Durante mucho tiempo hemos utilizado el número que aparece en la pantalla como una especie de documento de identidad de la llamada. Si veíamos un teléfono conocido, confiábamos. Si aparecía un prefijo de nuestra ciudad, nos parecía cercano. Y si el móvil mostraba el nombre de una empresa, tendíamos a pensar que realmente era esa empresa. El spoofing telefónico aprovecha precisamente esa confianza.
El término describe la manipulación del identificador de llamada para que el receptor vea una numeración distinta de la que realmente está originando la comunicación. En un fraude, esa numeración puede intentar imitar a un banco, una compañía de suministros, una administración, una empresa conocida o incluso un teléfono local que resulte familiar.
El peligro no está solo en lo que dicen, sino en lo que vemos
Una estafa telefónica clásica tenía que convencer a la víctima únicamente mediante la conversación. Con la suplantación del identificador aparece una capa adicional de credibilidad: la pantalla parece confirmar la historia. Si alguien dice “llamo de su banco” y además vemos un número que asociamos con el banco, es fácil bajar la guardia.
Por eso una de las reglas de seguridad más importantes actualmente es sencilla: el número mostrado por sí solo no demuestra la identidad de quien llama. Puede ser una pista útil, pero no debería ser la única comprobación cuando hay dinero, contraseñas o datos personales en juego.
Cómo suele desarrollarse una llamada de suplantación
No existe un guion único, pero muchas comparten algunos elementos. El interlocutor conoce información básica sobre nosotros, plantea un problema urgente y nos ofrece una solución inmediata. Puede decir que se ha detectado una transferencia, que existe una factura pendiente o que alguien está intentando entrar en nuestra cuenta.
La urgencia es fundamental porque reduce el tiempo que dedicamos a pensar. El objetivo es que actuemos dentro de la llamada: facilitar un código, instalar una aplicación, confirmar datos, realizar una transferencia o acceder a un enlace.
La mejor defensa es romper la conversación
Cuando una llamada implica una acción sensible, no necesitamos demostrar que el interlocutor es un estafador antes de colgar. Basta con que tengamos dudas. Podemos terminar la conversación y contactar nosotros con la entidad mediante un canal obtenido de forma independiente: la aplicación oficial, la web escrita manualmente en el navegador, el reverso de una tarjeta o documentación que ya teníamos.
Este paso es muy potente porque rompe la principal ventaja del atacante: mantenernos dentro del escenario que ha construido.
Señales que justifican verificar
- Nos piden un código recibido por SMS.
- Solicitan instalar una aplicación o permitir control remoto del móvil.
- Insisten en que no colguemos.
- Hablan de una transferencia urgente o de mover el dinero a una “cuenta segura”.
- Piden claves completas, PIN o datos que una entidad normalmente no necesita solicitar por teléfono.
- Se enfadan o presionan cuando decimos que llamaremos nosotros al número oficial.
España está introduciendo bloqueos contra la suplantación
La regulación española aprobada desde 2025 obliga a los operadores a aplicar medidas de bloqueo frente a determinadas llamadas con numeraciones no atribuidas o con identificadores españoles que llegan desde el extranjero sin corresponder a situaciones permitidas como la itinerancia. El objetivo es reducir las posibilidades de que una comunicación fraudulenta se presente como si hubiera sido originada desde una numeración española legítima.
Estas medidas pueden reducir una parte importante del problema, pero ninguna protección técnica convierte en innecesaria la prudencia del usuario. Los atacantes cambian de táctica, utilizan diferentes canales y pueden combinar llamadas con SMS, correos o mensajes de WhatsApp.
¿Qué pasa si el número es realmente el de la empresa?
Aquí está una de las razones por las que el spoofing resulta tan confuso. La víctima puede buscar el número y encontrar que efectivamente pertenece a una entidad conocida. Esa coincidencia no basta para validar la llamada si el identificador ha sido falsificado. En situaciones de riesgo, la verificación debe realizarse iniciando nosotros una nueva comunicación.
También es importante no acusar públicamente al titular real de un número únicamente porque alguien haya recibido una llamada sospechosa con ese identificador. Precisamente en una suplantación, el propietario legítimo puede no tener ninguna relación con el fraude.
Preguntas Frecuentes
¿Pueden hacer que aparezca el número de mi banco?
La suplantación del identificador puede mostrar numeraciones que parecen legítimas. Por eso conviene verificar por un canal independiente cualquier petición sensible.
¿Bloquear el número soluciona el spoofing?
Puede evitar futuras llamadas mostradas con ese número en tu dispositivo, pero no elimina la técnica de suplantación ni garantiza que el titular real del número sea responsable.
¿Qué hago si ya he dado datos?
Contacta cuanto antes con la entidad afectada mediante sus canales oficiales, cambia credenciales si procede y busca asesoramiento especializado. En España, INCIBE ofrece ayuda a través del 017.
Fuente: https://www.incibe.es/ciudadania/blog/spoofing-telefonico-cuando-la-llamada-parece-legitima | https://www.incibe.es/empresas/blog/spoofing-telefonico-cuando-una-llamada-pone-en-riesgo-la-confianza-de-tu-empresa | https://www.boe.es/buscar/doc.php?id=BOE-A-2025-2870