Vishing: qué es, cómo funciona y cómo proteger a tu empresa

El vishing es una modalidad de fraude en la que un atacante utiliza llamadas telefónicas o mensajes de voz para hacerse pasar por una persona o entidad de confianza y obtener datos sensibles, credenciales o transferencias de dinero. En el entorno empresarial, suele dirigirse a colaboradores con acceso a información, sistemas o pagos. 

Entender qué es el vishing resulta relevante para las empresas porque el teléfono sigue siendo un canal habitual para gestionar proveedores, atender clientes o resolver incidencias técnicas. En esta nota vas a encontrar cómo se desarrolla un ataque, qué lo diferencia de otras formas de fraude digital y qué herramientas pueden contribuir a fortalecer la validación de identidad.

Cómo funciona un ataque de vishing en una empresa 

Un ataque de vishing combina información previa sobre la organización con manipulación psicológica. En informática y ciberseguridad se lo clasifica como una forma de ingeniería social: el objetivo no es vulnerar un sistema, sino lograr que una persona habilitada entregue aquello que el atacante necesita. El proceso suele atravesar etapas similares:

• Investigación previa: reúne nombres, cargos, proveedores o procesos internos desde sitios web, redes profesionales o filtraciones.
• Contacto: llama presentándose como un banco, un organismo público, un proveedor, un cliente o un área interna.  
• Presión: introduce urgencia, una supuesta irregularidad o una consecuencia negativa si no se actúa de inmediato.

• Solicitud: pide datos de acceso, códigos de verificación, cambios en datos bancarios o la aprobación de un pago. 

Tener claro qué es el vishing y cómo funciona en cada una de estas etapas muestra que el riesgo depende tanto de la tecnología como de los procesos de verificación de cada organización.

Qué técnicas se utilizan en un ataque de vishing 

Los atacantes suelen apoyarse en recursos que aumentan la credibilidad de la llamada:  

• Falsificación del identificador de llamada (caller ID spoofing): mediante servicios de voz sobre IP, el número que aparece en pantalla puede simular el de una entidad real. 

• Sistemas de respuesta automática falsos: grabaciones que imitan menús de atención para solicitar datos por teclado.

• Clonación de voz con inteligencia artificial: permite imitar la voz de un directivo o de un contacto conocido.

• Combinación de canales: un correo o SMS previo anuncia la llamada y le da mayor verosimilitud.

La interacción en tiempo real es uno de los rasgos que distingue al vishing: el atacante puede adaptar su discurso según las respuestas de la persona y sostener la presión. Además, una llamada no deja el mismo rastro que un correo, lo que puede dificultar su análisis posterior.

Qué áreas de una empresa suelen ser blanco del vishing 

Más allá de saber qué es el vishing, conviene identificar qué funciones están más expuestas. Cualquier colaborador puede recibir una llamada fraudulenta, pero algunas áreas resultan más atractivas para los atacantes:

• Finanzas y tesorería: pedidos de transferencias urgentes o de modificación de cuentas bancarias de proveedores. 
• Mesa de ayuda y soporte técnico: solicitudes de restablecimiento de contraseñas o de habilitación de accesos. 
• Atención al cliente y centros de contacto: intentos de obtener datos o modificar cuentas haciéndose pasar por el titular. 
• Recursos humanos: pedidos de datos de empleados o de cambios en cuentas para el pago de haberes.

En los centros de contacto el desafío es doble: la empresa puede ser blanco de vishing y, a la vez, necesita confirmar que quien llama es realmente el cliente antes de realizar una gestión.

Qué medidas pueden ayudar a reducir el riesgo de vishing en una empresa 

La prevención suele combinar capacitación, procesos internos y herramientas de validación. Cada organización define su propio esquema, aunque algunas prácticas habituales incluyen:

• Capacitación periódica, para que los equipos comprendan qué es el vishing y reconozcan señales como la urgencia injustificada o los pedidos fuera de lo habitual. 
• Verificación por un canal alternativo, a través de un número oficial ya registrado y no del informado durante la llamada. 
• Procesos de doble aprobación para pagos o cambios de datos bancarios. 
• Autenticación multifactor en los sistemas corporativos, que puede limitar el impacto de una credencial comprometida. 
• Una cultura de reporte, en la que los colaboradores puedan informar llamadas sospechosas sin temor a sanciones.

Estas prácticas pueden complementarse con soluciones que incorporen datos verificados a la validación de identidad.

Qué soluciones de identidad y fraude de Equifax pueden ayudar a reducir el riesgo de vishing 

Las soluciones de identidad y fraude abarcan distintas etapas del recorrido del cliente.

ID Validator valida la identidad de prospectos y clientes mediante un cuestionario interactivo cuyas respuestas se contrastan con la base de datos de Equifax. Por su parte, Face Validator es una solución de validación biométrica facial que, mediante una prueba de vida, contrasta la identidad de la persona con los registros del RENAPER, lo que puede sumar una capa adicional de verificación en procesos sensibles.

¿Querés sumar datos verificados a tus procesos de validación de identidad? Contactá a un especialista de Equifax y conocé las soluciones que pueden adaptarse a las necesidades de tu empresa.

Preguntas frecuentes 

¿Cómo saber si una llamada es fraudulenta? 

Algunas señales frecuentes son la urgencia injustificada, la mención de una supuesta irregularidad y los pedidos fuera de lo habitual, como códigos de verificación o cambios de datos bancarios.

¿Se puede usar inteligencia artificial en un ataque de vishing? 

Sí. La clonación de voz con inteligencia artificial permite generar audios que imitan a una persona a partir de fragmentos publicados en videos, entrevistas o redes sociales. 

¿Por qué el vishing se considera una forma de ingeniería social? 

Porque no busca explotar una falla técnica, sino influir en el comportamiento de las personas. El atacante aprovecha la confianza, la urgencia o el temor a una consecuencia negativa para que un colaborador habilitado entregue información, accesos o autorice un pago.

¿Por qué el vishing puede ser más difícil de detectar que el phishing? 

Porque la conversación ocurre en tiempo real: el atacante puede adaptar su discurso según las respuestas y sostener la presión. Además, una llamada no deja el mismo registro que un correo electrónico y no pasa por los filtros que suelen aplicarse a ese canal.