Suena el teléfono. Miras la pantalla y aparece el número de tu banco. Es el mismo que tienes guardado desde hace años.
Contestas.
La persona que llama sabe tu nombre y te explica que han detectado una operación sospechosa. Para solucionarlo, te pide que confirmes un código que acabas de recibir por SMS.
Todo parece real.
Pero la persona que está al otro lado no trabaja en tu banco.
¿Cómo puede ser?
El número que aparece en pantalla también puede formar parte del engaño
Spoofing telefónico
Los ciberdelincuentes pueden utilizar una técnica conocida como spoofing telefónico para manipular el identificador de una llamada y conseguir que en nuestro teléfono aparezca un número que pertenece realmente a otra empresa.
Dicho de forma sencilla: el estafador realiza la llamada, pero nosotros vemos en pantalla el número de una empresa conocida.
Por eso, una de las comprobaciones que solemos hacer cuando recibimos una llamada —mirar quién está llamando— ya no siempre es suficiente.
Es parecido a recibir una carta con el membrete de nuestro banco. El membrete puede ser auténtico, pero eso no demuestra quién ha escrito la carta.
Y precisamente por eso este tipo de fraude puede resultar tan convincente.
El problema es que el número puede ser el correcto
Imagina que recibes una llamada y la persona te dice:
«Hemos detectado una transferencia de 1.200 euros que no reconocemos. Necesitamos comprobar que es usted.»
Después llega un SMS con un código y te piden que se lo facilites.
Si además el número que aparece en pantalla es el de tu banco, es fácil pensar que todo encaja.
Pero no deberías facilitar el código simplemente porque el número parezca correcto.
Lo más sencillo es colgar y contactar tú con el banco utilizando su aplicación, su página web oficial o un teléfono que ya tuvieras guardado.
Si realmente existe una operación sospechosa, podrán confirmártelo.
Y si no existe, habrás evitado el fraude sin necesidad de descubrir durante la llamada qué estaba ocurriendo.
No hace falta que sea un banco
El mismo tipo de engaño puede utilizarse con servicios que utilizamos habitualmente.
Por ejemplo, puede sonar el teléfono y alguien decir:
«Llamamos de su compañía eléctrica. Tenemos que actualizar los datos de su contrato.»
O:
«Somos de su compañía de gas. Necesitamos confirmar unos datos antes de realizar la próxima revisión.»
También puede tratarse de una compañía telefónica:
«Hemos detectado un problema con su línea y necesitamos verificar sus datos.»
En cualquiera de estas situaciones puede haber una empresa real detrás del servicio, pero eso no significa que la persona que ha llamado trabaje para ella.
Si no esperabas la llamada y te piden datos, códigos, dinero o alguna acción que no tienes claro que debas realizar, puedes simplemente parar la conversación.
Cuelga y llama tú a la compañía utilizando un número de una factura, de su web oficial o de la documentación que ya tengas.
«Pero saben mi nombre, mi dirección y hasta con quién tengo contratado el servicio»
Eso también puede hacer que una llamada parezca auténtica.
Sin embargo, que alguien conozca nuestros datos no demuestra quién es.
Los delincuentes pueden disponer de información obtenida de diferentes fuentes y utilizarla para hacer más creíble el engaño.
Por eso conviene recordar algo muy sencillo:
Que conozcan tus datos no significa que sean quienes dicen ser.
La misma precaución debemos tener si la persona conoce información sobre nuestra empresa, un proveedor, una factura o algún servicio que utilizamos.
Cuando la llamada tiene mucha prisa, conviene ir más despacio
Muchas estafas intentan que tomemos una decisión rápidamente.
«Hay que cancelar la operación ahora.»
«Si cuelga, se bloqueará su cuenta.»
«Necesitamos que nos facilite el código inmediatamente.»
«No puede esperar hasta mañana.»
La urgencia puede hacer que dejemos de comprobar lo que en otras circunstancias comprobaríamos con tranquilidad.
Pero hay algo importante: no tienes que resolver un supuesto problema durante la misma llamada en la que te lo están comunicando.
Si realmente existe un problema con tu cuenta, tu línea o tu contrato, podrás comprobarlo después.
Y si la persona que llama insiste en que no cuelgues o intenta impedir que contactes directamente con la empresa, es una razón más para desconfiar.
Puedes colgar.
¿Qué buscan conseguir?
Depende del tipo de fraude.
En una llamada pueden intentar conseguir un código recibido por SMS, una contraseña, datos bancarios, información de una tarjeta o que autorices una operación.
También pueden intentar que realices una transferencia.
O incluso que instales una aplicación para poder acceder a tu teléfono u ordenador.
Por ejemplo, una llamada aparentemente del servicio técnico podría decir:
«Hemos detectado un problema de seguridad en su ordenador. Necesitamos conectarnos para solucionarlo.»
Si tú no has solicitado ese soporte, no tienes por qué permitir el acceso.
Una llamada inesperada de soporte técnico también debe comprobarse antes de hacer nada.
En una pyme, el problema puede ser todavía mayor
Para una empresa, una llamada fraudulenta no tiene por qué buscar directamente los datos bancarios del propietario.
Puede intentar engañar a un empleado.
Por ejemplo:
«Soy del departamento de administración de vuestro proveedor. Hemos cambiado la cuenta bancaria donde debéis realizar los próximos pagos.»
El interlocutor puede conocer el nombre de la empresa, saber quién gestiona las facturas e incluso mencionar una factura real.
Aun así, no debería modificarse una cuenta bancaria únicamente porque alguien lo solicite durante una llamada.
Una llamada al contacto habitual del proveedor puede confirmar rápidamente si el cambio es real.
Lo mismo se puede aplicar a una petición de contraseña, acceso a un sistema, instalación de un programa o cualquier otra operación importante.
Cuando algo afecta al dinero o a la seguridad de la empresa, una segunda comprobación puede evitar un problema importante.
Entonces, ¿cómo sabemos si la llamada es real?
Aquí está una de las partes más difíciles: no siempre podemos saberlo mirando la llamada.
- El número puede ser correcto.
- La persona puede conocer nuestros datos.
- Puede utilizar el nombre de una empresa real.
- Puede explicar un problema que parece perfectamente posible.
Por eso, en lugar de intentar convertirnos en expertos en reconocer cada tipo de estafa, hay una medida mucho más sencilla:
comprobar la información por otro canal.
Si te llama el banco, llama tú al banco.
Si te llama la compañía eléctrica, llama tú a la compañía.
Si te llama tu operador, contacta tú con él.
Si te llama un proveedor, utiliza el teléfono que ya conocías.
La comprobación debe partir de ti, no de la persona que acaba de llamarte.
No necesitas saber que es una estafa para colgar
Esta es probablemente la idea más importante.
Es fácil pensar:
«No sé si realmente es una estafa, así que voy a seguir hablando para averiguarlo.»
Pero no es necesario.
Si tienes dudas, puedes colgar aunque no sepas todavía si la llamada es auténtica.
No estás obligado a proporcionar información, confirmar un código o realizar una operación mientras estás hablando con alguien cuya identidad no has comprobado.
- Cuelga.
- Busca tú el teléfono oficial.
- Contacta con la empresa.
- Comprueba lo que te han contado.
Y después decide qué hacer.
¿Y si ya he dado un código o he realizado una operación?
En ese caso, conviene actuar cuanto antes.
Si has facilitado una contraseña, un código de seguridad, datos bancarios o información de una tarjeta, contacta con la entidad afectada utilizando un canal oficial.
Si has realizado una transferencia o autorizado una operación, informa inmediatamente a tu banco.
Guarda también el número desde el que te llamaron, los SMS recibidos y cualquier otra información relacionada con la llamada.
No esperes simplemente para comprobar si finalmente ocurre algo.
Una regla sencilla para recordar
Las llamadas fraudulentas son cada vez más convincentes porque pueden utilizar números conocidos, información real y situaciones que parecen perfectamente normales.
Por eso, no podemos basar toda nuestra confianza en lo que aparece en la pantalla.
Que aparezca el número correcto no demuestra que la llamada sea correcta.
Que conozcan nuestros datos tampoco.
Y que nos digan que es urgente no significa que tengamos que actuar inmediatamente.
Ante cualquier duda:
Cuelga → contacta tú con la empresa → comprueba → actúa.
No hace falta ser experto en ciberseguridad.
Solo hace falta adquirir el hábito de comprobar por otro canal antes de hacer algo importante.
Desde GrupoLasGuias compartimos consejos prácticos para ayudar a pymes y particulares a detectar fraudes y moverse con mayor seguridad por Internet.