.png)
¿Qué es el vishing?
Vishing, abreviatura de phishing por voz, es un ataque de ingeniería social en el que los ciberdelincuentes emplean llamadas telefónicas o comunicaciones de voz para engañar a las personas y que revelen información sensible, transfieran dinero, concedan acceso o tomen otras acciones que beneficien al atacante.
El vishing es similar al phishing tradicional, pero en lugar de depender principalmente de emails o sitios web fraudulentos, los atacantes emplean la comunicación por voz para generar confianza y manipular a sus objetivos.
Los atacantes pueden hacer pasar por bancos, compañías tecnológicas, agencias gubernamentales, ejecutivos, equipos de soporte informático u otras personas y organizaciones de confianza. Técnicas cada vez más sofisticadas, como la suplantación de identificadores de llamadas y las voces generadas por IA, pueden hacer que las llamadas fraudulentas resulten más convincentes.
Puntos clave
- Vishing (phishing por voz) es un ataque de ingeniería social que emplea llamadas telefónicas o mensajes de voz para engañar a las personas y que revelen información sensible, compartan credenciales o concedan accesos no autorizados.
- Los atacantes usan la suplantación y la urgencia para engañar a las víctimas. Las tácticas habituales incluyen hacer pasar por soporte informático, instituciones financieras o ejecutivos, a menudo empleando suplantación de identificadores de llamadas o voces generadas por IA para parecer legítimos.
- Los ataques de vishing pueden provocar incumplimientos de seguridad mayores. El robo de credenciales o el acceso no autorizado pueden permitir a los atacantes comprometer sistemas adicionales, escalar privilegios y mover lateralmente por el entorno de una organización.
- Preventing vishing requires both employee awareness and technical security controls. Organizations should combine security training, identity verification, threat detection, and network visibility to reduce risk and limit the impact of successful attacks.
¿Cómo funciona el vishing?
Los ataques de vishing dependen de la ingeniería social en lugar de simplemente explotar una vulnerabilidad técnica.
Un atacante suele crear un escenario creíble diseñado para que la víctima sienta urgencia, miedo, curiosidad o confianza. El atacante intenta entonces convencer a la víctima para que proporcione información o tome una acción.
Un ataque típico de vishing puede implicar estos pasos:
- Selección de objetivo: El atacante identifica a una persona u organización a la que dirigir.
- Investigación: El atacante puede recopilar información de redes sociales, sitios web públicos, datos filtrados u otras fuentes.
- Suplantación: El atacante finge ser una persona u organización de confianza.
- Manipulación: El atacante crea urgencia u otra razón para que la víctima actúe rápidamente.
- Información o acceso: Se puede pedir a la víctima que proporcione credenciales, códigos de autenticación, información financiera o acceso remoto.
- Explotación: El atacante emplea la información o el acceso para cometer fraude, comprometer cuentas o acceder a sistemas adicionales.
La eficacia del vishing depende en gran medida de convencer a la víctima de que la solicitud es legítima.
¿Cuál es un ejemplo de ataque de víshing?
Un ataque común de vishing consiste en que un llamante finge representar a un banco o institución financiera.
La persona que llama podría alegar que se detectó actividad sospechosa en la cuenta de la víctima y que se requiere una verificación inmediata. El atacante entonces aplicar un número de cuenta, contraseña, PIN o código de autenticación de un solo uso.
En un ataque laboral, un ciberdelincuente podría hacer pasar por el departamento de TI de una organización y decirle a un empleado que hay un problema con su cuenta. El atacante puede pedir al empleado que proporcione credenciales de acceso, apruebe una solicitud de autenticación multifactor (MFA) o instale software de acceso remoto.
Una vez que el atacante obtiene acceso, puede intentar comprometer sistemas adicionales o desplazar lateralmente por el entorno de la organización.
¿Cuál es la diferencia entre el vishing y el phishing?
El phishing es un tipo amplio de ataque de ingeniería social en el que los atacantes se hacen pasar por fuentes de confianza para engañar a las víctimas y que revelen información o tomen acciones inseguras.
El phishing tradicional emplea comúnmente el email.
Vishing emplea comunicaciones de voz, como llamadas telefónicas o mensajes de voz, para llevar a cabo el ataque.
Ambos ataques dependen del engaño, pero el canal de comunicación es diferente. Un email de phishing puede dirigir a alguien a una página de inicio de sesión fraudulenta, mientras que un atacante de vishing puede intentar convencer a la víctima de que proporcione las mismas credenciales por teléfono.
¿Cuál es la diferencia entre hacer vishing y smishing?
El vishing y el smishing son ambos tipos de phishing que emplean diferentes canales de comunicación.
- Vishing emplea llamadas de voz o mensajes de voz.
- El smishing emplea SMS o mensajes de texto.
Los atacantes también pueden combinar estas técnicas. Por ejemplo, una víctima podría recibir un mensaje de texto fraudulento indicándole que llame a un número de teléfono. El atacante puede entonces continuar el ataque de ingeniería social por teléfono.
¿Por qué son efectivos los ataques de vishing?
Los ataques de vishing explotan el comportamiento humano.
Las personas pueden ser más propensas a confiar en alguien que les habla directamente, especialmente cuando el llamante parece saber o afirma representar a una organización de confianza.
Los atacantes suelen crear urgencia afirmando que:
- Una cuenta fue comprometida
- Un pago necesita aprobación inmediata
- Una contraseña está a punto de caducar
- Se detectó actividad sospechosa
- El acceso de un empleado quedará deshabilitado
- Una transacción financiera debe ser verificada
- Un alto ejecutivo necesita asistencia inmediata
La presión puede disuadir a las víctimas de tomar el tiempo necesario para verificar la solicitud de forma independiente.
¿Qué información apuntan los atacantes con vishing?
Los atacantes de vishing pueden intentar obtener información que los ayude a cometer fraude o acceder a sistemas.
Esto puede incluir:
- Nombres de usuario y contraseñas
- Códigos de autenticación multifactor
- Información financiera
- Números de tarjetas de crédito o débito
- Información bancaria
- Números de la Seguridad Social u otra información personal
- Información del empleado
- Preguntas frecuentes sobre seguridad
- Información interna de la compañía
- Información sobre aplicaciones o sistemas de seguridad
Incluso información que parece relativamente inofensiva puede ayudar a un atacante a que futuros ataques sean más convincentes.
¿Qué es el vishing de la IA?
El vishing por IA emplea inteligencia artificial para hacer que los ataques de ingeniería social basados en voz sean más convincentes, personalizados y escalables.
La IA generativa y la tecnología de clonación de voz pueden crear un audio realista que se asemeje a la voz de una persona real. Los atacantes pueden emplear estas capacidades para hacer pasar por ejecutivos, colegas de trabajo, familiares u otras personas de confianza y convencer a las víctimas para que compartan información sensible o concedan acceso.
A medida que los modelos de IA de Frontier se vuelven más capaces, los atacantes también pueden automatizar partes más sofisticadas de una campaña de vishing. Esta evolución hace cada vez más difícil confiar en una voz familiar o en una conversación convincente como prueba de identidad. Los usuarios deben verificar de forma independiente solicitudes inusuales que involucren credenciales, dinero, información sensible o acceso al sistema a través de un canal de comunicación confiable.
¿Qué es la suplantación del identificador de llamadas?
La suplantación de identificación de llamadas ocurre cuando un atacante manipula la información mostrada en el teléfono del destinatario para que la llamada parezca provenir de otro número u organización.
Por ejemplo, una llamada fraudulenta puede parecer provenir de un banco, una agencia gubernamental, un número de teléfono local o incluso el servicio de ayuda interno de una organización.
Como la información del identificador de llamadas puede ser manipulada, los usuarios no deben asumir que una llamada es legítima simplemente porque el número de teléfono mostrado resulte familiar.
¿Cuáles son las señales de advertencia de un ataque de vishing?
Las posibles señales de advertencia del vishing incluyen:
- Solicitudes inesperadas de contraseñas o códigos de autenticación
- Presión para actuar de inmediato
- Amenazas de cierre de cuenta, pérdidas financieras u otras consecuencias
- Solicitudes para transferir dinero o comprar tarjetas regalo
- Solicitudes para instalar software o proporcionar acceso remoto
- Llamadas que piden información personal o empresarial sensible
- Solicitudes inesperadas de aprobación de MFA
- Un llamante que te desanima a contactar con la organización de forma independiente
- Solicitudes que eluden los procedimientos normales de la compañía
Una solicitud inesperada que implique información sensible, dinero, credenciales o acceso al sistema debe ser verificada de forma independiente.
¿Cómo puedes prevenir los ataques de vishing?
Las organizaciones pueden reducir el riesgo de vishing mediante una combinación de formación de empleados, controles de identidad, procedimientos de verificación, monitorización y medidas técnicas de seguridad.
Los empleados deben estar formados para:
- Evita compartir contraseñas o códigos de autenticación por teléfono
- Verifica solicitudes inesperadas a través de canales de confianza
- Ten cuidado con el lenguaje urgente o amenazante
- Nunca apruebes solicitudes inesperadas de MFA
- Sigue los procedimientos establecido para las transacciones financieras
- Reporta llamadas sospechosas a los equipos de seguridad
- Evita instalar software a petición de un llamante no verificado
Las organizaciones también deberían establecer procesos claros para verificar solicitudes sensibles, de modo que los empleados sepan cómo deben llevar las comunicaciones legítimas de TI, financieras y ejecutivas.
¿Qué debes hacer si recibes una llamada de vishing?
Si sospechas que hay un intento de vishing, evita proporcionar información o tomar la acción aplicar por el llamante.
Cuelga la llamada y contacta de forma independiente con la organización o persona empleando un número de teléfono o canal de comunicación conocido y de confianza.
Si la llamada involucra una cuenta o dispositivo en el lugar de trabajo, informa del incidente al equipo de seguridad o de TI de tu organización.
Si ya se proporcionaron credenciales o información de autenticación, las contraseñas afectadas deben cambiar y el equipo de seguridad debe investigar si el atacante accedió a la cuenta u otros sistemas.
¿Puede el vishing provocar un incumplimiento de datos?
Sí. Un ataque de vishing exitoso puede otorgar al atacante credenciales o acceso que puede convertir en el punto de entrada inicial para un ciberataque mayor.
Una vez dentro de un entorno, los atacantes pueden intentar escalar privilegios, acceder a datos sensibles, comprometer cuentas adicionales o mover lateralmente entre sistemas.
Por eso es importante prevenir el ataque inicial de ingeniería social, pero las organizaciones también necesitan controles que limiten lo que un atacante puede hacer si un usuario es comprometido con éxito.
Vishing y movimiento lateral
Un ataque de vishing exitoso no representa necesariamente el final de un ataque. Puede ser el comienzo.
Si un atacante roba credenciales válidas o convence a un empleado para conceder acceso, puede parecer un usuario legítimo. Luego pueden intentar descubrir sistemas adicionales, acceder a aplicaciones, escalar privilegios y mover lateralmente hacia datos sensibles o recursos críticos.
Limitar la comunicación innecesaria entre sistemas puede reducir las vías disponibles para un atacante tras el compromiso inicial.
¿Cómo pueden las organizaciones detectar actividad tras un ataque de vishing?
Los equipos de seguridad deben ir más allá de la llamada fraudulenta inicial y monitorizar qué ocurre si las credenciales, endpoints o cuentas se ven comprometidas.
La comunicación inesperada entre cargas de trabajo, conexiones de red inusuales, acceso a sistemas que normalmente no se comunican y otros cambios en el comportamiento pueden indicar que un atacante está intentando ampliar su acceso.
La visibilidad de la red y la inteligencia de seguridad contextual pueden ayudar a los equipos a investigar actividades sospechosas y a entender hacia dónde podría estar intentando mover un atacante a continuación.
Detecta amenazas antes de que se propaguen con Illumio Insights
No siempre puedes impedir que alguien responda a una llamada convincente de vishing. Pero puedes limitar lo que ocurre después.
Illumio Insights ofrece a los equipos de seguridad visión sobre la comunicación en sus entornos y ayuda a identificar conexiones sospechosas, vías riesgosas y posibles movimientos laterales tras un compromiso inicial.
Turn network activity into actionable intelligence and uncover threats before they become widespread breaches.
Preguntas frecuentes
¿Qué significa vishing?
Vishing significa phishing por voz. Es una técnica de ingeniería social que emplea llamadas telefónicas u otras comunicaciones de voz para engañar a las víctimas y que proporcionen información sensible o tomen una acción insegura.
¿Es el vishing un ciberataque?
Sí. El vishing es un tipo de ciberataque de ingeniería social. Se dirige a personas en lugar de depender exclusivamente de vulnerabilidades técnicas.
¿Cuál es un ejemplo de vishing?
Un atacante podría llamar a un empleado hacer pasar por soporte informático y alegar que hay un problema con su cuenta. El atacante podría entonces aplicar la contraseña del empleado, el código MFA o la aprobación de una solicitud de autenticación.
¿Cuál es la diferencia entre phishing y vishing?
El phishing suele emplear emails o sitios web fraudulentos para engañar a las víctimas. Vishing emplea comunicaciones de voz como llamadas telefónicas. Ambos son formas de ingeniería social.
¿Se puede usar la IA para vishing?
Sí. Los atacantes pueden usar voces generadas o clonadas por IA para hacer pasar por personas de confianza y hacer que las llamadas fraudulentas resulten más convincentes.
¿Cómo pueden las organizaciones proteger contra el vishing?
Las organizaciones pueden combinar formación en concienciación de la seguridad, autenticación estable, procedimientos de verificación, monitorización, visibilidad de la red y segmentación. Estas medidas pueden ayudar a prevenir ataques exitosos y limitar su impacto si las credenciales o sistemas se ven comprometidos.
¿Por qué es peligroso el vishing para las compañías?
Un ataque de vishing exitoso puede exponer credenciales, información financiera, datos sensibles o sistemas internos. Si los atacantes acceden al entorno de una organización, pueden usar ese punto de apoyo para escalar privilegios y desplazar lateralmente a otros recursos.