Vishing: definición, ejemplos de llamadas y señales de alerta

El vishing (de «voice phishing», suplantación por voz) es una estafa que se realiza por teléfono. La persona que llama se hace pasar por alguien de confianza para obtener una información, un código o una transferencia. La diferencia con el phishing está en el canal. Aquí el atacante habla y puede reaccionar en directo a cada vacilación.

Este artículo ofrece la definición de vishing, ejemplos de llamadas tipo y las señales de alerta que se detectan de oído. También explica cómo preparar al equipo.

¿Qué significa vishing?

La palabra une «voice» (voz) y «phishing» (suplantación de identidad para engañar). El vishing es, por tanto, una forma de phishing cuyo señuelo es una conversación oral. Cybermalveillance.gouv.fr, el organismo público francés de asistencia a víctimas de ciberdelitos, describe el phishing como una técnica fraudulenta destinada a engañar a la víctima, en particular mediante «falso mensaje, SMS o llamada telefónica de un banco».

El atacante no necesita vulnerar ningún sistema. Obtiene de la propia víctima lo que una herramienta técnica le negaría. Por ejemplo, un código recibido por SMS, una contraseña o una validación en una aplicación. Se habla de ingeniería social, porque el objetivo del ataque es la relación de confianza, no la máquina.

Vishing, phishing y smishing: ¿qué diferencias hay?

Los tres términos describen el mismo principio (engañar para conseguir algo) a través de canales distintos.

• Phishing: el señuelo llega por correo electrónico, con un enlace o un archivo adjunto manipulados.
• Smishing: el señuelo llega por SMS o mensajería, a menudo con un enlace a un sitio falso.
• Vishing: el señuelo llega por una llamada telefónica o un mensaje de voz.

El vishing se distingue por la presión. Un correo se relee, se reenvía, se denuncia. Una llamada exige una respuesta inmediata, sin rastro escrito y sin posibilidad de consultarlo con nadie.

Además, los canales suelen combinarse. Un SMS falso empuja a la víctima a devolver la llamada a un número, o una llamada anuncia que llegará un código por SMS. Las campañas actuales mezclan los tres. El comunicado de Cybermalveillance.gouv.fr del 26 de marzo de 2026 habla de oleadas de phishing «por SMS, correo electrónico o incluso llamadas de audio».

Ejemplos de llamadas de vishing

Estos son tres escenarios tipo, construidos para ilustrar el mecanismo. No describen ningún caso real.

El falso asesor bancario

Imaginemos una llamada que aparece con el nombre del banco. La voz, tranquila y profesional, anuncia operaciones sospechosas en la cuenta. Pide «asegurar» la cuenta validando una notificación en la aplicación. En realidad, la validación autoriza una transferencia a favor del estafador. El detalle del modus operandi está en nuestro artículo sobre la estafa del falso asesor bancario.

El falso proveedor o el falso directivo

Imaginemos que un contable recibe la llamada de un supuesto proveedor: «Hemos cambiado de banco, el próximo pago debe ir a esta nueva cuenta». O que una voz se presenta como la dirección y reclama una transferencia urgente y confidencial. Este escenario se analiza en el fraude del CEO por teléfono.

El falso soporte informático

Imaginemos una llamada al servicio de asistencia técnica: «Estoy de viaje, he perdido el móvil, ¿puede restablecer mi acceso?». El interlocutor conoce el nombre de su responsable y el departamento, datos que se encuentran en línea. Sin un procedimiento de verificación, el agente le hace el favor. El atacante obtiene así un acceso al sistema de información.

Las señales de alerta que se detectan de oído

Ninguna señal basta por sí sola. Es su combinación la que debe hacer dudar. Una llamada de vishing presenta a menudo varios de estos rasgos.

• Urgencia: «Hay que actuar en diez minutos».
• Autoridad: el banco, la dirección, la policía, un servicio de seguridad.
• Una petición inusual: un código, un cambio de datos bancarios, una validación.
• Aislamiento: «No diga nada a sus compañeros, es confidencial».
• Rechazo de la devolución de llamada: quien llama evita que usted lo contacte por otro canal.
• Un número de confianza en pantalla: lo que se muestra no prueba nada, porque un número puede suplantarse.

Cybermalveillance.gouv.fr indica que la suplantación de números de teléfono aumentó un 517 % en 2025, pese a las medidas reglamentarias como la ley francesa «Naegelen». Un número familiar en la pantalla no es, por tanto, una prueba de identidad.

Para profundizar en estos mecanismos, consulte las palancas psicológicas de la ingeniería social.

Por qué funciona el vishing, incluso con personas advertidas

Saber que existe una estafa no basta para reconocerla en directo. Durante la llamada, la persona debe escuchar, responder, gestionar la emoción y recordar una norma, todo en pocos segundos. La norma aprendida en un módulo en línea suele ceder ante la presión social.

Los atacantes lo saben. El comunicado de Cybermalveillance.gouv.fr menciona centros de llamadas de falsos teleoperadores especializados en la manipulación, alimentados con datos robados. Esos interlocutores repiten su discurso cientos de veces. El empleado vive esa situación una sola vez.

Este desequilibrio se corrige con la práctica. Un reflejo se construye repitiendo en voz alta la respuesta correcta, frente a alguien que insiste. Es la lógica del juego de rol, desarrollada en nuestro análisis de los límites del e-learning en ciberseguridad.

Cómo preparar al equipo frente al vishing

La preparación descansa sobre tres elementos sencillos.

1. Una única norma, conocida por todos: ante cualquier petición sensible recibida por teléfono, se cuelga y se devuelve la llamada por un canal independiente. Véase el procedimiento de devolución de llamada.
2. Permiso claro para negarse, incluso ante alguien que dice ser directivo.
3. Un canal de notificación sencillo, que se use sin miedo al reproche, también cuando la persona ha cedido.

Falta conseguir que estos gestos se vuelvan automáticos. Los formadores pueden lograrlo con una puesta en situación oral. El alumno recibe la llamada de un personaje interpretado por una IA, debe verificar y negarse. Después recibe un informe de resultados (debriefing) con las citas de lo que ha dicho. Face Up permite a los formadores escribir estos escenarios a partir de sus casos reales. El conjunto del tema se trata en nuestra guía de concienciación en ciberseguridad frente al vishing.

¿Qué decir durante la llamada?

Ante la duda, la mejor respuesta es breve, educada y sin justificaciones. Estas son algunas frases para tener a mano.

• «Voy a llamarle al número oficial de su departamento».
• «No comunico códigos por teléfono, sea cual sea el motivo».
• «Para una solicitud de este tipo, el procedimiento exige una validación por escrito».
• «Si es urgente, entenderá que verifique primero».

Estas frases tienen algo en común: no discuten la sinceridad de quien llama. Aplican una norma. El empleado no acusa a nadie y no tiene que demostrar que la llamada es fraudulenta.

Un interlocutor auténtico acepta esta verificación. Un atacante insiste, se irrita o cuelga. Esa reacción ya es una información útil, que conviene anotar para la notificación.

¿Quién es objetivo del vishing en la empresa?

Todos los puestos que tienen poder de decisión, un acceso o una información son objetivos. Cybermalveillance.gouv.fr recuerda que los fraudes de tipo falsa orden de transferencia afectan a todo tipo de organizaciones. Suelen realizarse por teléfono, por mensaje electrónico o por ambos.

• Los equipos de contabilidad y tesorería, que ejecutan las transferencias.
• Los asistentes de dirección, que conocen las agendas y los circuitos de validación.
• El servicio de asistencia informática, que puede restablecer un acceso.
• Los asesores de atención al cliente, que poseen información sobre los clientes.
• Las recepciones y centralitas, primeros interlocutores de quien llama sin ser conocido.

Cada profesión requiere, pues, su propio escenario de entrenamiento. Un contable no recibe las mismas llamadas que un agente de soporte.

Preguntas frecuentes

¿El vishing es lo mismo que el falso asesor bancario?

El falso asesor bancario es una forma de vishing entre otras. El vishing abarca todas las llamadas fraudulentas, imiten a un banco, un proveedor, un directivo o un soporte informático.

¿Qué hacer si he dado un código durante la llamada?

Avise de inmediato a su banco o a su servicio de seguridad por un canal oficial y pida que se bloqueen las operaciones. Anote después el desarrollo de la llamada para la notificación. Nuestro artículo sobre cómo notificar un incidente propone una plantilla.

¿Es fiable un número que aparece con el nombre de mi banco?

No. El número mostrado puede estar suplantado, algo que confirma el aumento del 517 % de los casos observados en 2025 por Cybermalveillance.gouv.fr. Cuelgue y llame al número oficial del banco.

¿Está penado el vishing por la ley?

Sí. Según la ficha de Cybermalveillance.gouv.fr sobre las falsas órdenes de transferencia, la estafa (artículo 313-1 del Código Penal francés) se castiga en Francia con cinco años de prisión. La multa puede llegar a 375 000 euros. La tentativa se castiga con las mismas penas. La suplantación de identidad es además un delito distinto.

¿Son responsables los empleados si caen en la trampa?

Lo más útil es evitar la lógica del reproche. Una persona que teme la sanción notifica tarde, o no notifica. Las organizaciones que fomentan la notificación rápida limitan los daños, porque cada minuto cuenta para bloquear una transferencia.

Para entrenar a sus equipos a detectar y rechazar una llamada de vishing, solicite una demostración de Face Up.