Vishing (Suplantación de Identidad por Voz): Estafas Telefónicas que Roban Sus Datos
El vishing, o suplantación de identidad por voz, es un fraude sofisticado basado en llamadas telefónicas donde los estafadores se hacen pasar por entidades confiables—bancos, agencias gubernamentales, soporte técnico o empleadores—para manipular a las víctimas y que revelen información sensible o transfieran dinero. Según el Centro de Denuncias de Delitos por Internet del FBI, los ataques de vishing resultaron en pérdidas superiores a 740 millones de dólares en 2023, con una pérdida promedio individual de 3.000 dólares. Estos ataques se han incrementado un 350% desde 2020, impulsados por la tecnología de suplantación de identificador de llamadas que hace que las llamadas fraudulentas parezcan legítimas. A diferencia del phishing por correo electrónico, el vishing explota la inmediatez y la naturaleza personal de la comunicación de voz. Los estafadores crean urgencia mediante amenazas de cierre de cuentas, acciones legales o brechas de seguridad, presionando a las víctimas para que actúen sin pensar críticamente. Las operaciones modernas de vishing utilizan tecnología VoIP para enrutar llamadas internacionalmente mientras muestran números locales, lo que hace que la detección sea extremadamente difícil. Muchas operaciones utilizan centros de llamadas con operadores capacitados que siguen guiones detallados diseñados por psicólogos del comportamiento para superar la resistencia. La estafa de vishing promedio se desarrolla durante 1-7 días, con el contacto inicial estableciendo credibilidad, seguido de solicitudes cada vez mayores de información o pagos. Las víctimas a menudo no se dan cuenta de que han sido estafadas hasta días después, cuando aparecen transacciones no autorizadas o sus cuentas se ven comprometidas. La Comisión Federal de Comercio reporta que las personas mayores de 60 años pierden un promedio de 1.500 dólares más por incidente que las víctimas más jóvenes, aunque ningún grupo demográfico es inmune. La sofisticación de estas operaciones—completa con números de caso falsos, números de devolución de llamada y historias convincentes—hace que el vishing sea una de las formas más peligrosas de fraude en la actualidad.
Common Tactics
- • Suplantación de identificador de llamadas para mostrar números telefónicos legítimos de bancos, agencias gubernamentales o empresas conocidas, haciendo que la llamada parezca auténtica cuando las víctimas verifican sus pantallas telefónicas.
- • Crear urgencia extrema afirmando que las cuentas se congelarán dentro de horas, que se emitirán órdenes de arresto o que se requiere verificación inmediata de actividad sospechosa para evitar pérdidas financieras.
- • Utilizar información personal disponible públicamente (nombre, dirección, números de cuenta parciales) obtenida de brechas de datos para establecer credibilidad y hacer que las víctimas crean que el llamador tiene acceso legítimo a sus cuentas.
- • Transferir a las víctimas entre múltiples 'departamentos' o 'supervisores' para crear la ilusión de una estructura organizacional legítima y erosionar el escepticismo mediante interacciones repetidas.
- • Instruir a las víctimas para que descarguen software de acceso remoto como AnyDesk o TeamViewer bajo el pretexto de 'asegurar' sus dispositivos, dando a los estafadores control total sobre computadoras y aplicaciones bancarias.
- • Solicitar pagos inmediatos a través de métodos no reversibles como transferencias bancarias, criptomonedas, tarjetas de regalo o recogida en efectivo, mientras se mantiene a las víctimas al teléfono para evitar que consulten con otros.
How to Identify
- Llamadas no solicitadas exigiendo acción inmediata sobre problemas de cuenta, impuestos u asuntos legales—las organizaciones legítimas envían avisos escritos antes de hacer llamadas telefónicas urgentes sobre asuntos serios.
- Solicitudes de números de cuenta completos, contraseñas, números PIN o números de Seguro Social—los bancos y agencias reales nunca piden credenciales completas por teléfono, incluso durante llamadas de verificación.
- Presión para mantenerse en la línea continuamente mientras se completan transacciones o 'no colgar' hasta que se resuelvan los problemas, una táctica diseñada para aislar a las víctimas de redes de apoyo.
- Instrucciones para mover dinero a 'cuentas seguras', comprar tarjetas de regalo para pago o retirar grandes cantidades de efectivo para recogida por mensajero—ninguna organización legítima utiliza estos métodos de pago.
- El llamador se pone a la defensiva, agresivo o amenaza con consecuencias (arresto, cierre de cuenta, acción legal) cuando se le cuestiona sobre su identidad o la legitimidad de la llamada.
- El número de teléfono mostrado en el identificador de llamadas no coincide con el número oficial listado en el sitio web de la organización, o el llamador se niega a proporcionar un número de devolución de llamada que pueda verificar de forma independiente.
How to Protect Yourself
- Nunca proporcione información sensible a llamadores entrantes—si alguien afirma ser de su banco o una agencia gubernamental, cuelgue y llame usando el número oficial del sitio web o su estado de cuenta.
- Registre su número de teléfono en el Registro Nacional de No Llamadas en donotcall.gov y habilite funciones de bloqueo de llamadas en su teléfono inteligente para filtrar automáticamente números de estafas conocidas.
- Verifique la identidad del llamador haciendo preguntas específicas que solo representantes legítimos conocerían, o solicite un número de caso y número de devolución de llamada que pueda confirmar de forma independiente a través de canales oficiales.
- Establezca contraseñas verbales con su banco y familiares que deben usarse durante cualquier conversación telefónica que implique asuntos financieros o solicitudes sensibles.
- Habilite la autenticación multifactor en todas sus cuentas financieras e importantes para que incluso si las credenciales se roban durante una llamada de vishing, los estafadores no puedan acceder a sus cuentas sin el segundo factor.
- Reporte intentos de vishing inmediatamente a la FTC en reportfraud.ftc.gov, al servicio de reporte de spam de su proveedor de telefonía y a la organización siendo suplantada para ayudar a cerrar estas operaciones.
Real-World Examples
Margarita recibió una llamada de alguien que afirmaba ser del departamento de fraude de su banco, con el identificador de llamadas mostrando el número de servicio al cliente real de su banco. El llamador afirmó que transacciones sospechosas por 4.200 dólares estaban pendientes en su cuenta y necesitaban verificación inmediata. Le pidió que confirmara el número de su tarjeta de débito y el código de tres dígitos del CVV para 'bloquear las transacciones fraudulentas'. Dentro de horas de proporcionar esta información, la cuenta real de Margarita fue vaciada de 8.500 dólares a través de múltiples retiros de cajeros automáticos en tres estados.
David recibió un mensaje de voz amenazante afirmando que debía 11.000 dólares en impuestos atrasados y que el IRS estaba preparando una orden de arresto a menos que devolviera la llamada inmediatamente. Cuando devolvió la llamada, el 'agente' proporcionó un número de placa y número de expediente, exigiendo pago mediante tarjetas de regalo de iTunes para resolver el asunto ese día. El estafador mantuvo a David al teléfono durante tres horas mientras compraba 6.000 dólares en tarjetas de regalo de múltiples tiendas, leyendo los códigos por teléfono antes de darse cuenta de que el IRS nunca exige pagos en tarjetas de regalo.
El teléfono de Sara sonó con una llamada de 'Soporte Técnico de Microsoft' advirtiéndole que su computadora había sido infectada con virus que transmitían su información bancaria a criminales. El llamador la guió a través de la instalación de software de acceso remoto, luego le mostró 'registros de errores' fabricados en su propia pantalla como prueba. Mientras controlaba su computadora, el estafador accedió a sus contraseñas guardadas en su navegador e inició transferencias bancarias por un total de 12.000 dólares a cuentas en el extranjero antes de que el banco real de Sara marcara la actividad sospechosa.