Estafadores suplantan número oficial de policía para solicitar tarjetas de regalo
Qué está pasando
La Policía de Irlanda del Norte emitió una alerta pública después de que estafadores suplantaron su número telefónico oficial para llamar a ciudadanos haciéndose pasar por agentes. El guión: la víctima recibía una llamada que en su teléfono aparecía como número real de la policía, luego un supuesto oficial le informaba de un problema legal urgente y le pedía tarjetas de regalo como forma de resolverlo. La técnica usada se llama spoofing y no requiere hackear ningún sistema: basta con usar servicios comerciales que permiten falsificar el número de origen de una llamada.
Por qué importa ahora
La misma técnica se usa en México. Los blancos más comunes: números de bancos reconocidos, del SAT, del IMSS, de la CFE. El atacante llama, la víctima ve un número conocido en pantalla, confía, y entrega información o realiza pagos. El número en pantalla no garantiza nada. Esta señal llega de Europa pero el patrón de ataque es idéntico al que documentan instituciones financieras mexicanas.
Quién está expuesto
Personas
Cualquier persona con teléfono. No requiere ser mayor, no requiere ser poco tecnológica. El mecanismo engaña precisamente porque el número que aparece parece legítimo. Adultos mayores y personas sin experiencia previa con este tipo de fraude son los más vulnerables.
Organizaciones
Las empresas también pueden ser blanco de spoofing para fraudes de business email compromise por teléfono: un supuesto ejecutivo de un banco o proveedor llama desde un número que parece real para autorizar un pago urgente.
Riesgo principal
Entrega de dinero, datos bancarios, o información personal a un atacante que parece legítimo porque tiene el número correcto en pantalla.
Señales de alerta
- Llamadas inesperadas de instituciones que “necesitan resolver algo urgente”
- Presión para actuar rápido, sin tiempo de verificar
- Solicitudes de pago en formas inusuales: tarjetas de regalo, transferencias inmediatas, criptomonedas
- Cualquier institución que te pida tu NIP, contraseña o código de un SMS
Qué hacer hoy
Para personas
El número en pantalla no es prueba de identidad. Si recibes una llamada de tu banco, SAT, o cualquier institución con una solicitud urgente: cuelga y llama tú al número oficial que aparece en el sitio web o en tu tarjeta. Nunca al número de quien llamó.
Para organizaciones
Capacitar a equipos de finanzas y atención a clientes: ninguna instrucción de pago urgente por teléfono debe procesarse sin verificación independiente. El protocolo es simple: colgar y rellamar al número oficial registrado en el sistema.
Controles GRC que aplica
- Capacitación en ingeniería social y fraude telefónico
- Procedimientos de verificación para transacciones iniciadas por llamada
- Política de doble confirmación para pagos urgentes
Decisión recomendada
Incluir un escenario de spoofing en la próxima capacitación de seguridad del equipo, especialmente para quienes manejan pagos, tesorería o información confidencial de clientes. El costo de la capacitación es mínimo comparado con el de un fraude por transferencia.