El vishing (phishing de voz) es un ataque de ingeniería social por teléfono en el que los delincuentes se hacen pasar por un banco, el soporte técnico, la policía o un compañero para obtener dinero, contraseñas o acceso.
Cómo funciona el vishing
El vishing combina la estafa telefónica clásica con las técnicas del phishing. Los estafadores usan el spoofing del identificador de llamadas para que aparezca el número real del banco, siguen un guion creíble y crean urgencia: «operaciones sospechosas en su cuenta», «su ordenador está infectado», «tenemos que verificar su identidad ahora mismo». Escenarios habituales:
- falso «departamento de seguridad» del banco que pide datos de la tarjeta o códigos de un solo uso;
- estafas de soporte técnico que convencen a la víctima de instalar herramientas de acceso remoto;
- llamadas al servicio de asistencia de TI de una empresa haciéndose pasar por un empleado para restablecer su contraseña o su dispositivo MFA;
- «bots de OTP» automáticos que llaman a las víctimas para obtener códigos de doble factor.
Por qué es importante
Una llamada se percibe como algo personal y deja poco tiempo para pensar, así que la ingeniería social por teléfono es muy eficaz. El vishing contra los servicios de asistencia se ha convertido en un vector de ataque importante contra empresas: en 2023 el grupo Scattered Spider accedió a MGM Resorts tras llamar al help desk haciéndose pasar por un empleado. Los deepfakes de voz permiten ya imitar la voz de un directivo real.
Cómo protegerse
- Colgar y volver a llamar al número oficial que figura en la web del banco o en la tarjeta.
- No dar nunca por teléfono códigos de un solo uso, contraseñas ni PIN: los bancos no los piden.
- Las empresas deben exigir una verificación de identidad estricta antes de restablecer contraseñas o MFA.
- Acordar palabras clave para peticiones de pago urgentes en la empresa y en la familia.
