Procedimiento de devolución de llamada: la regla que frena el vishing

El procedimiento de devolución de llamada, o contrallamada, consiste en colgar y llamar después al interlocutor a un número que usted mismo ha encontrado. Nunca al que él da o al que aparece en pantalla. Es la regla que desbarata la mayoría de los vishing, porque el atacante deja de controlar el canal. Para que funcione, debe convertirse en un reflejo, formulado sin ofender.

Aquí tiene el método paso a paso, las frases que decir, los errores que evitar y cómo hacerlo automático. El artículo forma parte de nuestro dossier sobre la concienciación en ciberseguridad y el vishing.

Por qué la contrallamada es la regla más eficaz

Un atacante que telefonea domina la conversación: el ritmo, el guion, el número que aparece. Cuenta con que usted se quedará dentro de su marco. La contrallamada traslada el intercambio a un canal que él no controla.

La razón técnica es sencilla. El número que aparece en pantalla puede estar suplantado. Según el informe de actividad 2025 de Cybermalveillance.gouv.fr, el organismo público francés de asistencia a víctimas de ciberdelitos, la suplantación de números de teléfono aumentó un 517 %, pese a las medidas reglamentarias y técnicas existentes. El número mostrado no es, por tanto, una prueba.

La razón psicológica pesa igual. Colgar interrumpe la presión. La urgencia pierde fuerza, vuelve la calma y la decisión se toma en mejores condiciones. Es un antídoto contra las palancas descritas en nuestro artículo sobre la ingeniería social.

El método en cinco pasos

1. No prometer nada durante la llamada. No confirmar, no dar ningún código, no validar ninguna operación.
2. Anunciar la devolución de llamada. «Le llamo dentro de unos minutos».
3. Colgar. Sin esperar a que quien llama haya terminado su argumentario.
4. Encontrar uno mismo el número. Directorio interno, sitio oficial escrito a mano, tarjeta bancaria, carta o aplicación oficial.
5. Llamar e informar. Preguntar a la persona o al servicio si la llamada es suya y notificarlo después.

El detalle del paso 5 figura en nuestra plantilla para notificar un incidente de seguridad.

Qué número usar para devolver la llamada

Todo se decide aquí: la regla solo vale si el número de devolución es independiente de la llamada.

• Buena opción: el número del directorio interno, el del contrato, el de la tarjeta bancaria, el del último extracto o el de la aplicación oficial.
• Buena opción: una mensajería interna o un mensaje a la persona por un canal ya utilizado.
• Mala opción: el número que da quien llama «para localizarlo directamente».
• Mala opción: la tecla de rellamada del teléfono, que quizá lleve a un número suplantado.
• Mala opción: un número que aparece en un correo o un SMS recibido durante la llamada.

Cybermalveillance.gouv.fr recuerda además que no hay que devolver la llamada a un número de tarificación especial o extranjero dejado como llamada perdida sin mensaje. La contrallamada se aplica a números que usted ha verificado, no a cualquier número.

Cómo decirlo sin ofender

La dificultad no es técnica. Es social: se teme molestar a un cliente, a un superior o a un compañero. La solución está en una fórmula que presenta la devolución de llamada como una regla general.

«Siempre devuelvo la llamada al número oficial antes de cualquier operación, es nuestra norma para todo el mundo».

«Si es usted, volvemos a hablar en dos minutos».

«No le pido que me demuestre nada, simplemente sigo el procedimiento».

Ante alguien que insiste, se repite la misma frase sin alargarla. Nuestro artículo sobre decir no por teléfono bajo presión desarrolla este punto.

Un interlocutor honesto lo comprende y acepta la devolución de llamada. Un estafador reacciona de otro modo. Se irrita, amenaza, culpabiliza o afirma que la devolución es imposible. Esa reacción es una información útil.

Dos escenarios tipo

Imaginemos una llamada al departamento de contabilidad. Un interlocutor se presenta como el director y reclama una transferencia urgente a un nuevo proveedor. El contable responde: «Le llamo a su línea interna dentro de cinco minutos». Llama al director de verdad, que no sabe nada de la petición.

Imaginemos otra llamada, esta vez a un cliente particular. Un falso asesor bancario anuncia una operación sospechosa y pide validar en la aplicación. El cliente cuelga, abre la aplicación oficial o marca el número que figura en su tarjeta, y verifica. Nuestro artículo sobre el modus operandi del falso asesor bancario detalla esta mecánica.

Los errores frecuentes

• Devolver la llamada al número que aparece. Puede estar suplantado.
• Quedarse al teléfono «para verificar juntos». Es el marco del atacante.
• Anunciar la devolución de llamada pero ceder antes. «Solo un código, y le llamo» arruina la regla.
• No prever excepciones para los directivos. La regla vale también para ellos.
• No notificar tras una contrallamada concluyente. La llamada fraudulenta quizá se dirigió a otros compañeros.

Los casos en que la contrallamada requiere cierta adaptación

A veces la regla choca con situaciones concretas. Preverlas evita que los empleados la eludan.

• Un interlocutor ilocalizable. Prever un segundo contacto: un adjunto, una centralita, una mensajería interna. Mientras nadie haya confirmado, la petición queda en suspenso.
• Una llamada fuera de horario. Una petición urgente de noche se confirma por la mañana, o por un canal de guardia ya identificado. Un expediente real soporta unas horas de retraso.
• Un cliente que llama de buena fe. La contrallamada se presenta como una garantía para él. «Le llamo al número que figura en su expediente, por su seguridad».
• Una llamada por videoconferencia. El principio es el mismo: se sale de la reunión y se contacta a la persona por otro canal, como una mensajería interna.

En todos estos casos, lo importante es que la regla se conozca de antemano, sin tener que reinventarla durante la llamada.

Hacer la contrallamada automática

Una regla conocida no es una regla aplicada. Tres palancas organizativas ayudan a convertirla en un reflejo.

• Un número de confianza a mano. Directorio actualizado, números de los circuitos sensibles a la vista, lista de contactos bancarios validada.
• El respaldo de la dirección. El directivo anuncia él mismo que se devolverá la llamada a sus peticiones, lo que elimina cualquier incomodidad.
• Frases preparadas. Una tarjeta con tres formulaciones evita improvisar bajo presión.

Estas medidas fijan el marco. Queda el último escalón: decir la frase, en voz alta, el día D.

Comprobar que la regla se aplica de verdad

Un procedimiento de devolución de llamada no se evalúa por el número de personas que lo han leído. Se evalúa por lo que ocurre cuando llega una llamada inusual. Algunos indicadores permiten saberlo.

• El número de notificaciones. Un empleado que colgó y avisó aplica la regla, aunque la llamada fuera legítima.
• La calidad de la notificación. ¿Constan el nombre dado, la hora, la petición y la palanca empleada?
• El plazo de devolución. Sigue siendo corto, lo que demuestra que la regla no frena el trabajo.
• Las opiniones de los equipos. ¿Dónde estorba la regla? ¿Qué frase les falta?

Estas constataciones alimentan la revisión periódica del procedimiento. Permiten también demostrar, en caso de control, que la práctica se sigue y no solo se declara. La devolución de llamada se trabaja como cualquier gesto profesional: en ciclos cortos, con una valoración tras cada intento.

Entrenar para que el gesto salga solo

Leer una regla no basta para mantenerla frente a alguien que alza la voz. El gesto se construye mediante la repetición, en condiciones próximas a la realidad.

Con Face Up, el formador escribe un escenario a partir de situaciones vividas en su organización. Un personaje interpretado por una IA hace el papel de quien llama con insistencia, y el alumno debe negarse y anunciar la devolución de llamada en voz alta. El informe de resultados (debriefing) cita lo que ha dicho, indica si dio alguna información antes de colgar y propone un plan de acción. El alumno puede después volver a jugar.

Preguntas frecuentes

¿Sirve la contrallamada si quien llama es quien dice ser?

Sí, solo cuesta unos minutos. Un interlocutor legítimo entiende la regla. Protege también a la persona a quien se llama, cuya identidad pudo ser suplantada.

¿Hay que devolver la llamada inmediatamente?

No necesariamente, pero sí lo bastante pronto para tramitar la petición si es cierta. Dejar pasar unos minutos permite encontrar el número correcto y consultar a un compañero.

¿Qué hacer si el servicio real no contesta?

No ceda a la petición por falta de respuesta. Pruebe otra vía, como la mensajería interna o un responsable, y no dé nada hasta que la verificación haya concluido. Las preguntas útiles durante la llamada están en nuestro artículo sobre la verificación de la identidad de quien llama.

Para entrenar a sus equipos a anunciar la devolución de llamada sin dudar, descubra los juegos de rol de Face Up o reserve una demostración.