vishing, una estafa creíble

La pesadilla de Miguel Ángel comenzó cuando recibió una llamada de alguien que afirmaba ser un miembro del equipo de seguridad de ING, y que lo alertó sobre un supuesto acceso no autorizado a sus cuentas: supuestamente, alguien habría entrado en su banca electrónica desde la provincia de Cádiz y usando un iPhone 7.

En ese momento, se desencadenó una serie de eventos que llevaron a Miguel Ángel a tomar decisiones que en breve lamentaría profundamente.

Durante su llamada, el estafador proporcionó detalles precisos de sus cuentas bancarias y le ofreció consejos de seguridad. Luego, advirtió que su dinero estaba en peligro y le ofreció dos opciones: acudir a una oficina de ING o seguir instrucciones por teléfono para asegurar sus fondos en una cuenta segura durante la "duración de la incidencia".

En ese punto, Miguel Ángel y su familia comenzaron a desconfiar, preguntándose cómo podían estar seguros de la autenticidad de la llamada. La respuesta del estafador fue convincente: "Pueden colgarme e ir a una oficina o pueden mirar en Internet el teléfono desde el que le estoy llamando".

En efecto, Miguel Ángel descubrió que su interlocutor le estaba llamando desde un teléfono que coincidió con el de la sucursal de ING de la calle O’Donnell de Madrid. "Desde ese momento no dudé", aclara.

Ayudaron a consolidar la creencia en la legitimidad de la llamada detalles como que ésta reprodujera el tono de espera característico de ING, que durante la misma se escuchasen de fondo las voces de otros telefonistas y que su interlocutor hablase con acento español.

Por otro parte, el estafador ya había pensado en todo: cuando Miguel Ángel sugirió tras*ferir su dinero a la cuenta de su esposa, el estafador le advirtió que incluso las cuentas de las personas a las que solía hacer tras*ferencias podrían estar en peligro.

De modo que, al final, Miguel Ángel siguió las instrucciones del estafador y realizó una serie de tras*ferencias a una supuesta "cuenta segura" de ING: "En 25 minutos lo habíamos perdido todo".

Al día siguiente, tras esperar una llamada de regreso que nunca llegó, Miguel Ángel llamó al mismo número desde el que había recibido la llamada original. Sorprendentemente, ahora estaba en comunicación con el verdadero ING. Le informaron que había sido víctima de una estafa.

"En 25 minutos lo perdimos todo": esta estafa telefónica golpea a una familia en plena Navidad. Aprende a reconocerla para no caer (msn.com)

Aunque te estén llamando desde el número del Santander o del BBVA, podrías estar hablando con estafadores: así los suplantan

Ya hemos hablado en otras ocasiones de estafas basadas en la suplantación de la identidad de un banco recurriendo a técnicas de spoofing de mensajes SMS, que logran la hazaña de enviarnos mensajes que se muestran en el mismo hilo que los legítimos de nuestra entidad bancaria, logrando así convencer a muchos usuarios confiados para que cedan sus datos personales.

Pero los estafadores siempre están innovando, y algunos han llevado su destreza para la estafa bancaria a otro nivel. El catedrático de computación J.J. Merelo relataba hace unas horas en Twitter un caso que él mismo acababa de sufrir, un "intento de fraude con un nivel de sofisticación considerable". Los pasos son los siguientes:

Llaman desde el teléfono del Banco Santander.

Tu interlocutor cuenta ya con tu DNI y tus teléfonos.

Te cuentan una historia en torno a un pago fraudulento supuestamente realizado con tu tarjeta.

Te dicen que te van a 'arreglar' el cargo mandándote un mensaje con un código que tú deberás facilitarle a tu interlocutor.

"Y ahí está el fraude. En ese momento me olí algo raro… lo dije e inmediatamente me colgó. […] Por si acaso no lo tenéis claro: LOS BANCOS NO LLAMAN PARA PEDIRTE CÓDIGOS ENVIADOS".

Una estafa creíble

En caso de que suframos una llamada como ésta, deberemos colgar e ignorar. Y si la duda nos corroe (al fin y al cabo, el 'gancho' utilizado es el de haber sido víctima ya de un fraude) sólo tenemos que llamar al número de Atención al Cliente de nuestro banco, para que nos aclaren que no hay ningún problema con nuestra cuenta y que la llamada previa no la han realizado ellos.

El problema es que ¿cuántos usuarios no quedarán convencidos de colaborar con el telefonista gracias a una llamada aparentemente legítima en forma (número de teléfono correcto) y en fondo (ya cuentan con nuestros datos personales, no intentan sonsacárnoslos)?

Porque ahí reside la clave de esta estafa, de alguna manera, estos estafadores han tenido acceso a nombres, DNIs y teléfonos como producto de alguna filtración masiva de datos previa, algo que permite afinar las estrategias de ingeniería social hasta extremos antes inimaginables.

Pero, ¿y qué decir de la otra parte de la estafa? ¿Cómo es posible que veamos el teléfono de nuestro banco en la pantalla cuando nos llaman?

Así funciona la suplantación telefónica

El 'spoofing telefónico' permite al estafador que realiza una llamada hacerse pasar por otra persona u empresa, falsificando el número que se muestra en la pantalla de identificación de llamadas del terminal del receptor.

Así, al igual que el 'SMS spoofing' se basa en contratar a un proveedor que te deja enviar mensajes con el ID remitente que tú quieras, aunque no seas el propietario del mismo, su versión para llamadas logra que éstas parezcan provenir de cualquier número de teléfono deseado por el estafador.

Funciona más o menos así: el cliente (el estafador) contrata al proveedor determinada cantidad de minutos de llamada pagando por adelantado. Luego, cada llamada se realiza después de que el cliente haya facilitado a dicho proveedor el número tanto del destinatario como del supuesto emisor de la llamada (el banco).

Si bien hasta hace unos años era una práctica restringida a ámbitos como las fuerzas de seguridad del Estado, o —no siempre de forma legal— a las agencias de cobro y los investigadores privados, el desembarco de la tecnología VoIP ha 'democratizado' el acceso a las herramientas para llevar a cabo esta falsificación de números de teléfono.

Aunque te estén llamando desde el número del Santander o del BBVA, podrías estar hablando con estafadores: así los suplantan (genbeta.com)

tras*ferir tu dinero a una cuenta que no es tuya porque un tío te lo dice por teléfono por muy del banco que pueda parecer. Todo correcto y normal.

Lo primero que hay que hacer es desconfiar de los empleados bancarios reales cuando llaman ellos, ya nadie se acuerda de las preferentes, etc. A mí me llamó mi gestor de verdad muy amigablemente a endosarme preferentes en aquellos tiempos diciendo que era una oportunidad que se las quitaban de las manos y como no me fío de ellos pues no piqué. Si partiéramos de esa base ya sería imposible cualquier estafa de éstas de falsos empleados bancarios. Lo siento si alguien se siente ofendido.