Spoofing telefónico: te llaman desde el número real de tu banco

Te suena el móvil, en la pantalla aparece el nombre de tu banco o su número oficial, y al otro lado alguien que sabe tu nombre completo y los últimos dígitos de tu tarjeta te pide "verificar una operación sospechosa". Todo parece legítimo. El problema es que el número que ves en pantalla no demuestra nada: se puede falsificar con una técnica que se llama spoofing telefónico, y en 2025 se ha convertido en una de las vías de estafa bancaria más efectivas en España porque salta la primera barrera de desconfianza, que es "reconozco este número".

Qué es el spoofing telefónico y cómo lo hacen

El spoofing de llamada consiste en manipular el identificador de llamada (Caller ID) para que el receptor vea un número distinto al que realmente origina la llamada. Es una técnica antigua, usada durante años con fines legítimos por centralitas de empresas (para que salga el número general en vez de la extensión), pero que servicios de VoIP mal configurados o directamente diseñados para el fraude permiten explotar sin apenas control.

En la práctica, el estafador contrata o usa una plataforma de telefonía IP que le deja escribir manualmente el número que quiere mostrar. Introduce el número de atención al cliente de tu banco —el mismo que tienes guardado en tu agenda porque llamaste alguna vez— y te llama desde ahí. Tu teléfono no verifica el origen real, solo muestra el dato que la red le entrega, así que confía ciegamente en esa información falsa.

El resultado: tu móvil, tu operadora y tu propio banco no tienen forma sencilla de avisarte en tiempo real de que esa llamada no sale de sus centralitas. Es exactamente el mismo principio que el email spoofing (falsear el remitente de un correo), pero aplicado a la voz.

A quién afecta y por qué funciona tan bien

Afecta a cualquier cliente bancario, pero es especialmente peligroso en dos perfiles:

• Personas que ya han recibido antes un SMS falso del banco o una llamada de un falso agente bancario y, precisamente por precaución, han memorizado el número oficial para "comprobar" que quien llama es de verdad. El spoofing anula justo esa comprobación.
• Personas mayores, que suelen fiarse más del identificador de llamada porque no conocen la existencia de esta técnica y no dudan al ver el nombre del banco en pantalla.

El ataque suele combinarse con datos previos obtenidos por phishing, una filtración de datos o simple ingeniería social (llaman antes con un pretexto para confirmar que ese es tu banco). Con tu nombre, tu banco y los cuatro últimos dígitos de tu tarjeta, el discurso suena creíble desde el primer segundo.

Paso a paso: así se desarrolla la llamada

1. Preparación. El estafador ya sabe (o intuye) en qué banco tienes cuenta, por una filtración previa, un SMS que respondiste o datos comprados en foros de fraude.
2. Spoofing del número. Configura su plataforma de llamadas para que se muestre el número de atención al cliente real del banco.
3. Llamada con pretexto urgente. Te dice que han detectado un cargo sospechoso, un intento de acceso desde otro dispositivo o una transferencia pendiente de confirmar.
4. Petición de datos o código. Te pide que confirmes tu identidad "leyendo el código que te acaba de llegar por SMS" (que en realidad es el código de una operación que él mismo está iniciando en tu banca online) o que instales una app de control remoto.
5. Ejecución del fraude. Con el código o el acceso remoto, autoriza una transferencia, añade un beneficiario nuevo o hace una compra con tu tarjeta.
6. Cierre de la llamada. Se despide con normalidad, a veces incluso te dice "gracias por su colaboración, quede tranquilo/a", para retrasar que sospeches.

Todo el proceso suele durar entre 5 y 12 minutos, el tiempo justo para generar confianza y ejecutar la operación antes de que cuelgues y llames tú por iniciativa propia.

Cómo detectar que es spoofing y no una llamada real

Ningún banco en España te va a pedir por teléfono tu clave completa de acceso a la app, el código de un SMS que acabas de recibir, o que instales una aplicación de acceso remoto (tipo AnyDesk o TeamViewer) en tu móvil. Esa es la señal más clara e inequívoca.

Otras pistas:

• Te presionan para actuar "ya mismo" porque si no "la cuenta queda bloqueada" o "la operación fraudulenta se completará".
• El interlocutor tiene acento o entonación que no encaja con un centro de atención habitual, o hay ruido de fondo de tipo call center masivo.
• Te piden confirmar datos que el banco ya tiene y no necesitaría preguntarte (tu DNI completo, tu dirección, tu contraseña).
• La llamada entra fuera del horario habitual de atención al cliente de tu entidad (de madrugada, festivos).

Qué hacer durante la llamada

Lo más seguro es colgar directamente en cuanto detectes cualquiera de esas señales. No sirve de nada intentar "sonsacar información" al estafador ni seguirle la corriente para ver hasta dónde llega: cada minuto que sigues al teléfono es un minuto en el que puede estar operando en tu cuenta en paralelo.

Después de colgar, no llames al número que ha aparecido en tu pantalla durante esa llamada, porque si estaba falseado, es posible que también hayan configurado un desvío para que la devolución de llamada les llegue a ellos. Busca el número de atención al cliente en tu tarjeta física, en tu contrato o en la web oficial del banco tecleada directamente en el navegador, y llama desde ahí.

Qué pasa si no actúas a tiempo

Si has facilitado el código, la clave o has permitido acceso remoto y no reaccionas en las primeras horas, el margen para recuperar el dinero se reduce mucho. El dinero de una transferencia fraudulenta suele salir de tu banco y entrar en una cuenta puente en minutos, y de ahí puede fraccionarse hacia otras cuentas o retirarse en efectivo o en criptomonedas en poco tiempo. Cuanto antes avises a tu banco para intentar la retrocesión (reclamar la devolución de una transferencia enviada por error o fraude), más probabilidad hay de que el dinero siga localizable en la cuenta de destino.

Además, según la normativa europea de servicios de pago (PSD2, incorporada al ordenamiento español y que exige autenticación reforzada o SCA para operaciones online), el banco puede negarse a devolver el importe si considera que hubo negligencia grave por tu parte, por ejemplo si facilitaste voluntariamente un código de un solo uso por teléfono. Por eso es tan importante no compartir nunca ese código, sea quien sea quien lo pida.

Errores habituales

• Confiar en el identificador de llamada como prueba de autenticidad. Es el error de base que hace funcionar todo el fraude.
• Devolver la llamada al mismo número que apareció en pantalla en vez de buscar el número oficial por otra vía.
• Compartir el código SMS "solo para confirmar", aunque la persona al teléfono suene amable y profesional.
• Instalar una app de acceso remoto porque "el técnico del banco lo necesita para revisar el problema".
• Tardar días en denunciar porque "total, ya no se puede hacer nada", cuando en realidad cada hora cuenta para la retrocesión.
• No avisar a familiares mayores de que esta técnica existe, dando por hecho que "ya saben reconocer una estafa".

Ejemplo real: el caso de Ramón

Ramón, jubilado de 68 años en Valencia, recibió una llamada un martes por la mañana. En su pantalla apareció el nombre de su banco, el mismo que tenía guardado en contactos desde hacía años. La persona al teléfono le dijo que habían detectado un intento de compra de 890 € en una tienda online y que, para anularlo, necesitaba que confirmara el código que le iba a llegar por SMS. Ramón, tranquilo porque "el número era el del banco", leyó el código en voz alta. En realidad, ese código autorizaba una transferencia de 2.750 € a una cuenta desconocida, no una anulación de compra.

Ramón se dio cuenta a los veinte minutos, cuando revisó su app y vio el movimiento real. Llamó de inmediato a su banco desde el teléfono impreso en su tarjeta, bloqueó la cuenta y pidió formalmente la retrocesión de la transferencia. Presentó denuncia esa misma tarde en la Policía Nacional aportando capturas de pantalla del movimiento y del historial de llamadas. El banco inició el proceso de reclamación con la entidad de destino, aunque, como suele pasar, parte del dinero ya había salido de esa cuenta puente antes de que se pudiera bloquear. Recuperó una parte, no la totalidad.

Cómo protegerte de forma preventiva

Guarda en tu agenda una nota junto al número de tu banco que diga algo como "el banco nunca pide códigos por teléfono". Actívala mentalmente cada vez que recibas una llamada de ese tipo. Configura, si tu operadora lo ofrece, servicios de identificación y bloqueo de llamadas sospechosas (algunas operadoras españolas han empezado a desplegar sistemas de verificación de origen de llamada, aunque su cobertura todavía es parcial en 2026; comprueba en la web de tu operadora si tiene esta opción activa). Y, sobre todo, interioriza una regla simple: ninguna llamada legítima de tu banco te pedirá nunca un código de un solo uso ni tu clave de acceso completa, venga del número que venga.

Cuándo conviene un profesional

Si ya has perdido dinero, no intentes resolverlo solo por tu cuenta más allá de la reclamación inicial al banco y la denuncia. Si tu banco rechaza la devolución alegando negligencia grave y tú consideras que actuaste de buena fe ante un engaño sofisticado, puedes acudir al Servicio de Reclamaciones del Banco de España tras agotar la vía interna con tu entidad, o valorar el asesoramiento de un abogado especializado en derecho bancario si la cantidad es elevada. En paralelo, INCIBE (Instituto Nacional de Ciberseguridad) ofrece una línea de ayuda gratuita para víctimas de fraude online que también orienta sobre estos casos.

Nuestra recomendación

En Vurnix creemos que el spoofing telefónico va a seguir creciendo en 2026 porque es barato de ejecutar y muy difícil de frenar desde el lado del usuario: no hay ninguna app ni truco visual que te garantice al 100% que el número que ves en pantalla es real. La única defensa fiable es cambiar el hábito, no la tecnología: da por hecho que cualquier llamada que te pida un código, una clave o que instales software es sospechosa, sea cual sea el número que aparezca, y verifica siempre colgando y marcando tú mismo el teléfono oficial. Es una molestia de treinta segundos que puede evitarte perder miles de euros.