Suplantación del número de teléfono (spoofing): cómo reconocer una llamada fraudulenta

Revisado el 29 de octubre de 2026

Qué es el spoofing telefónico y en qué se diferencia del vishing

El identificador de línea llamante, también llamado CLI, es el número que se presenta como origen de una llamada. La normativa española reconoce que puede manipularse para hacerlo coincidir con el de una entidad conocida. Por eso, aunque veas el número de tu banco guardado en la agenda o un nombre reconocible en la pantalla, no puedes usar ese dato como prueba de identidad.

Pueden aparecer juntos: quien intenta cometer vishing puede usar spoofing para que la llamada parezca proceder de una entidad real. Sin embargo, no son sinónimos y una llamada con un número extraño o desconocido no prueba por sí sola que exista un fraude.

Señales de alerta en una llamada aparentemente oficial

Conviene desconfiar y verificar por otra vía cuando el interlocutor combina la aparente identidad de una entidad con presión para actuar de inmediato. Un indicio aislado no confirma una estafa, pero varias de estas señales justifican cortar la conversación.

• Te comunican una urgencia, una amenaza de bloqueo, un cargo inminente o una incidencia que exige actuar en ese momento.
• Te solicitan datos personales, bancarios, de tarjeta, contraseñas o códigos recibidos por SMS o una aplicación.
• Te piden hacer una transferencia, aprobar un pago o mover dinero con rapidez.
• Te indican que instales una aplicación, descargues un programa o concedas acceso remoto al dispositivo.
• Insisten en que no cuelgues, que no hables con nadie o que uses únicamente el número o enlace que te facilitan.

Cómo comprobar la llamada de forma segura

La comprobación no consiste en devolver la llamada al número que aparece en pantalla. El objetivo es cortar el contacto con quien llama y empezar una comunicación nueva usando datos obtenidos por ti de una fuente fiable.

1. Finaliza la llamada. No confirmes datos, no sigas instrucciones y no realices pagos mientras mantengas la conversación.
2. Busca un canal independiente. Entra en la aplicación oficial de la entidad, escribe manualmente su web o utiliza el teléfono que figure en tu contrato, tarjeta o documentación oficial.
3. Explica lo ocurrido. Pregunta si existe realmente la incidencia, gestión o movimiento que te han comunicado.
4. No uses el contacto proporcionado durante la llamada como única comprobación. El número indicado por el interlocutor, un enlace recibido o el identificador visible también pueden formar parte del engaño.

Este método es útil tanto si dicen llamar de un banco como de una compañía eléctrica, una empresa de mensajería o un organismo público. Si la entidad confirma que no te ha contactado, informa del intento para que pueda advertir a otros clientes.

Qué hacer si ya has dado datos, un código o acceso al móvil

1. Contacta con tu banco si hay datos financieros, códigos o pagos. Hazlo por el teléfono oficial o la aplicación de la entidad, no por el número desde el que te llamaron.
2. Cambia las contraseñas que hayas expuesto. Empieza por el correo electrónico y las cuentas financieras. Activa la autenticación multifactor cuando esté disponible.
3. Si instalaste una aplicación o diste acceso remoto, actúa sobre el dispositivo. Desconéctalo de la red si procede, desinstala el programa sospechoso, actualiza el sistema y revisa las cuentas afectadas desde un dispositivo seguro.
4. Guarda las pruebas disponibles. Conserva el número mostrado, fecha y hora, capturas, mensajes relacionados, enlaces, justificantes de pago y cualquier grabación obtenida legítimamente.
5. Informa y denuncia cuando corresponda. Comunica la suplantación a la entidad afectada y, si ha habido perjuicio, fraude o entrega de datos relevante, valora denunciar ante la Policía Nacional o la Guardia Civil.

Para orientación sobre un incidente de ciberseguridad puedes llamar al 017 de INCIBE. Es un servicio de ayuda: no sustituye la comunicación inmediata con el banco ni la denuncia cuando existan perjuicios.

Denuncia por fraude y reclamación ante la AEPD: no son la misma vía

Una llamada con identidad suplantada y un posible engaño económico o de acceso a cuentas debe tratarse como un incidente de fraude: prioriza al banco si hay riesgo financiero, conserva las evidencias y acude a las autoridades policiales si procede. La Guardia Civil contempla la denuncia telemática, con firma electrónica, para determinados supuestos de estafas y cargos fraudulentos cometidos por medios informáticos; otros casos pueden requerir atención presencial.

La AEPD no es el canal general para investigar cualquier llamada fraudulenta anónima. Su intervención puede ser pertinente ante llamadas comerciales no deseadas cuando sea posible identificar suficientemente a la empresa y se aporten pruebas, como el número y la hora de la llamada, además de otros indicios que permitan vincularla con la entidad. Esta reclamación no sustituye la denuncia de una posible estafa.

Qué medidas aplican los operadores contra la suplantación

La Orden TDF/149/2025 obliga a los operadores a bloquear determinados supuestos técnicos: llamadas con identificador vacío, con numeración no atribuida o incoherente, con números asignados pero no adjudicados a un cliente y ciertas llamadas desde el extranjero que presentan un número español, salvo situaciones de itinerancia internacional.

Estas medidas reducen algunas vías de suplantación, pero no permiten saber quién realiza una llamada concreta ni garantizan que desaparezcan todos los casos de spoofing. La precaución del receptor sigue siendo necesaria cuando la conversación pide información sensible o una acción urgente.

La misma orden prohíbe, desde el 7 de junio de 2025, usar numeración móvil para servicios de atención al cliente y para llamadas comerciales no solicitadas. Esto no significa que toda llamada desde un móvil sea fraudulenta: esa regla afecta a esos usos concretos y no identifica por sí misma al emisor de cualquier llamada.