Suena el teléfono. Es tu banco. Te dicen que han detectado movimientos sospechosos en tu cuenta y necesitan verificar tu identidad. Parece urgente, parece real. Pero no lo es.
Bienvenido al vishing, la estafa telefónica que está vaciando cuentas bancarias en toda Espana. En esta guía te explico como funciona y como protegerte.
Que es el vishing
El vishing (voice + phishing) es una estafa que utiliza llamadas telefónicas para engañarte. Los ciberdelincuentes se hacen pasar por tu banco, la policía, Hacienda u otras entidades para robarte datos o dinero.
A diferencia del phishing por email o el smishing por SMS, el vishing es más difícil de detectar porque hay una persona real al teléfono que puede responder a tus preguntas y adaptarse a tus respuestas. Es el mismo principio que usa la estafa del hijo en apuros, donde la voz humana genera confianza inmediata.
Por qué es tan efectivo
- Voz humana: Genera más confianza que un mensaje escrito
- Tiempo real: El estafador adapta el engaño según tus respuestas
- Urgencia: Te presionan para actuar sin pensar
- Caller ID spoofing: Pueden hacer que aparezca el numero real de tu banco
- Información previa: A veces conocen datos tuyos (de filtraciones) que les dan credibilidad
Según datos de 2025, el vishing aumentó un 442% respecto al ano anterior. Es la estafa de mas rápido crecimiento.
Cómo funciona el vishing bancario
El guión tipico
Paso 1: La llamada
Recibes una llamada. El identificador muestra "BBVA", "Santander" o el nombre de tu banco. Una voz profesional te saluda:
"Buenos días, le llamo del departamento de seguridad de [tu banco]. Hemos detectado un intento de acceso no autorizado a su cuenta. Por seguridad, necesitamos verificar su identidad."
Paso 2: La verificación falsa
Te piden datos para "confirmar que eres tu":
- Últimos dígitos de tu DNI (ya los tienen de una filtración)
- Tu fecha de nacimiento
- El PIN de tu tarjeta
- Tu usuario de banca online
- El código que te acaba de llegar por SMS
Paso 3: La trampa
Mientras hablas, el estafador está:
- Accediendo a tu banca online con los datos que le das
- Solicitando una transferencia
- El SMS que recibes es el codigo de confirmacion real
- Si se lo das, la transferencia se ejecuta
Paso 4: El vaciado
En minutos, tu dinero ha desaparecido hacia cuentas de "mulas" que lo mueven rápidamente fuera del país.
Variantes del vishing
Variante 1: El falso empleado de seguridad
Te llaman diciendo que han detectado fraude en tu cuenta. Para "protegerte", te piden:
- Transferir tu dinero a una "cuenta segura" temporal
- Instalar una app de "seguridad" (que es malware). Si te envían un enlace por SMS, verifica si es seguro
- Darles acceso remoto a tu ordenador
La trampa: Los bancos NUNCA te piden transferir dinero a otra cuenta por seguridad.
Variante 2: El cargo fraudulento
"Hemos detectado un cargo de 1.500 EUR en Amazon. Si no lo reconoce, pulse 1 para hablar con un agente."
Pulsas 1, hablas con el "agente", y empieza el engaño para sacarte datos.
La trampa: Si hubiera un cargo real, lo verías en tu app. Y tu banco lo bloquearia automaticamente, no te llamaría.
Variante 3: El técnico de soporte
Te llaman diciendo que hay un problema con tu banca online o tu tarjeta. Necesitan que:
- Les des acceso remoto a tu ordenador (TeamViewer, AnyDesk)
- Accedas a tu banca online mientras ellos "supervisan"
- Les dictes los códigos que van llegando
La trampa: Con acceso remoto, ven todo lo que haces y pueden tomar el control.
Variante 4: La llamada de la policía
"Le llamo de la Brigada de Delitos Informáticos. Su cuenta esta siendo utilizada para blanqueo de dinero. Necesitamos su colaboración inmediata."
Te meten miedo y te piden datos o transferencias para "limpiar tu nombre".
La trampa: La policía nunca pide datos bancarios por teléfono ni te pide transferir dinero.
Variante 5: El SMS + llamada (combo letal)
- Recibes un SMS falso del banco sobre un cargo sospechoso
- Segundos después, te llaman "del banco" para ayudarte
- El SMS te ha preparado psicológicamente para la llamada
- Confias mas porque "coincide" con el mensaje
Esta variante combina el phishing bancario por SMS con una llamada de seguimiento. Esta combinación es especialmente efectiva porque parece coordinada y real.
Ejemplos reales de vishing en España
Caso 1: Llamada de "Santander"
Una mujer recibió una llamada del "departamento de fraude de Santander". Le dijeron que había un cargo de 800 EUR pendiente. Para cancelarlo, debía darles el código que iba a recibir por SMS.
El código era en realidad para autorizar una transferencia. Perdió 3.200 EUR en minutos.
Caso 2: El técnico de BBVA
Un hombre recibió una llamada sobre "un problema con su app BBVA". Le pidieron instalar TeamViewer para "solucionarlo remotamente". Mientras el técnico "trabajaba", vació su cuenta.
Perdió 12.000 EUR y un préstamo de 5.000 EUROS que el estafador solicitó a su nombre.
Caso 3: La Agencia Tributaria
Llamaron a una mujer diciendo que tenía una devolución de Hacienda pendiente. Para recibirla, debe confirmar sus datos bancarios y un código SMS.
El código autorizaba una transferencia saliente. Perdió 2.100 EUR.
Senales para detectar una llamada de vishing
1. Te llaman ellos, no llamas tu
Si tu banco detecta fraude real, bloquea la operación automáticamente. No te llama pidiendo códigos o datos.
2. Te piden datos que ya deberían tener
Tu banco conoce tu DNI, tu número de cuenta, tu dirección. Si te los piden para "verificar", es sospechoso.
3. Te piden códigos SMS
Los códigos de verificación son para autorizar TUS operaciones. Tu banco nunca te pedirá un código por teléfono.
4. Urgencia extrema
"Tiene que hacerlo ahora", "Solo tiene 5 minutos", "Si cuelga, perderá su dinero". La presión es una técnica de manipulación.
5. Te piden instalar software
Tu banco nunca te pedirá instalar TeamViewer, AnyDesk o cualquier herramienta de acceso remoto.
6. Te piden transferir dinero
Ningún banco te pedirá mover tu dinero a una "cuenta segura". Eso no existe.
7. Caller ID del banco
Aunque aparezca el número de tu banco, puede ser falsificado. El caller ID spoofing es fácil de hacer.
Cómo actuar ante una llamada sospechosa
Paso 1: Para y respira
No dejes que la urgencia te domine. Los estafadores cuentan con que actúes sin pensar.
Paso 2: No des datos
Nunca des por teléfono:
- PIN de tarjeta
- Contraseña de banca online
- Codigos SMS de verificación
- Número completo de tarjeta
- CVV
Paso 3: Cuelga
No tengas miedo de ser maleducado. Simplemente di "Voy a verificar esto por mi cuenta" y cuelga.
Paso 4: Verifica por tu cuenta
- Abre la app de tu banco (la que ya tienes instalada)
- Revisa tus movimientos: ¿Hay algún cargo extrano?
- Llama tu al banco: Usa el número del reverso de tu tarjeta o de la web oficial
Si realmente hubiera un problema, lo verás en la app o te lo confirmaran cuando llames tu.
Qué hacer si ya caíste en la trampa
Si diste tus credenciales
- Cambia la contraseña de banca online inmediatamente
- Llama a tu banco (número real, no el que te dieron ellos)
- Bloquea tus tarjetas si diste datos de tarjeta
- Activa alertas de movimientos si no las tenias
Si autorizaste transferencias
- Llama al banco inmediatamente: Hay un plazo de horas para intentar recuperar
- Denuncia a la policía: Guardia Civil o Policía Nacional
- Guarda todas las pruebas: Registro de llamadas, SMS, conversaciones
- Presenta reclamación formal al banco
Si instalaste software de acceso remoto
- Desinstala la aplicación inmediatamente
- Cambia TODAS tus contraseñas desde otro dispositivo
- Escanea tu ordenador con antivirus
- Vigila tus cuentas los proximos dias/semanas
- Contacta con tu banco para alertarles
Como protegerte del vishing
Regla de oro
Tu banco NUNCA te pedirá:
- Códigos SMS de verificación
- Tu PIN o contraseña completa
- Transferir dinero a otra cuenta (tampoco por Bizum)
- Instalar software de acceso remoto
- Datos que ya tiene en su sistema
Si alguien te pide esto, no es tu banco.
Establece una palabra clave con tu banco
Algunos bancos permiten configurar una palabra de seguridad que solo tú y ellos conocen. Si te llaman y no la conocen, es fraude.
Desconfia de llamadas entrantes
Si recibes una llamada "del banco", cuelga y llama tu al numero oficial. Si es real, no habrá problema en continuar la conversación cuando llames tu.
Activa todas las notificaciones
Configura alertas push para cada movimiento. Así detectarás operaciones fraudulentas en tiempo real, no cuando te llame un estafador.
No confíes en el identificador de llamada
El número que aparece puede ser falsificado. Aunque ponga "BBVA" o "Santander", puede ser un estafador.
Preguntas frecuentes
¿Si me llama el número oficial de mi banco, es seguro?
No necesariamente. Los estafadores pueden falsificar el número que aparece en tu pantalla (caller ID spoofing). Si tienes dudas, cuelga y llama tu al numero oficial.
¿Mi banco puede llamarme alguna vez?
Si, pero nunca para pedirte contraseñas, códigos SMS o transferencias. Pueden llamarte para ofrecerte productos o confirmar que una operación es tuya, pero la verificación la haces TU en tu app, no dando datos por teléfono.
¿Puedo recuperar el dinero si me estafan?
Depende. Si demostraste negligencia grave (dar todos tus datos a un desconocido), es difícil. Si el engaño fue muy sofisticado, algunos bancos están devolviendo el dinero. Reclama siempre y escala al Banco de España si te deniegan.
¿Cómo denuncio una llamada de vishing?
Puedes denunciar a:
- Policia Nacional: denuncias.policia.es
- Guardia Civil: En cualquier comisaría
- INCIBE: 017 (línea gratuita de ciberseguridad)
- Tu banco: Para que alerten a otros clientes
¿Los estafadores tienen acento extraño?
No siempre. Muchas redes operan desde España o tienen "empleados" españoles. El acento no es un indicador fiable.
Protégete con BeValk
Si recibes un SMS sospechoso antes o después de una llamada:
- No hagas clic en ningún enlace
- Copia el enlace o mensaje
- Analizado en BeValk para verificar si es fraude
- Consulta con MarIA si tienes dudas sobre la llamada
BeValk detecta:
- SMS de phishing que preceden a llamadas de vishing
- Enlaces fraudulentos en mensajes de texto
- Patrones de estafas bancarias actuales
Descarga para iOS y Android protege tu dinero de las llamadas fraudulentas.
Última actualización: febrero 2026