Vishing: qué es y cómo proteger a tu empresa de las estafas telefónicas

Por Javier Horcajuelo Muñoz · Cofundador de Sale SystemsCofundador

Suena el teléfono de la oficina. Al otro lado, una voz serena se identifica como el banco: han detectado un cargo sospechoso y necesitan confirmar unos datos para bloquearlo antes de que sea tarde. La persona que atiende quiere ayudar, la voz transmite autoridad y mete prisa, y en esos pocos minutos entrega justo lo que el estafador buscaba. Ese guion, repetido con mil variantes, es el que explica qué es el vishing y por qué se ha convertido en una de las vías de fraude que más golpea a las empresas españolas. Aquí lo contamos sin tecnicismos y, sobre todo, con lo que puedes hacer para que no te pase.

Qué es el vishing

Vamos con la respuesta directa. El vishing es un fraude en el que alguien te llama por teléfono haciéndose pasar por una entidad de confianza —tu banco, un proveedor, un organismo público o incluso un compañero de tu propia empresa— para engañarte y conseguir que entregues información confidencial o hagas un pago. La palabra nace de juntar voice (voz, en inglés) con phishing, el fraude por correo del que ya hablamos en el blog.

Dicho de otro modo: es el mismo timo de suplantación de identidad de siempre, pero por la vía del teléfono en lugar del email. Y esa vía tiene una ventaja para el atacante. Una voz humana, con tono firme y algo de prisa, genera una confianza que un correo mal escrito nunca logra. No hay faltas de ortografía que delaten el engaño; solo una conversación que parece normal.

Por eso funciona tan bien. Cuando lees un correo tienes margen para dudar, releerlo y comprobar el remitente con calma. En una llamada, quien manda es el que habla: marca el ritmo, no deja silencios y espera tu respuesta al momento. Ese factor humano convierte al teléfono en un canal cómodo para el estafador y difícil de filtrar con una herramienta, porque no hay ningún archivo que analizar ni ningún enlace que bloquear: solo una conversación.

El objetivo casi siempre es uno de estos dos: robar credenciales —claves de acceso, datos bancarios, un código de verificación— o provocar una transferencia de dinero. Y el punto de entrada no es un fallo del ordenador, sino la persona que descuelga. Por eso el vishing preocupa tanto en las empresas: no lo detiene un antivirus, lo detiene un empleado que sabe reconocerlo.

En la práctica, el estafador se disfraza de alguien a quien casi nadie discute por costumbre:

• El banco. Avisa de un supuesto cargo o de un movimiento fraudulento que hay que «verificar» de inmediato, y aprovecha el susto para pedir claves o códigos.
• El servicio técnico. Llama en nombre de Microsoft, del fabricante o del proveedor de internet diciendo que ha detectado un virus en tus equipos y que necesita acceso para «arreglarlo».
• Un organismo público. Se hace pasar por la Agencia Tributaria, la Seguridad Social o la policía y reclama un pago urgente o unos datos, siempre con tono de amenaza.
• Un proveedor de confianza. El de toda la vida que, de repente, pide actualizar su número de cuenta justo antes de la próxima factura.
• La propia dirección. Alguien que dice ser el gerente y ordena una transferencia urgente y confidencial que no admite preguntas.

Si te ocurre, en España tienes un recurso gratuito y poco conocido: la línea de ayuda en ciberseguridad del INCIBE, el 017, atiende dudas y orienta sobre qué hacer si sospechas de una llamada o si ya has facilitado datos. Tener ese número a mano en la oficina cuesta cero y ahorra el peor de los ratos: el de descubrir el fraude sin saber a quién acudir.

Cómo funciona un ataque de vishing

Detrás de una llamada que parece improvisada hay un guion muy trabajado. El estafador no llama a ciegas: ha preparado la escena para que la víctima baje la guardia. Conviene verlo por fases, porque reconocer el patrón es media defensa.

• Preparación. Antes de marcar, el atacante reúne información pública sobre la empresa y la persona: nombre del gerente, del banco con el que trabaja, de algún proveedor habitual, incluso el organigrama. Con LinkedIn, la propia web y alguna filtración de datos antigua ya tiene material de sobra para sonar convincente y soltar un detalle que le dé credibilidad.
• La llamada y la suplantación. Se identifica como alguien con autoridad —el banco, Hacienda, el servicio técnico, la dirección de la empresa— y suele apoyarse en un número de teléfono falseado para que en la pantalla aparezca un identificador de confianza, a veces incluso el número auténtico de la entidad. A esa técnica de falsear el origen se la llama spoofing, y es la que hace que fiarse del número que aparece en el móvil sea un error.
• La presión. Aquí está el corazón del engaño. El estafador crea una urgencia que no deja tiempo para pensar: «su cuenta será bloqueada», «hay una transferencia fraudulenta en curso», «necesito que hagas este pago antes de las dos y no se lo comentes a nadie todavía». El miedo y las prisas apagan el sentido crítico, que es justo lo que buscan.
• El robo. Con la víctima nerviosa y colaboradora, llega la petición concreta: dicta el código que te acaba de llegar por SMS, confirma los datos de la tarjeta, autoriza esta transferencia. En cuanto se entrega, el daño está hecho y suele ser irreversible.

Un ejemplo de los que vemos a menudo: suena el teléfono de administración y quien llama dice ser del departamento de fraude del banco. Conoce el nombre de la empresa y hasta los últimos dígitos de una tarjeta —datos sacados de una filtración o de un ticket tirado a la basura—, y con esa credibilidad pide leer «el código que le acaba de llegar por SMS para bloquear el cargo». Ese código no bloquea nada: es el que autoriza una compra o valida el acceso a la banca online. En cuanto se lo dictan, el dinero se mueve. La víctima creía estar frenando un fraude y en realidad lo estaba firmando.

Todo esto se apoya en la ingeniería social: el arte de manipular a una persona para que haga algo que no debería. El vishing no ataca a la máquina, ataca la confianza, la prisa y las ganas de hacer bien el trabajo. Por eso funciona incluso en empresas con buenos sistemas: el cortafuegos más caro no sirve de nada si alguien, con la mejor intención, abre la puerta desde dentro.

El vishing con IA: cuando la voz de tu jefe no es tu jefe

Hasta hace poco, un estafador tenía que imitar como podía a la persona por la que se hacía pasar. Eso se acabó. Con las herramientas de clonación de voz que hay disponibles, bastan unos segundos de audio —sacados de un vídeo en redes, una nota de voz reenviada o una entrevista— para generar una copia de la voz de cualquiera. El vishing ha dejado de ser una llamada con acento sospechoso para convertirse en la voz exacta de tu director financiero pidiéndote un favor urgente.

¿Cómo es posible? Los programas de clonación de voz actuales solo necesitan una muestra corta para reproducir el timbre, el acento y la entonación de una persona. Y esa muestra está al alcance de cualquiera: un vídeo corporativo, la intervención de un directivo en un pódcast, una nota de voz de WhatsApp reenviada o una historia en redes sociales. Cuanto más aparece en público la voz de un responsable, más material regala sin darse cuenta. Lo que antes protegía —que la gente conociera la voz del jefe— ahora juega en contra.

El caso que puso a todas las direcciones en alerta ocurrió en la consultora de ingeniería Arup. Un empleado de su oficina de Hong Kong participó en una videollamada con quien creía que era el director financiero y varios compañeros. Todos eran recreaciones generadas por inteligencia artificial. Convencido de que hablaba con sus jefes, autorizó quince transferencias por un total de 25 millones de dólares. Ninguna de las personas de aquella reunión existía.

A esta variante dirigida se la conoce como fraude del CEO: en lugar de lanzar mil llamadas al azar, el estafador estudia una empresa concreta, identifica quién autoriza los pagos y le llama con la voz clonada de su jefe en un momento sensible —un cierre de mes, unas vacaciones del gerente, una operación que sí estaba en marcha—. El detalle creíble es lo que derriba las defensas: no pide algo absurdo, pide algo que encaja con lo que la víctima esperaba oír.

Puede parecer un caso lejano, cosa de multinacionales, pero la misma técnica se está usando ya a escala pequeña. Clonar la voz de un proveedor para pedir un cambio en el número de cuenta, o la del gerente para ordenar un pago fuera de lo habitual, está al alcance de cualquier estafador con un móvil. Cuanto más pública es la voz de los responsables de una empresa, más fácil resulta imitarla. Y las empresas pequeñas, con menos controles internos y más confianza entre el equipo, son un objetivo cómodo precisamente porque una orden verbal basta para mover dinero.

Señales para reconocer una llamada de vishing

La mayoría de estos ataques comparten las mismas pistas. Si una llamada reúne varias de estas señales a la vez, trátala como sospechosa hasta que se demuestre lo contrario:

• Urgencia desmedida. Te empujan a actuar «ahora mismo», sin margen para consultar ni verificar. Un aviso auténtico admite que lo compruebes con calma; una estafa necesita que no lo hagas, porque el tiempo juega en su contra.
• Petición de datos que ya deberían tener. Ningún banco ni proveedor serio te pedirá por teléfono tu clave completa, el PIN o un código de verificación recién recibido. Si lo piden, es la señal más clara de que algo no cuadra.
• Secretismo. Te piden que no comentes la operación con nadie, que sea «confidencial». Un aviso legítimo nunca teme que lo verifiques con un compañero o con tu superior; el fraude, sí.
• Un canal que se sale de lo normal. El gerente que jamás pide pagos por teléfono lo hace de repente; el proveedor de siempre cambia su número de cuenta por sorpresa. Cualquier ruptura de la rutina merece una comprobación.
• Presión emocional. Amenazas veladas, un supuesto problema legal o la insinuación de que si no colaboras habrá consecuencias. Buscan que reacciones desde el miedo y no desde la cabeza.

Ninguna de estas señales, por sí sola, confirma un fraude. Pero cuando se juntan dos o tres en la misma llamada —prisa, secreto y una petición de dinero o de datos—, lo prudente es frenar y verificar. Perder dos minutos en comprobar quién llama no ha arruinado nunca a una empresa; dictar un código o autorizar una transferencia a ciegas, sí.

Si quieres ver la versión por mensaje de texto de este mismo engaño, la explicamos en el artículo sobre qué es el smishing. Los atacantes combinan a menudo los tres canales —un SMS que anticipa una llamada, o una llamada que remata un correo—, así que reconocer a la familia entera te ayuda a no caer en ninguno de sus miembros.

Cómo proteger a tu empresa del vishing

La defensa contra el vishing no se compra, se organiza. Como el ataque va dirigido a las personas, la protección pasa por darles un método claro para actuar cuando suene el teléfono. Estas son las medidas que mejor funcionan en el día a día de una empresa.

Establece un protocolo de «cuelga y verifica»

La regla de oro es sencilla: ante cualquier petición sensible por teléfono —un pago, un cambio de cuenta bancaria, la entrega de credenciales—, se cuelga y se devuelve la llamada por un canal conocido. No el número que aparece en pantalla ni el que te dictan, sino el que ya tienes guardado del banco o del proveedor. Un estafador no puede contestar en el teléfono oficial de la entidad a la que dice pertenecer. Conviene dejarlo por escrito y que todo el equipo lo conozca: qué peticiones disparan el protocolo y a qué número se devuelve cada llamada. Cinco minutos de comprobación pesan mucho menos que una transferencia perdida.

Acuerda una palabra clave interna

Para las operaciones internas, funciona pactar una palabra o una pregunta de seguridad que solo conozca el equipo. Si alguien llama pidiendo un pago urgente en nombre de la dirección, basta con pedir esa clave. La voz clonada por IA puede sonar idéntica, pero no conoce el secreto que acordasteis en persona. Lo mismo sirve con los proveedores habituales: una clave compartida para validar cualquier cambio de número de cuenta corta de raíz el fraude de la factura falsificada, uno de los que más dinero cuesta a las empresas cada año.

Forma a tu equipo, sobre todo a quien atiende el teléfono

Recepción, administración y el departamento financiero son la primera línea. Una formación breve, con ejemplos concretos y algún simulacro, convierte a la persona más expuesta en la mejor defensa. No se trata de crear desconfianza hacia todo, sino de dar permiso explícito para decir «déjeme verificar y le devuelvo la llamada» sin miedo a quedar mal. Los simulacros de llamada, igual que los correos de phishing de prueba, enseñan más que cualquier circular, y conviene repetirlos: entra gente nueva y las tretas se renuevan cada temporada.

Refuerza los pagos con doble autorización

Que ninguna transferencia relevante dependa de una sola persona. Si todo pago por encima de cierta cantidad exige la aprobación de dos responsables, una llamada aislada no basta para vaciar la cuenta. Muchos bancos permiten configurar avisos y dobles firmas para transferencias a partir de un importe; activarlos convierte una orden verbal en un trámite que exige un segundo par de ojos. Es una barrera de sentido común que corta de raíz el fraude al gerente.

Limita la información pública de tus responsables

Reduce lo que expones. No hace falta esconder a tu equipo, pero sí ser consciente de que cada audio y cada vídeo público de un directivo es material con el que clonar su voz. Revisar qué se publica, quién puede ordenar pagos por teléfono y qué datos de la empresa circulan sin control reduce la superficie por la que puede entrar un ataque. La información que no está disponible es la que ningún estafador podrá usar contra ti.

Y conviene decirlo claro: ninguna de estas medidas es infalible por separado. El vishing evoluciona rápido, y lo que hoy frena un ataque mañana necesita un ajuste. Funcionan como un conjunto, igual que el resto de tu seguridad. Por eso lo más útil es mirar tu empresa en su conjunto con una auditoría de ciberseguridad que señale por dónde entraría hoy un atacante y qué proceso conviene reforzar antes.