Una campaña de llamadas fraudulentas en la que ciberdelincuentes suplantan los números telefónicos de instituciones financieras para obtener información confidencial o dinero fue detectada recientemente en México, alertó ESET.
La empresa de ciberseguridad explicó que los atacantes utilizan una técnica conocida como caller ID spoofing, con la cual modifican el número que aparece en la pantalla del destinatario para hacerle creer que la comunicación proviene de un banco, una empresa, una autoridad o una persona de confianza.
Esta suplantación aumenta la credibilidad de la llamada y facilita que la víctima atienda las instrucciones de los delincuentes, quienes suelen dirigir sus engaños a usuarios con acceso a información financiera o administrativa.
“Aunque cualquier persona puede ser víctima, los ciberdelincuentes comúnmente se enfocan en clientes de instituciones financieras, adultos mayores, personas que realizan compras en línea, personas que esperan un trámite, devolución o entrega, y empleados de empresas con acceso a información financiera o administrativa”, señaló David González, investigador de seguridad informática de ESET.
El problema también ha sido identificado por la Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros (Condusef), que en mayo de 2026 registró casos de suplantación de identidad que afectaron a nueve instituciones financieras.
ESET aclaró que no todos esos incidentes estuvieron relacionados técnicamente con el caller ID spoofing, aunque sí incluyeron llamadas en las que los delincuentes fingieron representar a una institución financiera para solicitar información bancaria, contraseñas o códigos de seguridad.
Para realizar el engaño, los atacantes recurren a servicios de telefonía por Internet, conocidos como VoIP, o a otras plataformas que permiten alterar el identificador de llamadas y colocar un número falso que puede coincidir con el de un banco, una dependencia gubernamental o una empresa reconocida.
Cuando el usuario contesta, los ciberdelincuentes buscan generar miedo, confianza o un sentido de urgencia al advertirle sobre supuestos cargos no reconocidos, movimientos sospechosos, bloqueos de cuentas o problemas de seguridad.
Con estos argumentos intentan convencerlo de proporcionar contraseñas bancarias, NIP, datos de tarjetas o códigos de seguridad, además de realizar transferencias o instalar aplicaciones maliciosas que les permitan controlar el teléfono o la computadora.
“Los ataques de caller ID spoofing pueden derivar en robo de identidad, fraude bancario, pérdidas económicas, apertura de créditos fraudulentos, secuestro de cuentas digitales, instalación de malware, extorsión telefónica e incluso el compromiso de información corporativa cuando la víctima es un empleado”, detalló González.
Usuarios mexicanos ya han denunciado este tipo de llamadas en redes sociales. Uno de los casos recientes fue reportado por el periodista de investigación Ignacio Gómez Villaseñor, quien recibió una comunicación identificada como proveniente de una institución bancaria.
Durante la llamada, los delincuentes intentaron obtener información relacionada con el uso de su cuenta bajo el argumento de que existía una supuesta compra retenida y un cargo no identificado.
ESET advirtió que una llamada debe generar sospecha cuando, pese a mostrar el número de un banco o una autoridad, solicita información confidencial, códigos enviados por mensaje de texto o tokens. También recomendó desconfiar si la persona presiona para actuar inmediatamente, amenaza con bloquear una cuenta o cancelar una tarjeta, pide instalar una aplicación o indica realizar una transferencia para supuestamente proteger el dinero.
Ante cualquiera de estas situaciones, la empresa aconsejó colgar y comunicarse directamente con la institución mediante sus números oficiales, sin confiar únicamente en la información que muestra el identificador de llamadas.
Asimismo, pidió no compartir NIP, contraseñas o códigos de verificación por teléfono, ni ingresar a la aplicación bancaria mientras la llamada continúa. También recomendó rechazar la instalación de programas solicitada por un supuesto ejecutivo, reportar los números sospechosos y mantener actualizados el sistema operativo y las aplicaciones del dispositivo.
“Los ciberdelincuentes continúan perfeccionando sus técnicas para que los fraudes sean cada vez más convincentes, por lo que el identificador de llamadas ya es insuficiente para verificar la autenticidad de una llamada. La mejor defensa sigue siendo corroborar cualquier situación directamente con la institución involucrada a través de sus canales oficiales y desconfiar de cualquier llamada que solicite información confidencial o genere un sentido de urgencia”, concluyó David González.
