2.2Smishing y vishing (SMS y llamadas fraudulentos)
Lo esencial en 30 segundos
- El número mostrado no prueba nada : la suplantación de visualización muestra el verdadero número del banco — un número no autentica.
- Ningún banco pide códigos ni validaciones por teléfono : « asesor » que reclama un código = fraude — el código recibido nunca se entrega.
- Devolución controlada : colgar y llamar usted mismo al número oficial — no se juzga en la urgencia, se cuelga.
Mini-caso seguido — Karim recibe la llamada de un « falso asesor »
Continuación del nivel : Karim recibe una llamada que muestra el número de su banco. Un « asesor » muy profesional le alerta de operaciones fraudulentas en curso y le pide validar su anulación con un código recibido por SMS. Karim reconoce el escenario del falso asesor bancario : en lugar de juzgar en la urgencia, aplica su protocolo — « cuelgo y vuelvo a llamar yo mismo » — y luego llama al número oficial : ningún problema en su cuenta. El SMS fraudulento recibido la víspera va al 33700.
Modelo pedagógico : las réplicas citadas ilustran el escenario que hay que reconocer, no instrucciones de ataque.
1. El phishing fuera del correo
El phishing no pasa solo por el correo. El smishing (SMS fraudulento) y el vishing (llamada fraudulenta) están en fuerte crecimiento — a menudo más eficaces porque el canal parece menos sospechoso. Tipologías : falsos SMS de entrega, falsos SMS bancarios, falsos asesores (banco, soporte técnico, operador). Karim acumuló ambos en 48 h : un SMS, luego la llamada.
2. El número mostrado no prueba nada
La suplantación de visualización (spoofing) hace mostrar el VERDADERO número del banco : el número mostrado ya no prueba nada. Regla de oro : ningún banco hace validar operaciones ni pide códigos por teléfono — ni transferencia « de seguridad ». Y conocer detalles personales (nombre, banco) tampoco prueba nada : filtraciones de datos e información pública hacen creíbles los escenarios.
3. La respuesta universal
La devolución controlada : colgar y llamar usted mismo al número oficial (reverso de la tarjeta, sitio oficial). En SMS : nunca el enlace ; abrir usted mismo la aplicación oficial para verificar. Reenviar los SMS fraudulentos al 33700. Este protocolo resiste incluso a los defraudadores más convincentes, porque no depende del juicio en la urgencia.
🔎 Ejemplo concreto — 🔎 Ejemplo concreto — La frase que cierra el 100 % de los fraudes
La respuesta tipo de Karim, dicha educadamente (modelo pedagógico) :
« Gracias, cuelgo y vuelvo a llamar yo mismo a la agencia. »
SMS : no hacer clic ; abrir la app/el sitio oficial usted mismo.
Reenviar el SMS fraudulento al 33700.Lectura: un protocolo que resiste a los defraudadores más convincentes.
Lección: no depende de su juicio en la urgencia.
Vocabulario de la sección
- Smishing
- El phishing por SMS : falso paquete, falsa alerta bancaria o falsa cuenta, con un enlace trampa.
Ejemplo sencillo: Karim recibe un falso SMS de entrega con un enlace en el que hacer clic.
Lo que no es: un SMS esperado (código de seguimiento de un verdadero paquete) verificado en la aplicación oficial.
Reflejo: SMS + enlace = nunca el enlace, verificación en la app oficial.
- Vishing
- El phishing por teléfono : un « asesor » o « técnico » muy profesional guía a la víctima hacia el fraude.
Ejemplo sencillo: El « asesor » de Karim le presiona para validar operaciones por teléfono.
Lo que no es: una llamada que uno mismo ha hecho al número oficial de su banco.
Reflejo: llamada inesperada + petición de acción = colgar, volver a llamar uno mismo.
- Falso asesor bancario
- El escenario tipo : supuestas operaciones fraudulentas en curso, y la víctima « valida la anulación » — en realidad valida las transferencias del defraudador.
Ejemplo sencillo: « Deme el código recibido por SMS para anular » : Karim se niega y cuelga.
Lo que no es: un verdadero banco que invita a pasar por la agencia o por la aplicación.
Reflejo: código recibido por SMS + llamada = fraude, siempre.
- Suplantación de visualización (spoofing)
- Técnica que muestra un falso número de llamante — incluso el verdadero número del banco : el número mostrado ya no prueba nada.
Ejemplo sencillo: El teléfono de Karim muestra el número auténtico de su banco… sin que sea él.
Lo que no es: el número que uno mismo marca desde una fuente oficial.
Reflejo: nunca autenticar a un llamante por el número mostrado.
- Devolución controlada
- La respuesta universal : colgar y llamar usted mismo al número oficial (reverso de la tarjeta bancaria, sitio oficial).
Ejemplo sencillo: Karim llama a su banco al número conocido : ningún problema en su cuenta.
Lo que no es: quedarse en línea y « verificar » con el propio llamante.
Reflejo: preparar la frase de antemano para decirla sin dudar.
En la práctica — En la práctica — El protocolo antivishing que hay que instalar
- Memorice la regla de oro : su banco NUNCA le pedirá por teléfono validar una operación, dar un código recibido por SMS o hacer una transferencia « de seguridad ».
- Prepare su respuesta tipo : « Gracias, cuelgo y vuelvo a llamar yo mismo a la agencia » — dicha educadamente, cierra el 100 % de los fraudes.
- En SMS : nunca haga clic en el enlace ; abra usted mismo la aplicación o el sitio oficial afectado para verificar.
- Reenvíe los SMS fraudulentos al 33700 (plataforma oficial de reporte de spam por SMS).
Guion listo para decir — responder a una llamada sospechosa (15 s)
« Gracias por avisarme. Por principio, nunca valido nada por teléfono : cuelgo y vuelvo a llamar yo mismo a mi banco al número oficial. Que tenga un buen día. »
Decir educadamente y luego colgar de verdad ; llamar después al número oficial conocido (reverso de tarjeta, sitio oficial).
Modelo copiar-pegar — protocolo antivishing
REGLA DE ORO : banco = nunca código ni validación por teléfono.
LLAMADA SOSPECHOSA → decir la frase → colgar → llamar al n.º oficial : _______________
SMS SOSPECHOSO → no hacer clic → verificar en la app oficial → reenviar al 33700.
CÓDIGO ENTREGADO POR ERROR → llamar al banco enseguida (n.º oficial) + cambiar contraseñas + guardar pruebas.Falso soporte técnico
« Técnico » que pide un acceso remoto : mismo protocolo — colgar, llamar al soporte al número oficial.
Pyme Argel
Karim guarda el número oficial de su banco en favoritos para llamar sin buscar en la urgencia.
SMS de entrega
Falso paquete : no hacer clic ; seguir el paquete en la aplicación del transportista o en el sitio escrito por uno mismo.
Familiar / colega con prisa
Petición urgente de dinero por mensaje : llamar a la persona a su número conocido antes de nada.
✓ Buenas prácticas
- Cuelgue y llame siempre usted mismo al número oficial.
- Nunca haga clic en un enlace de SMS : abra la app oficial.
- Reporte los SMS fraudulentos al 33700.
✗ Errores frecuentes
- Tomar el número mostrado por una prueba (spoofing).
- Dar un código recibido por SMS a un « asesor ».
- Validar una operación « de seguridad » por teléfono.
Puntos clave
- El número mostrado (teléfono o SMS) puede estar suplantado : no constituye una prueba.
- Ningún banco hace validar operaciones ni pide códigos por teléfono.
- La respuesta universal : colgar, llamar usted mismo al número oficial.
- SMS sospechoso → nunca el enlace ; verificación por la aplicación oficial ; reporte al 33700.
Reto 48h — aplica mañana
Guarde el número oficial de su banco en favoritos y repita la frase para colgar en voz alta 3 veces. Reenvíe al 33700 todo SMS fraudulento recibido esta semana.
- Puedo recitar la frase para colgar sin dudar.
- Sé explicar por qué el número mostrado no prueba nada.
- Tengo el número oficial en favoritos y reporto al 33700.
Preguntas frecuentes
El falso asesor conocía mi nombre y mi banco : ¿cómo?
Filtraciones de datos y OSINT : esa información circula y hace creíble el escenario. Precisamente por eso el conocimiento de detalles personales NUNCA debe servir de prueba de identidad del llamante.
Di un código recibido por SMS a un « asesor » : ¿qué hacer?
Llame inmediatamente a su verdadero banco (número oficial) para bloquear, bloquee si hace falta, cambie sus contraseñas bancarias, conserve las pruebas y presente denuncia. La rapidez limita los daños (ver también 5.1).
Karim está al teléfono con un « asesor » que reclama su código SMS. ¿Qué hace?