Qué es el vishing y cómo reconocer una llamada fraudulenta

Si ya has dado datos o autorizado una operación

1. Habla con la entidad afectada por un canal independiente. Si hay datos bancarios, códigos o una operación sospechosa, usa la aplicación, la web oficial o el teléfono oficial de tu banco. La entidad valorará si puede adoptar medidas sobre la cuenta, tarjetas o movimientos; no es posible garantizar la anulación o recuperación de un pago.
2. Cambia las contraseñas comprometidas. Hazlo especialmente si las reutilizabas en otros servicios. Revisa también la configuración de seguridad y las notificaciones de tus cuentas.
3. Revisa cualquier acceso remoto. Si instalaste una aplicación o permitiste controlar el dispositivo, deja de seguir las instrucciones recibidas y valora pedir apoyo técnico para revisar el equipo.
4. Guarda las pruebas y denuncia. Conserva el número mostrado, fecha y hora, mensajes, capturas, justificantes y documentos bancarios. Tras asegurar tus cuentas, puedes denunciar ante Policía Nacional, Guardia Civil u otra autoridad competente.

Si has facilitado datos bancarios o códigos por teléfono, consulta también la guía sobre qué hacer tras compartir datos bancarios o códigos.

Cómo suele funcionar el vishing

La persona que llama intenta generar confianza suplantando a una entidad conocida o a alguien cercano. Puede alegar una operación bancaria fraudulenta, un reembolso, una incidencia técnica, un problema de facturación o una compra o venta por Internet. El pretexto puede variar: lo relevante es que busca que entregues información, autorices un pago o sigas instrucciones sin verificar el aviso por otra vía.

Una llamada desconocida, comercial o mal atendida no es automáticamente vishing. Tampoco una única señal basta para confirmar un fraude. La cautela está justificada cuando se acumulan indicios y no puedes comprobar de forma independiente quién te llama y por qué.

Señales que deben hacerte detener la conversación

• Te piden actuar de inmediato por una supuesta urgencia, bloqueo, cargo o riesgo de perder dinero.
• Solicitan datos personales o bancarios, contraseñas completas, claves de autenticación o códigos recibidos por SMS.
• Te piden hacer una transferencia, pagar para resolver una incidencia o confirmar una operación que no reconoces.
• Intentan que instales una aplicación, abras un enlace o permitas acceso remoto al móvil u ordenador.
• Te impiden o dificultan verificar el aviso por tu cuenta, por ejemplo insistiendo en que no cuelgues.

El número que ves en pantalla no confirma quién llama

El identificador de llamada puede estar manipulado para mostrar un número distinto del origen técnico de la comunicación. Por eso, ver el teléfono de un banco, una empresa o una administración no acredita que estés hablando con esa entidad ni con una persona concreta.

La Orden TDF/149/2025 establece medidas para que los operadores bloqueen determinados supuestos de numeración manipulada. Son medidas dirigidas a la red telefónica y no convierten el número que llega a tu móvil en una prueba de legitimidad. Si necesitas comprobar una llamada, cuelga y utiliza un contacto oficial obtenido por tu cuenta.

Para entender este riesgo con más detalle, puedes consultar la guía sobre suplantación del número de teléfono o spoofing.

Qué hacer durante una llamada sospechosa

1. No des información ni sigas instrucciones. No necesitas discutir con quien llama ni demostrar que has detectado el engaño.
2. Cuelga. No devuelvas la llamada al número que te facilite el supuesto agente ni al que aparece en la pantalla solo para comprobarlo.
3. Verifica el aviso por una vía independiente. Entra en la aplicación o web oficial de la entidad, o llama a un teléfono oficial localizado en documentación fiable.
4. Actúa según el resultado. Si la entidad no confirma el aviso o detectas una exposición de datos, aplica las medidas de contención cuanto antes.

Ayuda y denuncia en España

Tras proteger las cuentas y los medios de pago afectados, reúne toda la información disponible: número mostrado, fecha, hora, mensajes, capturas, justificantes y, si existen cargos, documentos bancarios que los reflejen. Aunque el número pueda estar falsificado y no identifique por sí solo al autor, puede ser útil en la investigación.

INCIBE ofrece orientación a través de la Línea de Ayuda en Ciberseguridad 017. Es un canal de apoyo ante incidentes, pero no sustituye la comunicación urgente con el banco ni la denuncia cuando corresponda.

Si la llamada simulaba ser de una entidad bancaria, la guía específica sobre falsas llamadas de banco puede ayudarte a revisar el caso sin usar el contacto facilitado por quien llamó.