Estafa del falso empleado del banco: qué es el vishing y cómo actuar

Suena el teléfono y quien llama dice ser de tu banco. Conoce tu nombre y parte de tus datos, y te pide que confirmes algo. Eso es lo que INCIBE llama vishing. Este artículo recoge lo que dicen dos páginas suyas, publicadas en agosto de 2020 y noviembre de 2021. No dan procedimientos propios de cada banco, y aquí tampoco los inventamos.

Qué es el vishing

INCIBE lo define como un tipo de fraude basado en la ingeniería social y en la suplantación de identidad. Se realiza por llamada telefónica: el atacante se hace pasar por una empresa, una organización o incluso una persona de confianza, con el fin de obtener información personal de sus víctimas. La llamada puede hacerse desde un teléfono fijo o móvil.

Cómo funciona

Según INCIBE, el modus operandi tiene dos pasos.

1. El atacante obtiene antes información confidencial sobre su víctima: nombre y apellidos, correo, domicilio, parte de los datos de su tarjeta de crédito. La consigue mediante otros ataques, como el phishing.
2. Con esos datos, llama a la víctima haciéndose pasar por su banco, una empresa de mensajería o un servicio técnico, para que confíe en él. Después intenta obtener más información, conseguir que instale algún malware o que haga algún pago.

El ejemplo que cuenta INCIBE no es un banco, sino una falsa compañía telefónica que promete devolver parte de una factura y pide "validar" los datos bancarios. La devolución nunca llega. Encaja con el patrón del falso empleado: una excusa creíble y una petición de datos.

Otros pretextos que documenta INCIBE

El aviso de 2020 enumera pretextos habituales: participar en un concurso o sorteo, recibir un cheque regalo, recoger el premio de un concurso y falso soporte técnico. En el soporte técnico, el falso técnico dice que tu dispositivo está infectado y te pide instalar un programa. Ese programa podría infectar el equipo o dar acceso remoto al ciberdelincuente, y también podría pedir un pago por la falsa reparación.

Qué hacer durante la llamada

INCIBE da estas pautas, sacadas de sus dos páginas:

• No facilites información personal. Aunque no estés seguro de que sea un fraude, no compartas tus datos con un desconocido.
• Ante la mínima duda, finaliza la llamada. No proporciones la información que te piden.
• Si te llama tu banco u otro servicio de confianza, recuerda que ya dispone de la información que necesita. Bajo ningún concepto compartas datos sensibles como tu tarjeta o contraseñas, ni dejes que un desconocido tome control de tus dispositivos.
• Acude a la fuente oficial para comprobar la veracidad de lo que te proponen.
• Busca el número en Internet. Es posible que esté identificado como fraudulento.
• Bloquea el número para que no pueda volver a llamarte.
• No actúes por impulso. Usa el sentido común y reflexiona.

Si ya has dado datos o hecho un pago

Las recomendaciones de INCIBE para quien ha facilitado información o ha hecho una aportación económica son estas:

• Contacta con tu banco. Dile lo ocurrido para cancelar cualquier pago no autorizado o cancelar tu tarjeta si hace falta, y evitar cargos adicionales.
• Cambia las contraseñas de las cuentas que hayan podido verse comprometidas.
• Activa la verificación en dos pasos en las cuentas que lo permitan, para evitar la suplantación de identidad.
• Analiza tu dispositivo con un antivirus actualizado si has instalado algo a petición de la llamada, y elimina los archivos descargados.
• Reúne todas las pruebas posibles y denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado. El aviso de 2020 menciona también la posibilidad de denunciar ante la Agencia Española de Protección de Datos.

Vigilar qué hay de ti en Internet

El aviso de INCIBE propone vigilar regularmente qué información existe sobre ti en Internet, una práctica que llama egosurfing, para detectar si tus datos podrían usarse sin tu consentimiento. Si encuentras algún dato publicado sin tu consentimiento, puedes ejercer tus derechos de acceso, rectificación, cancelación u oposición. La AEPD ofrece las pautas para hacerlo.

Como primer vistazo, el análisis gratuito de Remove Me no necesita cuenta: busca en resultados públicos de la web, en filtraciones de datos conocidas (Have I Been Pwned) y en un registro de intermediarios de datos (data brokers), y muestra un informe que se desbloquea con un código de 6 dígitos enviado por correo electrónico. Remove Me todavía no envía solicitudes de supresión en tu nombre.

Lo que estas fuentes no cubren

Las páginas de INCIBE no explican qué procedimiento sigue cada banco ni cómo reclamar cuando el banco no resuelve. Tampoco tratan la falsificación del número que aparece en pantalla. Para dudas, INCIBE pone a tu disposición la Línea de Ayuda en Ciberseguridad, 017, gratuita y confidencial.