atacante se queda sin la oportunidad de manipularte mediante la voz, la autoridad aparente o la urgencia artificial.

Herramientas y medidas recomendadas
Las herramientas y medidas recomendadas para protegerse del vishing se centran en reducir la exposición a llamadas fraudulentas, reforzar la detección temprana y garantizar que cualquier intento de manipulación telefónica quede neutralizado antes de que el atacante pueda obtener información sensible. El bloqueo de llamadas sospechosas es una primera línea de defensa porque tanto Android como iPhone incluyen funciones nativas capaces de identificar números no fiables, patrones de spam y llamadas automatizadas que suelen utilizar los delincuentes. Estas funciones permiten filtrar de manera automática las comunicaciones que presentan indicios de fraude y reducen la probabilidad de que la víctima atienda una llamada peligrosa. Aplicaciones como Truecaller o Hiya pueden complementar esta protección porque utilizan bases de datos comunitarias anti‑spam que se actualizan constantemente y alertan al usuario cuando un número ha sido reportado por otras personas, lo que añade una capa adicional de seguridad basada en la experiencia colectiva.

Las alertas bancarias son otra medida esencial porque permiten detectar intentos de fraude en tiempo real. Cuando están activadas, cualquier movimiento inusual genera una notificación inmediata que da al usuario la oportunidad de reaccionar antes de que el atacante complete la operación. En el contexto del vishing, estas alertas funcionan como un sistema de verificación independiente que confirma si realmente existe un problema con la cuenta o si la llamada era simplemente un intento de manipulación. Anotar detalles de la llamada también es una práctica útil porque, en caso de denuncia, la información sobre el número, la hora, el contenido de la conversación y el comportamiento del supuesto agente puede ayudar a las autoridades a identificar patrones, vincular casos y rastrear actividades fraudulentas. Además, registrar estos datos permite al usuario analizar con calma lo ocurrido y detectar señales de manipulación que quizá pasaron desapercibidas durante la llamada.

Cuando estas herramientas se combinan con hábitos de verificación y con una actitud prudente ante cualquier comunicación telefónica inesperada, el vishing pierde su capacidad de engaño. El usuario deja de depender de la apariencia del número, recibe alertas que contradicen el discurso del atacante y cuenta con sistemas que bloquean automáticamente las llamadas más peligrosas. En este entorno, la voz del delincuente deja de ser una herramienta de manipulación y se convierte en un intento fallido de suplantación que no consigue superar las barreras técnicas y conductuales que protegen al usuario.

Consejos rápidos
Los consejos rápidos para protegerse del vishing se basan en reconocer que la urgencia y la presión emocional son las herramientas principales del atacante y que cualquier llamada que exija actuar de inmediato debe considerarse sospechosa desde el primer momento. Cuando alguien te pide que hagas algo ya, sin tiempo para pensar, verificar o consultar, lo más probable es que estés ante un intento de manipulación diseñado para que entregues información sensible o realices una acción que normalmente no harías. En estas situaciones, colgar no es una falta de educación sino una medida de seguridad esencial, porque cortar la comunicación elimina la capacidad del atacante de seguir presionando y evita que la conversación avance hacia peticiones más peligrosas. La forma correcta de proceder siempre es llamar tú a la entidad utilizando su número oficial, ya que esa verificación independiente rompe cualquier intento de suplantación y permite confirmar si realmente existe un problema o si todo era un engaño.

No debes compartir ningún dato por teléfono, ni siquiera cuando la llamada parezca proceder de técnicos, agentes de soporte o supuestos policías, porque ninguna entidad legítima solicita códigos, contraseñas, claves de recuperación o información bancaria mediante una llamada inesperada. La voz del atacante puede sonar convincente, profesional o incluso preocupada, pero su objetivo es obtener datos que nunca deberían entregarse por ese canal. Cuando recuerdas que la urgencia es una señal de alerta, que colgar es una herramienta de protección y que la verificación debe hacerse siempre por iniciativa propia, el vishing pierde su capacidad de manipulación y la llamada fraudulenta se convierte en un intento fallido que no consigue superar tus barreras de seguridad.