[HACKING] · · Hackeando el Genoma · 0 comentarios

«Tengo una llamada perdida de este número»: cuando alguien usa tu número de teléfono para llamar a otros

Ver la imagen completa

Lunes, media tarde. Suena el móvil y al otro lado alguien a quien no conocemos pregunta, con cierta desconfianza, por qué le hemos llamado. No le hemos llamado. Una hora y pico después, otro desconocido, otro número, la misma pregunta.

Revisamos el registro del teléfono: ni una sola llamada saliente. La línea funciona con normalidad, la SIM sigue en su sitio y nadie ha tocado nada. Y sin embargo, en la pantalla de esas dos personas apareció nuestro número.

No es un fallo del móvil ni una línea hackeada. Es spoofing de identificador de llamada: alguien, en algún lugar, está llamando a terceros haciendo que en su pantalla aparezca un número que no es el suyo. Esta vez, el nuestro.

Nos ha pasado a nosotros esta misma semana, y no somos los únicos. Este artículo explica qué está ocurriendo, por qué las nuevas normas no consiguen frenarlo y qué puedes hacer tanto si recibes estas llamadas como si es tu número el que están usando.

El número que ves no es quien te llama

Cuando entra una llamada, el número que muestra tu pantalla no es una prueba de identidad. Es un dato que acompaña a la llamada, el CLI (Calling Line Identification), y en muchos casos lo rellena quien llama.

En la telefonía clásica, la señalización entre operadores (SS7) se diseñó en una época en la que las redes eran pocas y se fiaban unas de otras. Nadie pensó en comprobar que ese campo fuera verdad. Con la voz sobre IP la situación es todavía más sencilla: según explica Xataka Móvil, quien origina la llamada puede escribir prácticamente cualquier número como origen.

INCIBE describe la receta con bastante precisión: una centralita virtual de software libre, que convierte cualquier ordenador en una centralita, y un troncal SIP contratado con un proveedor que no restrinja el identificador de llamada. Con eso se pueden lanzar llamadas masivas mostrando el número que se quiera.

El resultado es desconcertante para la víctima: el número que aparece es real, pertenece a alguien y está activo, pero la llamada no ha salido de esa línea. Por eso no aparece en tu registro, ni en tu factura, ni en el detalle de llamadas de tu operador.

Conviene no confundirlo con otras dos situaciones que sí exigen actuar de inmediato:

  • Duplicado de SIM (SIM swapping): alguien obtiene una SIM con tu número. La señal clara es que tu móvil pierde cobertura de repente.
  • Centralita o cuenta VoIP comprometida: si usas telefonía IP con tu número como identificador saliente, las llamadas sí salen de tu cuenta. No aparecen en el móvil, pero sí en los registros (CDR) del proveedor VoIP y, normalmente, en la factura.

Cada vez más frecuente

Las cifras oficiales apuntan en la misma dirección: la suplantación de identidad es ya el gran problema de ciberseguridad del día a día.

  • El 017 de INCIBE atendió 95.064 consultas entre enero y junio de 2026, casi el doble que en el mismo periodo de 2025 (49.599) y prácticamente lo mismo que en todo 2024 (Ministerio para la Transformación Digital).
  • En ese semestre, la consulta más frecuente fue la de estafas en las que el delincuente suplanta a alguien de confianza: un 40 % de las consultas de ciudadanos y un 30,6 % de las de empresas.
  • En 2025, la primera temática consultada por empresas y profesionales fue la suplantación de identidad por imitación, con un 18 %. Y según INCIBE, si se mantiene el ritmo actual, los casos de spoofing telefónico podrían crecer casi un 48 % respecto a 2025.

Al mismo tiempo, las operadoras bloquean llamadas falsas a escala industrial. El Gobierno cifra en unos 192 millones las llamadas fraudulentas bloqueadas desde que entró en vigor la nueva normativa, además de 17 millones de SMS. Que haya que bloquear tantas da una idea del volumen que se intenta colar.

Un dato más, revelador por sí solo: cuando intentamos llamar al 017 para consultar nuestro caso, desistimos tras 20 minutos de espera. El servicio funciona, pero está desbordado.

Hay ley, pero no basta

España no está de brazos cruzados. La Orden TDF/149/2025 obliga a las operadoras a bloquear varias cosas:

  • Desde el 7 de marzo de 2025, las llamadas que llegan con numeración española no atribuida, no asignada o con un formato incoherente con el plan de numeración (Consumo Responde).
  • Desde el 7 de junio de 2025, las llamadas y SMS que llegan del extranjero mostrando un número español, salvo que sean de un cliente en itinerancia (roaming). Ese mismo día quedaron prohibidas las llamadas comerciales desde móviles (Fieldfisher).
  • Desde octubre de 2026, las llamadas comerciales deben salir de una numeración que empiece por 400, de modo que cualquier otra que se presente como comercial resulte sospechosa.

El problema es que el bloqueo funciona bien con lo que es claramente imposible, como un número que no existe o una llamada internacional con número español que no está en roaming. Con un número real y activo, como el nuestro, la cosa se complica. Hay varias grietas:

  • El roaming es indistinguible del fraude. Una operadora solo puede comprobar si un cliente suyo está realmente de viaje. Si el número suplantado es de otra compañía, la llamada que llega desde fuera puede ser un usuario legítimo en el extranjero.
  • No hay firma criptográfica del origen. En España no existe todavía un mecanismo común, entre todos los operadores, que certifique que quien entrega una llamada está autorizado a usar ese número. Francia implantó uno en 2024; extenderlo a toda Europa llevará años.
  • La reventa de numeración. Hay agregadores y call centers que alquilan bloques de números a operadores con red propia y los usan en redes de terceros con controles más laxos. La CNMC ha empezado a exigir un uso real mínimo de esos bloques para dificultarlo.
  • El fraude se desplaza. Cuando una vía se cierra, se abre otra. Parte del tráfico que antes llegaba disfrazado de número español ahora llega directamente desde números extranjeros, y Europol estima las pérdidas por este tipo de suplantación en más de 850 millones de euros en la UE.

Resumiendo: las normas han cerrado la puerta a las llamadas más burdas, pero la suplantación de números reales sigue siendo técnicamente posible.

Si te llaman a ti

La regla de fondo es sencilla: el número en pantalla ya no identifica a nadie. Ni el de tu banco, ni el de una empresa conocida, ni el de un vecino.

  1. Si la llamada te pide algo sensible, cuelga. Claves, códigos SMS, datos de tarjeta, una transferencia a una «cuenta segura», instalar un programa de soporte remoto. Ninguna entidad seria te lo pide así.
  2. Llama tú, por un canal que ya conozcas. El número de la web oficial, el que figura en tu tarjeta o en tu contrato. No devuelvas la llamada al número que te ha llamado, ni al que te den durante la conversación.
  3. Desconfía de la urgencia. La prisa es la herramienta principal del estafador: un cargo que hay que parar ya, una multa que vence hoy, un familiar en apuros.
  4. Si recibes una llamada perdida de un número desconocido, no te sientas obligado a devolverla. Si lo haces y te contesta alguien que jura no haberte llamado, probablemente dice la verdad: es otra víctima de la misma suplantación. No le culpes ni le insultes.
  5. Activa el filtro antispam del móvil. Tanto Android como iOS permiten silenciar desconocidos o marcar posibles fraudes.

Y si ya has dado datos o has pagado: llama inmediatamente a tu banco por sus canales oficiales para intentar bloquear la operación, guarda capturas y pon una denuncia.

Si están usando tu número

Primero, descarta que el problema sea tuyo. Son dos minutos:

  1. Consulta el detalle de llamadas en el área de cliente de tu operador, no solo el registro del móvil. Si esas llamadas no aparecen ahí, es spoofing. Si aparecen, tienes otro problema: duplicado de SIM o una app con permiso para llamar.
  2. Comprueba que tu móvil tiene cobertura normal. Una pérdida repentina de señal puede indicar un duplicado fraudulento de la SIM, y eso sí es urgente.
  3. Si usas centralita o telefonía IP, revisa qué cuentas tienen tu número como identificador saliente y mira los registros del proveedor. Una cuenta SIP con contraseña débil es un clásico.

Descartado lo anterior, toca documentar y avisar:

  • Apunta cada caso: fecha, hora y el número de quien te devuelve la llamada. Haz capturas.
  • Dile la verdad a quien te llama: no has sido tú, están suplantando tu número y no debe dar datos a nadie que llame «desde» él.
  • Denuncia. Ante la Policía, Guardia Civil o policía autonómica. Probablemente no detendrá la campaña, pero deja constancia de que tú no estás detrás si tu número aparece en una estafa.
  • Reclama por escrito a tu operador. Pide que verifiquen si esas llamadas pasaron por su red y por dónde entraron, que apliquen los bloqueos de la Orden TDF/149/2025 y que conserven los registros por si los pide la policía o un juzgado.
  • El 017 de INCIBE te puede orientar. Si el teléfono está saturado, también atiende por WhatsApp (900 116 117), Telegram (@INCIBE017) y un formulario web.

«Cámbiese de número»

Es lo que nos respondió nuestra operadora. Y es una mala solución.

Estas campañas suelen usar números al azar o recogidos de webs y directorios, y rotan a otros en cuestión de días. Cambiar de número no impide que el nuevo sea suplantado mañana. Para un particular puede ser una molestia asumible. Para un autónomo o una pyme cuyo número aparece en facturas, tarjetas, la web y la agenda de todos sus clientes, es un coste enorme a cambio de muy poco.

Salvo que la suplantación se prolongue durante semanas, lo razonable es esperar, documentar y dejar constancia.

Empresas y autónomos: el daño es reputacional

Para un negocio pequeño, el problema no termina cuando se acaba la campaña. Muchas apps de identificación de llamadas funcionan con reportes de usuarios. Si suficientes personas marcan tu número como fraude, los clientes empezarán a ver «posible spam» cuando les llames, y algunos no contestarán. INCIBE recoge casos de arquitectos, inmobiliarias, ópticas, agencias de viajes, ferreterías y autónomos de reformas.

Algunas medidas que ayudan:

  • Limpia la reputación del número. Revisa las apps de identificación más usadas y solicita la retirada de etiquetas erróneas o registra el número como empresa.
  • Vincula el número a tu Perfil de Empresa en Google, en formato internacional (+34…). El identificador de llamadas de muchos Android se alimenta de esos datos y puede mostrar el nombre del negocio en lugar de un aviso de spam.
  • Avisa a tus clientes por canales oficiales: un mensaje breve diciendo que se ha detectado una suplantación y que nunca pedirás claves, códigos ni pagos urgentes por teléfono.
  • Déjalo escrito en tu web. Una frase en la página de contacto del tipo «nunca te pediremos por teléfono contraseñas ni transferencias» quita mucho margen a cualquier estafador que use tu nombre.
  • Ten canales alternativos a mano: correo, WhatsApp de empresa, formulario web. Si el teléfono pierde credibilidad unos días, el negocio no se para.
  • Forma a quien atiende el teléfono. El número que aparece no basta para confiar en una llamada que pide un pago, un cambio de cuenta bancaria o un acceso remoto. Se cuelga y se verifica.
  • Protege tu propia centralita. Si usas telefonía IP, contraseñas fuertes, acceso de administración restringido y revisión periódica de usuarios y de las llamadas salientes. Que no sea tu infraestructura la que acabe lanzando las llamadas.

El número ya no es una identidad

Durante décadas, ver un número conocido en la pantalla era suficiente para saber quién llamaba. Esa confianza se construyó sobre una red telefónica cerrada en la que los operadores se fiaban unos de otros. Esa red ya no existe.

Hoy cualquiera con una centralita virtual y un proveedor poco escrupuloso puede presentarse con tu número, el de tu banco o el de tu ayuntamiento. Las normas han cerrado las vías más burdas, pero mientras no exista una verificación criptográfica del origen común a todos los operadores, el identificador de llamada seguirá siendo una afirmación, no una prueba.

Hasta entonces, la defensa es la misma que con el correo o con WhatsApp: verificar por otro canal antes de actuar. Y si un día te llama un desconocido preguntando por qué le has llamado, no te asustes. Probablemente los dos sois víctimas de la misma suplantación.

Fuentes

Deja un comentario