El vishing, la estafa por teléfono
Un falso soporte informático o un falso empleado del banco le llama y la pantalla muestra un número conocido: cómo reconocer el vishing y actuar.
En 30 segundos
- Dónde ocurre
- Por teléfono, a veces con un SMS al mismo tiempo, tanto entre los empleados como en el soporte informático4.
- Lo que quiere el atacante
- Una contraseña, un código de autenticación o la instalación de una herramienta que le dé el control del ordenador34.
- El reflejo
- Comprobar la identidad de quien llama con la organización a la que dice representar1.
- Si ya ha ocurrido
- Avisar de inmediato a los responsables de la organización, entre ellos los administradores de red, y cambiar las contraseñas reveladas1.
De qué se trata
El vishing (voice phishing) es suplantación de identidad por voz. El atacante llama por teléfono haciéndose pasar por una persona de confianza para obtener una información o una acción de la víctima. La CISA lo describe como el enfoque de ingeniería social que se apoya en la comunicación por voz1.
Para un empleado, el escenario típico es la llamada de alguien que se hace pasar por personal informático legítimo3.
Preguntas directas
¿El número que aparece en la pantalla demuestra quién llama?
No. Los estafadores pueden falsificar su número y hacerse pasar por una entidad de confianza, como un socio comercial o el soporte técnico2. La CISA señala que la telefonía por Internet (VoIP) permite falsificar con facilidad la identidad de quien llama, y que esto aprovecha una confianza mal depositada en la seguridad de los servicios telefónicos1.
¿A quién imita el atacante?
Las fuentes citadas aquí mencionan a un socio comercial, a un miembro del soporte técnico2, a personal informático legítimo3 y, en algunos casos, a un empleado que llama al soporte en lugar del verdadero titular de la cuenta4. Microsoft describe además atacantes que se hacen pasar por empleados recién contratados6.
¿Qué busca conseguir?
Según MITRE, puede empujar a la víctima a abrir una dirección maliciosa, a descargar un software malicioso o a instalar herramientas de gestión remota que el atacante podrá utilizar3. También puede intentar obtener credenciales de autenticación multifactor o lograr que se acepten solicitudes de autenticación3. Uno de los grupos descritos por la CISA convenció a empleados de que le dieran su contraseña de un solo uso (OTP), un código de autenticación4.
¿Hay que desconfiar de las llamadas que se reciben después de un mensaje?
Sí. Un mensaje de phishing puede pedir que se devuelva la llamada a un número: MITRE habla de «callback phishing» e indica que el atacante intenta entonces recopilar información confidencial2.
¿Qué hacer ante una llamada sospechosa?
La CISA aconseja desconfiar de las llamadas no solicitadas de personas que preguntan por los empleados o por información interna, y comprobar la identidad de quien llama directamente con la organización a la que dice representar1. Añade que no se debe dar información personal ni de la organización salvo que se tenga la certeza de que la persona tiene derecho a recibirla1.
1En la piel del atacante1 min
Empieza informándose. En el aviso de la CISA sobre el grupo Scattered Spider, el atacante busca primero en sitios profesionales el puesto que ocupa en la empresa la persona objetivo4. Después recopila nombres de usuario, contraseñas y datos personales4. Sus llamadas, a menudo varias seguidas, sirven primero para aprender el procedimiento de restablecimiento de contraseña y luego para reunir la información propia del empleado objetivo4. Estas llamadas se apoyan en datos personales procedentes de redes sociales, fuentes abiertas, herramientas comerciales de inteligencia y filtraciones de bases de datos4.
Microsoft describe el mismo método: el actor estudia la organización, imita el tono y el vocabulario de la persona suplantada y conoce suficiente información personal para convencer a un administrador de que restablezca una contraseña o un método de autenticación6. Este actor se dirige habitualmente a administradores técnicos, como el personal de soporte y del help desk6.
El atacante no necesita hacer la llamada él mismo. Según MITRE, las llamadas pueden ser realizadas por el atacante, por centros de llamadas contratados para la ocasión o automatizadas mediante llamadas pregrabadas2. En contados casos, Microsoft ha visto a atacantes recurrir a la intimidación, con la dirección personal, los nombres de familiares y amenazas físicas6.
2Lo que ve en la pantalla1 min
Ve un número que le parece conocido, o un nombre que cree reconocer. La urgencia o la alarma forman parte del escenario: MITRE observa que el atacante se presenta como una fuente de confianza y crea una sensación de urgencia3.
Lo que sigue varía. Su interlocutor puede pedirle un código de autenticación de un solo uso (OTP)4. También puede pedirle que valide una notificación de autenticación en su teléfono: la CISA describe notificaciones repetidas hasta que el empleado pulsa «Aceptar» (fatiga de MFA)4. Otras veces le guía hacia un falso portal de inicio de sesión o le pide que ejecute una herramienta de control remoto54. El SMS puede contener un enlace a un falso portal que imita la autenticación de la empresa6.
3Bajo el capóEquipos de TI1 min
Las herramientas de control remoto son software legítimo. Microsoft señala que las herramientas de administración remota, desviadas de su uso por el actor que describe, tienen usos normales y que su empleo debe vigilarse en el entorno6. MITRE cita ejemplos como AnyDesk8. MITRE precisa que estas herramientas pueden instalarse y utilizarse después de un compromiso para establecer una sesión de escritorio remoto interactiva8.
Otro mecanismo es el secuestro del propio número. La CISA informa de que Scattered Spider convenció a operadores de telefonía de transferir el número de un usuario a una tarjeta SIM en su poder (SIM swap), lo que da el control del teléfono y de las solicitudes de autenticación4. Microsoft describe también la activación de un desvío de llamadas en el número de un empleado, seguida de un restablecimiento de contraseña en autoservicio6.
En cuanto a la defensa, MITRE propone vigilar los registros de llamadas de los dispositivos profesionales y relacionarlos con los eventos posteriores a la llamada, como la instalación de una herramienta de gestión remota3. La CISA pide una autenticación multifactor resistente al phishing para todos los servicios en la medida de lo posible, y que se mantenga la formación contra el vishing4.
4AutopsiasCasos reales2 min
Scattered Spider, de junio a diciembre de 2022
MITRE vincula con la campaña C0027, de junio a diciembre de 2022, llamadas y SMS en los que el atacante se hacía pasar por personal informático5. Las víctimas eran dirigidas a un sitio de recopilación de credenciales o empujadas a ejecutar herramientas comerciales de gestión remota5. Una vez dentro, el grupo buscó en los espacios documentales de las víctimas las instrucciones del soporte y las guías de alta en la VPN y en la autenticación multifactor5.
Octo Tempest, 2022 y 2023
Microsoft describe en su artículo del 25 de octubre de 2023 un grupo detectado a principios de 2022, que se dirigía en primer lugar a operadores de telefonía móvil y empresas de externalización para provocar transferencias de número6. En 2022, revendía SIM swaps a otros delincuentes y tomaba el control de cuentas de personas adineradas para robar sus criptomonedas6. Microsoft señala que también llamaba al soporte de una organización para que se restableciera una contraseña o se añadiera un factor de autenticación6.
Actualización del aviso de la CISA, julio de 2025
El aviso AA23-320A, publicado el 16 de noviembre de 2023, se actualizó el 29 de julio de 2025 con técnicas de ingeniería social más elaboradas4. Una de ellas consiste en hacerse pasar por un empleado para obtener del soporte información sensible, un restablecimiento de contraseña y la transferencia de la autenticación multifactor a un dispositivo controlado por el atacante4.
5Lo que usted hace1 min
Compruebe la identidad de quien llama directamente con la organización a la que dice representar1. Si la solicitud llega por correo electrónico, la CISA recomienda no utilizar los datos de contacto de un sitio vinculado a la solicitud, sino buscarlos en comunicaciones anteriores1. El NCSC aconseja verificar una solicitud importante recibida por correo electrónico por un segundo medio de comunicación, como una llamada o una confirmación en persona7.
La CISA describe un grupo que obtuvo contraseñas de un solo uso de empleados4. Si ya cedió, avise sin demora a los responsables de la organización: podrán vigilar las actividades inusuales1.
Ficha
- Identificador
- CP-008
- Ala
- 1. Ataques y técnicas
- Competencia Brain
- Detectar el phishing (detect_phishing)
- Reflejo Brain
- cr-019
- Esquema
- G1 · Cadena de ataque (Kill Chain)
- Idiomas
- de, en, es, fr
- Fuentes
- 8 fuentes verificadas el 3 de noviembre de 2026
Fuentes8 fuentes
- CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Phishing for Information: Spearphishing Voice, Sub-technique T1598.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/004/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/004/ (consultado el 3 de noviembre de 2026)
- CISA, «Scattered Spider | CISA», 16 de noviembre de 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®». https://attack.mitre.org/groups/G1015/ (consultado el 3 de noviembre de 2026)
- Microsoft, «Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction | Microsoft Security Blog», 25 de octubre de 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de febrero de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Remote Access Tools, Technique T1219 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1219/ (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «El vishing, la estafa por teléfono», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp008_es_2026,
author = {Brain},
title = {El vishing, la estafa por teléfono},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/vishing-estafa-telefonica-suplantacion/},
note = {CC BY 4.0}
}