El vishing, o suplantación por voz, es un tipo de ataque de suplantación realizado por teléfono o mensaje de voz; puede ser un mensaje de voz, una videollamada o una llamada telefónica. Se utiliza contra empresas y particulares para robar datos y dinero, o para lanzar otras estafas.

La voz de una persona ya no es de fiar. Y con la clonación de voz por IA, los atacantes pueden suplantar a un familiar o a un amigo cercano con facilidad, sonando lo suficientemente familiar como para no levantar sospechas.

La clonación de voz por IA hace que sea más importante que nunca que las empresas refuercen sus defensas contra las estafas de vishing. Una voz falsa convincente se puede utilizar para suplantar a ejecutivos, empleados, proveedores o clientes, lo que aumenta el riesgo de pagos fraudulentos, robo de credenciales, toma de control de cuentas, vulneraciones de datos e interrupciones en las operaciones internas.

Dado que estos ataques pueden explotar procesos empresariales habituales y relaciones de confianza, las organizaciones necesitan procedimientos de verificación que no dependan de si quien llama suena familiar o convincente.

¿Qué es el vishing?

El vishing es un tipo de suplantación que se realiza por teléfono o mediante mensajes de voz. Los estafadores suplantan la identidad de personas u organizaciones de confianza, como bancos, empleadores, agencias gubernamentales o familiares, para engañar a las víctimas para que compartan información confidencial, envíen dinero o realicen alguna otra acción.

El nombre proviene de «voice» + «phishing». Está estrechamente relacionado con el smishing, que utiliza SMS o mensajes de texto en lugar de llamadas de voz para llevar a cabo estafas similares.

Hoy en día, el vishing también puede implicar la clonación de voz por IA, lo que permite a los estafadores imitar la voz de una persona real y hacer que la llamada suene más convincente.

¿Cómo funciona el vishing?

El vishing suele funcionar combinando la suplantación de identidad, la ingeniería social y la urgencia. Se basa en la presión de una conversación en directo para empujar a alguien a actuar antes de que tenga tiempo de verificar una solicitud. Quien llama puede fingir ser del equipo de TI y pedir confirmar un inicio de sesión, hacerse pasar por un empleado de un banco que comprueba una transacción sospechosa o suplantar a un alto ejecutivo que necesita con urgencia que se apruebe un pago.

A diferencia de los correos electrónicos de suplantación, puede que no haya ningún enlace sospechoso, archivo adjunto o dirección de remitente desconocida para inspeccionar. Quien llama puede sonar tranquilo, convincente o incluso familiar, sobre todo si hay clonación de voz por IA de por medio.

El objetivo suele ser persuadir a la víctima para que revele credenciales o códigos de un solo uso, apruebe una transferencia, restablezca el acceso a la cuenta o eluda un proceso de seguridad habitual. En un entorno empresarial, esto podría significar engañar al personal de finanzas para que autorice un pago, suplantar al soporte de TI para recopilar detalles de inicio de sesión o convencer a un empleado para que le dé a un atacante acceso a una cuenta de la empresa.

La IA hace que el vishing sea más difícil de detectar

Las estafas de vishing tradicionales a menudo se delataban por malos scripts, amenazas obvias, centros de llamadas ruidosos o personas que simplemente no sonaban convincentes. Algunas todavía lo hacen. Pero las empresas ya no pueden tratar la calidad de la voz, la seguridad o la familiaridad como señales fiables de que una llamada es auténtica.

La clonación de voz por IA permite imitar a personas reales lo suficientemente bien como para crear solicitudes creíbles. Los atacantes pueden combinar una voz clonada con la suplantación de identidad de quien llama y detalles personales recopilados en LinkedIn, sitios web de empresas, entrevistas públicas, redes sociales o vulneraciones de datos anteriores.

Eso hace que las voces familiares sean especialmente arriesgadas como señal de confianza. De forma natural, la gente juzga a quien llama por el tono, la seguridad, la duda o si la voz se parece a la de alguien a quien conocen. La IA puede reproducir muchas de estas señales, haciendo que un ejecutivo, compañero, proveedor o empleado de TI suplantado suene tranquilo, apresurado, autoritario o preocupado.

En 2025, el FBI advirtió(ventana nueva) que varios actores maliciosos estaban utilizando smishing y mensajes de voz generados por IA para suplantar a altos funcionarios de EE. UU., generar confianza e intentar acceder a cuentas personales.

Para las empresas, los atacantes no necesitan una imitación perfecta. Solo necesitan una llamada lo suficientemente convincente como para desencadenar una acción, como aprobar un pago, compartir un código de verificación, restablecer una contraseña o cambiar el acceso a una cuenta.

Por eso, las solicitudes sensibles deben verificarse a través de otro canal de confianza, incluso cuando quien llama suene exactamente como alguien a quien el empleado conoce.

Ejemplos comunes de vishing dirigidos a empresas

El vishing funciona mejor cuando la solicitud parece plausible. Los atacantes suelen elegir escenarios que se adaptan a las rutinas empresariales habituales y luego añaden urgencia. Estos son algunos ejemplos comunes de vishing:

Suplantación del soporte de TI

Un escenario habitual es la suplantación del soporte de TI. Un empleado recibe una llamada de alguien que afirma pertenecer al servicio de asistencia, proveedor de software o equipo de seguridad de la empresa. Quien llama puede decir que hay un problema de inicio de sesión, una actualización urgente, actividad sospechosa o una migración que requiere que el empleado confirme sus credenciales o lea un código de un solo uso.

Suplantación del departamento financiero

La suplantación del departamento financiero es otro patrón de alto riesgo. Quien llama se hace pasar por el CEO, el director financiero, un alto directivo o un proveedor de confianza que pide procesar un pago con rapidez. La presión puede justificarse como confidencial, urgente o vinculada a un acuerdo, una factura, un problema fiscal o una incidencia con un proveedor.

Llamadas de fraude bancario

Las llamadas por fraude bancario también son frecuentes. Quien llama afirma ser del banco de la empresa y advierte sobre transacciones sospechosas. Se pide al empleado que confirme detalles, apruebe un paso de seguridad, mueva dinero o proporcione información que permita al atacante acceder a la cuenta más adelante.

Suplantación de organismos gubernamentales

La suplantación de organismos gubernamentales también puede afectar a las empresas. Las llamadas relativas a His Majesty’s Revenue and Customs (HMRC), la autoridad fiscal del Reino Unido, son lo suficientemente frecuentes como para que la HMRC ofrezca una vía específica para denunciar llamadas telefónicas sospechosas(ventana nueva). Quien llama puede mencionar plazos fiscales, IVA, nóminas, sanciones, reembolsos o investigaciones para crear urgencia.

Suplantación de proveedores y clientes

También existen llamadas de suplantación de proveedores y clientes. Un delincuente puede hacerse pasar por un proveedor que cambia los detalles de pago, un cliente que solicita acceder a un portal o un socio que pide un enlace a un documento. Puede que en la llamada no se pida dinero de inmediato; solo buscar recopilar información para un ataque posterior.

La conexión con las credenciales

El vishing suele desembocar en las credenciales, incluso aunque comience como una conversación. Un atacante puede pedir directamente una contraseña, pero muchos intentos de vishing son más sutiles. Quien llama puede pedir a un empleado que confirme un nombre de usuario, lea un código de verificación, apruebe una solicitud de autenticación de dos factores (2FA) o inicie sesión en un portal falso mientras permanece a la espera en la línea.

Una vez expuestas las credenciales, el daño depende de lo que esas credenciales puedan desbloquear. Una contraseña reutilizada puede dar al atacante acceso a más de un servicio, por ejemplo. Un inicio de sesión compartido puede dificultar saber quién utilizó la cuenta, y la falta de un requisito de 2FA puede dejar la contraseña como única barrera. Una cuenta con demasiados permisos puede convertir una sola llamada con éxito en un acceso mucho más amplio.

La higiene de credenciales es una parte esencial de la prevención de ataques de vishing. Las contraseñas únicas para cada servicio limitan el alcance de una contraseña robada. Un gestor de contraseñas para empresas reduce la necesidad de que los empleados recuerden o reutilicen contraseñas, y un generador de contraseñas integrado facilita mucho la creación de contraseñas sólidas y únicas para cada cuenta. Compartir datos de forma segura mantiene las credenciales fuera de llamadas, chats y documentos. La 2FA añade otra barrera cuando una contraseña se ve comprometida.

Por qué los datos expuestos hacen que el vishing sea más convincente

Una llamada de vishing es más persuasiva cuando el atacante ya sabe algo sobre la empresa. Esa información puede proceder de fuentes públicas: cargos, proveedores, ejecutivos, estructura de la empresa, notas de prensa, publicaciones en redes sociales, vídeos de conferencias, podcasts o perfiles de empleados.

También puede proceder de datos filtrados o robados, como direcciones de correo electrónico, números de teléfono, detalles de cuentas, credenciales expuestas o documentos internos.

Nuestro Observatorio de vulneraciones de datos muestra cómo los datos expuestos pueden generar riesgos más allá de la vulneración original. Un delincuente solo necesita un número de teléfono, un cargo, el nombre de un proveedor y una contraseña antigua para parecer creíble.

Es posible que los empleados hayan reutilizado detalles en otros lugares, que los proveedores se hayan visto comprometidos o que los atacantes combinen múltiples fuentes públicas y filtradas para crear una historia creíble. En la práctica, las empresas deberían tratar los datos expuestos como combustible para futuras estafas. Cuanto más sabe un atacante, menos aleatoria parece la llamada.

Cómo verificar una llamada sospechosa

Si sospechas, cuelga la llamada y verifica por ti mismo si la solicitud era auténtica. El vishing depende de mantenerte al teléfono, animándote a responder y actuar de inmediato. La verificación solo funciona cuando el empleado puede pausar, liberarse de esa presión y volver a contactar a través de un canal en el que la empresa ya confía.

Ante cualquier solicitud relacionada con credenciales, pagos, códigos 2FA, acceso remoto, datos bancarios, recuperación de cuentas o cambios de permisos, cuelga la llamada y comprueba la solicitud por separado. Esto puede significar devolver la llamada a la persona utilizando el directorio de la empresa, ponerse en contacto con el banco a través del número que figura en su sitio web oficial, abrir una incidencia interna de TI o comprobar los datos del proveedor ya almacenados en los registros de la empresa.

El número para devolver la llamada nunca debe ser el facilitado por quien llama. La identificación de la llamada tampoco es suficiente, porque los números se pueden suplantar. La clave está en volver a una fuente de confianza, en lugar de continuar una conversación que el atacante podría estar controlando.

Los ejecutivos, proveedores, bancos y equipos de TI legítimos deben esperar que se verifiquen las solicitudes sensibles. Si quien llama se vuelve agresivo, exige secreto o se niega a recibir una llamada de vuelta, le está dando al empleado una razón para detenerse, no para actuar más rápido.

Crea concienciación sobre el vishing en torno a tácticas, no a scripts

La formación de concienciación sobre el vishing no solo debe enseñar a reconocer una lista de frases habituales en las estafas. Los scripts cambian rápidamente, pero los patrones de manipulación son más estables.

Los empleados deben aprender a reconocer las tácticas detrás de la llamada, no solo el script. También necesitan sus propias tácticas a las que recurrir cuando tengan dudas:

  • Si quien llama les hace sentir prisa, ansiedad o la responsabilidad de solucionar algo de inmediato, se trata de una táctica, no de una prueba de urgencia. Quien llama puede afirmar que es un alto ejecutivo, un investigador de fraudes bancarios, una autoridad fiscal, un proveedor o un miembro del equipo de seguridad. La historia puede cambiar, pero la presión suele ser similar: actúa ahora, mantén la confidencialidad, confía en mi autoridad y elude las comprobaciones habituales.
  • La formación también debe incluir la clonación de voz por IA. El mensaje debe ser claro sin generar pánico: una voz familiar no es suficiente para autorizar una acción arriesgada. Se debe enseñar a los empleados que tienen derecho a pausar. Si quien llama pide un pago, una credencial, un código, un cambio de acceso o una solución alternativa urgente, la respuesta segura es detener la conversación, pedir unos minutos y verificar la solicitud a través de un número conocido u otro canal de confianza.
  • Una frase clave de seguridad, una regla para devolver la llamada o un flujo de trabajo de aprobación por escrito resultan más fiables que intentar juzgar si alguien suena «raro». Ninguna solicitud urgente legítima debería fallar por un breve retraso dedicado a la verificación.

Qué hacer tras una llamada sospechosa de vishing

Las sospechas de estafa de suplantación por teléfono deben notificarse rápidamente, incluso cuando no se haya enviado dinero ni compartido ninguna contraseña. Los intentos frustrados son útiles porque muestran a qué empleados, proveedores o procesos podrían estar dirigiéndose los atacantes.

El primer paso consiste en registrar los detalles:

  • Hora de la llamada
  • Número mostrado
  • Identidad o motivo alegado por quien llama
  • Acción solicitada
  • Nombres mencionados
  • Sistemas implicados
  • Si se compartió alguna información.

Asegúrate de no volver a contactar al número proporcionado por quien llama.

Si se compartieron credenciales, códigos de un solo uso, detalles de pago o acceso remoto, trátalo como algo urgente:

  • Restablecer las contraseñas afectadas
  • Revocar las sesiones cuando sea posible
  • Revisar la actividad de la cuenta
  • Exigir la 2FA
  • Comprobar si se utilizó la misma contraseña en cualquier otro lugar.

Cómo Proton Pass for Business ayuda a reducir el riesgo con las credenciales

El vishing es un ataque de ingeniería social, pero el daño a menudo depende de los controles de las credenciales, como las contraseñas, el acceso compartido y la protección de las cuentas. Un gestor de contraseñas para empresas como Proton Pass for Business ayuda a los equipos a reducir el riesgo de que una llamada con éxito se traduzca en un acceso más amplio.

Los empleados pueden generar contraseñas sólidas y únicas para cada servicio mediante el generador de contraseñas integrado de Proton Pass, guardarlas en cajas fuertes cifradas, utilizar el relleno automático, compartir credenciales de forma segura, gestionar llaves de acceso y utilizar la autenticación de dos factores integrada.

Esto resulta muy útil para protegerse frente al vishing, porque aunque un atacante obtenga tu contraseña durante una llamada, seguirá sin poder acceder a la cuenta sin el segundo factor. Proton Pass también incluye Pass Monitor con monitoreo de la dark web, que te alerta si tu correo electrónico aparece en una vulneración de datos conocida, para que sepas cuándo tus credenciales podrían estar ya comprometidas.

Proton Pass también ofrece a las empresas una opción por defecto más segura para el acceso diario. Cuando los empleados disponen de una forma aprobada de almacenar y compartir credenciales, el hecho de que quien llama pida leer una contraseña o enviar accesos por chat debería resultar extraño de inmediato.

Haz que las solicitudes por voz se puedan verificar por defecto

El vishing funciona porque la voz transmite inmediatez y cercanía. Quien llama puede sonar seguro, familiar, servicial o autoritario. La clonación de voz por IA hace que esa confianza sea aún menos fiable. Las empresas necesitan un hábito de verificación que no dependa de lo convincente que suene la persona al teléfono.

Las reglas más importantes son sencillas: no compartas credenciales en una llamada, no apruebes pagos inusuales basándote solo en una solicitud telefónica y no confíes en el identificador de llamadas como prueba de identidad. Cuelga, verifica a través de un canal conocido y documenta cualquier elemento sospechoso.

Para las pymes, el proceso puede seguir siendo sencillo. Las solicitudes sensibles deben contar con una regla para devolver la llamada, los pagos y los cambios de acceso deben requerir una confirmación a través de otro canal, y los empleados deben conocer las tácticas de autoridad y urgencia que hacen que el vishing sea convincente. Las credenciales también deben permanecer dentro de un gestor de contraseñas para empresas, donde las contraseñas sean únicas, se compartan de forma segura y resulten más fáciles de rotar si una llamada provoca su exposición.

La suplantación por voz seguirá evolucionando, especialmente a medida que la IA haga que la suplantación de identidad sea más barata y convincente. La defensa consiste en hacer que cualquier solicitud sensible sea verificable antes de que nadie actúe.

Protege las credenciales de tu empresa frente a la suplantación por voz con un gestor de contraseñas para empresas.