Verificar la identidad de quien llama: las preguntas que cuentan
Para verificar la identidad de quien llama, ninguna pregunta formulada durante la llamada demuestra por sí sola quién es. La única verificación sólida consiste en salir de la llamada y contactar con la persona por un canal que usted controla. Las preguntas sirven para ganar tiempo, anotar datos y detectar un guion, no para validar una identidad.
Estas son las preguntas que merece la pena hacer, las que no prueban nada y las frases exactas para formularlas. Este artículo forma parte de nuestro dossier sobre la formación en ciberseguridad y el vishing.
Por qué una pregunta de seguridad no basta
Los procedimientos clásicos piden una fecha de nacimiento, una dirección o un número de cliente. A veces el último movimiento de una cuenta. Esos datos tienen un defecto: no son secretos. Circulan en filtraciones de datos, redes sociales, directorios profesionales o documentos ya robados.
Un estafador que llama suele saber más de lo que se imagina. Ha preparado su llamada. Según el informe de actividad 2025 de Cybermalveillance.gouv.fr, el organismo público francés de ayuda a las víctimas de ciberdelitos, el fraude del falso asesor bancario aumentó un 159 %. Esto muestra que estas llamadas son numerosas y están muy rodadas.
Hay una segunda dificultad, de orden psicológico. Cuando quien llama responde bien a tres preguntas, se instala la confianza. Se instala también cuando duda y luego se disculpa con educación. Entonces se verifica menos lo que pide a continuación.
Las preguntas que no prueban nada
Estas preguntas pueden seguir en un procedimiento, pero hay que saber que no garantizan nada.
- Fecha de nacimiento, dirección, empleador. Información pública o filtrada.
- Nombre del asesor, del jefe o de la sucursal. Visible en una web, un perfil profesional o una firma de correo.
- Última operación, última compra. Disponible tras un robo de datos o un primer contacto.
- Número que aparece en la pantalla. Puede estar suplantado. El mismo informe 2025 de Cybermalveillance.gouv.fr señala un aumento del 517 % de la suplantación de números de teléfono.
- Un código recibido por SMS que le piden que lea. Es lo contrario de una verificación: usted da a quien llama lo necesario para validar un pago.
Una buena respuesta de quien llama a estas preguntas es simplemente señal de que tiene documentación. No hay que concluir, pues, «está bien» tras una serie de respuestas correctas.
Las preguntas que sí sirven
Tres tipos de preguntas son útiles, aunque por sí solas no validen nada. Sacan a quien llama de su guion y dejan constancia.
Las preguntas de encuadre
Sirven para anotar y ralentizar.
«¿Puede repetirme su nombre, su departamento y un número de contacto? Lo apunto.»
«¿Cuál es exactamente el motivo de su llamada?»
Las preguntas que rompen el guion
Un atacante prepara un camino. Una pregunta sencilla fuera de ese camino lo pone en dificultades.
«¿Por qué llama en lugar de escribir por la mensajería habitual?»
«¿Con quién ha hablado ya de este asunto dentro de la empresa?»
Un interlocutor verdadero responde sin dificultad y entiende que se verifique. Uno falso elude la pregunta, se irrita o repite su petición, a menudo con las mismas palabras.
Las preguntas sobre el procedimiento
«¿Cuál es el procedimiento oficial para esta petición?»
«¿Puede enviarme la solicitud por la mensajería interna, para que la valide con mi responsable?»
Si quien llama rechaza la vía escrita u oficial, es una señal. Un servicio legítimo acepta dejar constancia.
La verificación que sí prueba: salir de la llamada
La única forma fiable de confirmar una identidad es dejar de depender de quien llama. Usted cuelga y contacta con la persona o el servicio por un número, una mensajería o una aplicación que ya tiene.
«No puedo tramitar esta petición por teléfono. Le devuelvo la llamada al número oficial.»
Este gesto se detalla en nuestro artículo sobre el procedimiento de devolución de llamada por un canal independiente. Es también la defensa contra la clonación de voz, tratada en el artículo sobre la clonación de voz con IA.
Para los circuitos de alto riesgo existe un segundo dispositivo: la palabra acordada. Se decide de antemano entre dos personas, es secreta y se renueva. Nunca se pide como respuesta a quien llama si no se había definido antes.
Cómo hacer estas preguntas sin ofender
El temor a parecer desconfiado impide a muchos empleados verificar. El remedio es una formulación que presente la verificación como una regla general, no como una sospecha.
- «Es el procedimiento para todo el mundo, también para la dirección.»
- «Le agradezco que lo entienda, tenemos una regla de devolución de llamada sistemática.»
- «Si es usted, solo serán dos minutos.»
Esta última frase es especialmente eficaz. No pone en duda a la persona, constata que la verificación cuesta poco a un interlocutor honesto.
Adaptar la verificación según quién dice llamar
La conducta varía un poco según el papel que se atribuya quien llama. El principio sigue siendo el mismo: no confiar en lo que dice.
Un falso asesor o un falso servicio de seguridad bancaria
Ningún banco necesita que usted valide una operación mientras le habla. Esa petición debe bastar por sí sola para poner fin a la llamada. Contacte con su banco por el número de su tarjeta o por su aplicación.
Un falso proveedor o un falso directivo
Un cambio de datos bancarios o una transferencia urgente se confirma con un contacto conocido, en un número ya registrado. Nuestro artículo sobre el fraude del CEO describe la doble validación que completa esta verificación.
Un falso soporte informático
Una llamada que pide una contraseña, un código de autenticación o la instalación de un programa no se trata por teléfono. El soporte verdadero nunca reclama esos datos en voz alta. Pasa por un ticket o una herramienta interna.
Un falso compañero
Un compañero real acepta que usted le devuelva la llamada a su línea o que le escriba por la mensajería interna. Una negativa por su parte es inusual y merece una notificación.
Una tabla de verificación reutilizable
Esta es una tabla sencilla para tener a mano, imprimir o integrar en el procedimiento interno.
- Anoto: nombre, departamento, número dado, hora, motivo de la llamada.
- Detecto: urgencia, autoridad, secreto, petición de código, negativa a que se devuelva la llamada.
- No doy nada: ni código, ni contraseña, ni validación de operación.
- Salgo de la llamada: cuelgo y devuelvo la llamada por un canal conocido.
- Notifico: al servicio de seguridad, incluso sin daños.
Las palancas que hay que detectar en el paso 2 se describen en nuestro artículo sobre las palancas de la ingeniería social. Para el paso 5, la tabla de nuestro artículo sobre la notificación de un incidente de seguridad indica qué retener.
Los errores frecuentes
- Hacer preguntas que quien llama ha preparado. Una pregunta sobre datos públicos no aporta nada.
- Aceptar un número de contacto dado por quien llama. Lleva hasta él, no hasta el servicio anunciado.
- Verificar y después ceder. Incluso tras una verificación parcial, una petición de código o de transferencia sigue siendo rechazable.
- Disculparse por verificar. Un tono de disculpa invita a negociar.
- Improvisar. Sin una frase preparada, se cede a la cortesía.
Por qué la práctica oral cambia el resultado
Conocer estas preguntas es fácil. Hacerlas, con voz serena, a un interlocutor que insiste, lo es mucho menos. Los nervios, el deseo de ser amable y el miedo a equivocarse ocupan el lugar del razonamiento.
La práctica de un juego de rol devuelve al alumno a esa situación. Con Face Up, el formador crea un escenario. Un personaje interpretado por una IA se presenta como proveedor o como asesor y reacciona a las preguntas del alumno. Al terminar la sesión, el informe de evaluación indica si se han hecho las verificaciones, si se ha dado algún código, y cita las frases pronunciadas. El alumno puede volver a jugar hasta que la fórmula adecuada se vuelva automática.
Preguntas frecuentes
¿Cuál es la mejor pregunta para verificar a quien llama?
No hay una sola. La más útil es la que abre la salida: «Le devuelvo la llamada al número oficial.» No depende de ninguna información que el estafador pueda conocer.
¿Se puede confiar en el número que aparece en pantalla?
No. La suplantación de números permite mostrar el número de un banco o de un servicio reales. El informe 2025 de Cybermalveillance.gouv.fr señala un fuerte aumento de esta técnica.
¿Qué hacer si quien llama conoce mis datos personales?
No prueba su identidad. Los datos personales circulan a raíz de filtraciones o de búsquedas en internet. Aplique el mismo procedimiento: colgar, devolver la llamada, notificar.
Para entrenar a sus equipos a hacer estas preguntas en voz alta, descubra los juegos de rol de Face Up o reserve una demostración.
De la lectura a la práctica.
Elige una situación real y habla con un interlocutor de IA, en vídeo con avatar o en llamada de audio. De 5 a 10 minutos, sin cuenta, debriefing inmediato.
Prueba un escenario →
