--- id: CP-560 slug: falso-asesor-bancario-suplantacion-numero lang: es title: Falso asesor bancario y número suplantado description: Un falso asesor bancario llama, habla de un fraude y pide un código. Cómo reconocer la llamada, qué hacer en el momento y después. canonical_url: https://startbrain.io/cyberpedia/es/articles/falso-asesor-bancario-suplantacion-numero/ markdown_url: https://startbrain.io/cyberpedia/es/articles/falso-asesor-bancario-suplantacion-numero.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Falso asesor bancario y número suplantado», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/falso-asesor-bancario-suplantacion-numero/ (CC BY 4.0) wing: 5 theme: outsmart_social_engineering reflex: cr-065 schema: G5 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/falso-asesor-bancario-suplantacion-numero/ fr: https://startbrain.io/cyberpedia/fr/articles/faux-conseiller-bancaire-spoofing-numero/ en: https://startbrain.io/cyberpedia/en/articles/bank-impersonation-scam-caller-id-spoofing/ de: https://startbrain.io/cyberpedia/de/articles/falscher-bankberater-rufnummernfaelschung/ it: https://startbrain.io/cyberpedia/it/articles/finto-operatore-bancario-spoofing-numero/ sources: - "n": 1 title: Recognize and Report Phishing publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 2 title: "Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/004/ accessed: "2026-11-03" - "n": 3 title: Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1111/ accessed: "2026-11-03" - "n": 4 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 5 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" --- # Falso asesor bancario y número suplantado Llega una llamada desde un número parecido al del banco. La voz se presenta como asesor, habla de un fraude en curso en la cuenta y le pide actuar de inmediato. Es una estafa telefónica, llamada phishing por voz: la persona al otro lado de la línea intenta obtener de usted códigos o información personal [1][3]. No envía directamente software malicioso a la víctima [2], pero la llamada también puede llevar a descargarlo [2]. Esta ficha está dirigida a un empleado que recibe una llamada así en su teléfono, profesional o personal. Las fuentes citadas aquí describen el phishing por teléfono en general. Ninguna trata de la suplantación del número ni de los bancos en particular: lo que la ficha dice sobre esos dos puntos se limita, por tanto, a lo que ellas permiten afirmar. ## En 30 segundos - Dónde ocurre: en una llamada, pero también en un SMS, un mensaje directo o un correo que pide devolver la llamada a un número [1][2]. - Lo que quiere el atacante: que usted facilite información personal o financiera, o que acepte una solicitud de autenticación [1][2][3]. - El reflejo: no llame al número que le ha contactado; cuelgue y póngase en contacto con la entidad por otro medio, con datos de contacto sacados de su sitio web verificado [1]. - Si ya lo ha hecho: avise a su banco y a su responsable sin esperar (consejo de esta ficha) y después notifique la estafa [4]. ## Preguntas directas ### ¿Qué es una llamada de falso asesor? MITRE ATT&CK describe el phishing por voz como una variante del spearphishing: el atacante empuja a la víctima, mediante una llamada u otra comunicación de voz, a darle acceso a sistemas [2]. A menudo se hace pasar por una fuente de confianza y crea una sensación de urgencia o alarma [2]. Un falso asesor bancario aplica este esquema. ### ¿Qué busca quien llama? Según MITRE ATT&CK, el phishing para obtener información busca recopilar datos de la víctima, a menudo credenciales u otros datos aprovechables, más que ejecutar un programa malicioso [5]. El atacante también puede combinar la llamada con solicitudes de autenticación multifactor, para que el usuario revele sus códigos o acepte una solicitud de inicio de sesión [2]. ### ¿Por qué nunca hay que dar un código recibido por SMS? Ese código es el segundo cerrojo de la cuenta. MITRE ATT&CK señala que los códigos de un solo uso suelen enviarse por un canal separado, como el correo o el SMS, y que un actor malicioso puede interceptarlos si el dispositivo o el servicio no está protegido [3]. En la ficha sobre las técnicas de elusión se cita a un grupo por reutilizar credenciales robadas para provocar solicitudes de simple aprobación, con la esperanza de que el usuario legítimo las aceptara [3]. Un código leído en voz alta o una validación aceptada bajo presión cumplen la misma función para el atacante. ### ¿Demuestra el número que aparece en pantalla que es el banco? Las fuentes citadas aquí no describen la suplantación del número de llamada. En cambio, muestran que la suplantación de la identidad del remitente existe en los correos: MITRE ATT&CK indica que puede engañar tanto a la persona como a las herramientas de seguridad automáticas [5]. La regla de prudencia es, por tanto, no tomar la identidad mostrada como prueba y comprobarla por otro canal. ## Cómo funciona El ataque se basa en la confianza y la prisa. CISA señala que los mensajes de phishing suelen parecer de una persona o una organización de confianza, para conseguir una respuesta [1]. Entre los signos habituales que enumera figuran un lenguaje urgente o emocional, con consecuencias graves si no se responde de inmediato, y las peticiones de información personal y financiera [1]. La llamada también puede ser el segundo paso. MITRE ATT&CK describe a víctimas que reciben un mensaje que las invita a llamar a un número, donde después se las dirige a una dirección maliciosa, a una descarga o a la instalación de una herramienta de administración remota [2]. Una variante solo pretende hacer hablar: la víctima llama a un número y el atacante intenta obtener allí información confidencial [5]. Las mismas fuentes dan ejemplos ajenos a la banca, que ilustran el método. En la campaña C0027, Scattered Spider se hizo pasar por personal informático por teléfono para que las víctimas instalaran una herramienta de control remoto [2]. Storm-1811 llamó a víctimas presentándose como soporte informático, para que ejecutaran scripts y otras herramientas [2]. Las fuentes no fechan estos casos con precisión; se dan aquí como ejemplos de método y no como autopsias. ## Qué hace usted El principio viene de CISA: si un mensaje parece sospechoso pero podría ser real, no haga clic en ningún enlace ni llame a ningún número que figure en el mensaje [1]. Busque otra forma de contactar con la entidad o la persona [1]. Para una empresa, eso significa entrar en su sitio web, buscándolo en el navegador o escribiendo uno mismo la dirección si se conoce, y buscar allí los datos de contacto [1]. En concreto, ante una llamada de falso asesor: - Cuelgue, aunque quien llama insista o diga que cada minuto cuenta. La urgencia es una señal de alerta según CISA [1]. - Vuelva a llamar al banco con el número oficial, tomado de su sitio web verificado, nunca con un número dado por quien llama o por un mensaje [1]. - No comunique ningún código recibido por SMS y no acepte ninguna validación que no haya iniciado usted mismo [2][3]. - Si quien llama le pide instalar un programa o tomar el control de su equipo, rechácelo: es un método descrito por MITRE ATT&CK [2]. - Hable con su responsable, sobre todo si la llamada afectó a un dispositivo o a una cuenta profesional. MITRE ATT&CK incluye entre las medidas de protección la formación de los usuarios: saber detectar y notificar la ingeniería social, desconfiar de quienes llaman y comprobar su identidad [2]. ## Las trampas - Una apariencia creíble no prueba nada. CISA precisa que un error de ortografía o de redacción ya no es un indicio fiable: en la era de la inteligencia artificial, algunos mensajes tienen una gramática y una ortografía perfectas, y hay que buscar las otras señales [1]. - La presión es un signo habitual: CISA cita el lenguaje urgente [1], y MITRE ATT&CK menciona el envío de varios mensajes de aspecto urgente [5]. - La información publicada en línea refuerza la credibilidad de la llamada. El NCSC indica que los delincuentes se apoyan en lo que está disponible en línea, también en las redes sociales, para hacer sus mensajes más convincentes; publicar menos y revisar los ajustes de privacidad limita el riesgo [4]. - La trampa de un SMS que se cuela en una conversación ya existente no está descrita en ninguna de las fuentes citadas aquí. Conviene tratar ese mensaje como cualquier otro: no hacer clic y no llamar al número que indica [1]. ## Si ya lo ha hecho Las fuentes citadas aquí no detallan la oposición bancaria ni la presentación de una denuncia, por lo que la ficha no las describe. Avise sin esperar a su banco y a su responsable: es un consejo de esta ficha, no un paso descrito por las fuentes. CISA ofrece, en cambio, un ejemplo didáctico, una historia de phishing por correo y no por llamada: el usuario acabó recuperando lo esencial de sus pérdidas, a costa de muchas horas al teléfono con su banco y con el comercio [1]. La página de CISA lleva además la mención «Archived Content» y puede no reflejar la política actual [1]. El NCSC describe la notificación de una estafa como gratuita y rápida, e indica que permite reducir el número de comunicaciones fraudulentas recibidas y proteger a otras personas [4]. Mantiene una página para notificar una llamada sospechosa y saber qué hacer si se cree haber sido víctima [4]. En el momento de la consulta, anunciaba más de 59,6 millones de estafas notificadas en total, cifra a septiembre de 2026 [4]. ## Fuentes 1. CISA, «Recognize and Report Phishing». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/004/ (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1111/ (consultado el 3 de noviembre de 2026) 4. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 de noviembre de 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultado el 3 de noviembre de 2026) 5. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/falso-asesor-bancario-suplantacion-numero/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.