¿Por qué aparece un número falso al llamar? Así funciona el spoofing

El número que aparece en la pantalla del móvil cuando entra una llamada no demuestra por sí solo quién está llamando. En un caso de spoofing telefónico, el emisor manipula el identificador de la llamada para que el receptor vea un número distinto del verdadero. Puede ser un teléfono cualquiera, pero también el de un banco, una empresa conocida, una administración o incluso un contacto que ya figura en la agenda. Esta técnica consiste precisamente en la suplantación del identificador de llamada para mostrar al receptor un número diferente del real.

Eso explica una de las situaciones más desconcertantes de las estafas telefónicas actuales: el número puede parecer auténtico y la llamada seguir siendo falsa. No significa necesariamente que hayan pirateado el teléfono de la empresa o de la persona cuyo número aparece en pantalla. Lo que se ha falseado es la información que acompaña a la llamada durante su recorrido por la red. El engaño sirve después como puerta de entrada para algo bastante menos técnico y mucho más antiguo: convencer a alguien de que entregue una contraseña, comunique un código recibido por SMS, instale una aplicación o mueva dinero.

Qué ocurre realmente cuando falsifican el número de una llamada

Los sistemas telefónicos transmiten, junto con la voz, un dato que identifica teóricamente la línea desde la que se origina la comunicación. Es el identificador de línea llamante, conocido técnicamente como CLI. En telefonía basada en internet, mediante protocolos como SIP, esa identificación viaja dentro de determinados campos de señalización. La propia regulación española contempla expresamente este mecanismo y la posible manipulación del CLI.

El spoofing aprovecha esa arquitectura. Dicho de una manera menos árida: el móvil recibe una especie de tarjeta de presentación digital que dice quién llama; el delincuente intenta que esa tarjeta lleve otro número. El teléfono del receptor se limita a mostrar la información que le llega. Ahí está el truco técnico.

Por eso puede suceder algo que, a primera vista, parece imposible. Una persona recibe una llamada que muestra el mismo número oficial de su banco, habla con alguien que conoce incluso algunos de sus datos personales y escucha que existe una transferencia sospechosa que debe anular inmediatamente. La combinación parece convincente. El caller ID spoofing permite precisamente que en la pantalla aparezca un número distinto al de la línea desde la que realmente se está llamando.

También explica otro fenómeno curioso: alguien puede devolverte una llamada que tú jamás hiciste. Tu número pudo haber sido utilizado como identificador visible por terceros. En ese supuesto, recibir llamadas de desconocidos preguntando por qué les has telefoneado no demuestra automáticamente que hayan clonado tu SIM o entrado en tu móvil. A veces, sencillamente, tu número ha sido el disfraz.

Spoofing y vishing no son exactamente lo mismo

Los términos suelen mezclarse, aunque describen cosas diferentes. El spoofing telefónico es la técnica utilizada para falsear la identidad que aparece asociada a una llamada. El vishing, combinación de voice y phishing, es el fraude basado en una conversación telefónica destinada a manipular a la víctima para obtener información, dinero o acceso a sus cuentas.

Uno puede alimentar al otro. El estafador realiza una llamada de vishing y utiliza spoofing para que en la pantalla aparezca el número de una entidad financiera. La tecnología prepara el escenario; la ingeniería social hace el resto.

Ahí está, de hecho, la parte peligrosa. Una persona puede desconfiar de un móvil desconocido, pero baja la guardia cuando aparece el teléfono que tiene guardado como «Banco», «Seguro», «Empresa» o incluso el nombre de alguien cercano. El fraude deja entonces de parecer una llamada llegada de la nada. Entra por la puerta principal.

Y las técnicas se están mezclando. En 2026 también ha ganado peso la clonación de voz mediante inteligencia artificial, capaz de imitar a familiares, conocidos o responsables de una empresa a partir de muestras de audio. Una voz familiar, igual que un número conocido, ha dejado de ser una prueba suficiente de identidad.

España ha endurecido los bloqueos contra las llamadas falsas

España introdujo en 2025 una regulación específica para frenar estas prácticas. La Orden TDF/149/2025 entró en vigor el 7 de marzo de 2025 y obliga a los operadores a bloquear determinadas llamadas con identificadores manipulados, números inexistentes o numeraciones españolas que no estén correctamente atribuidas o asignadas. También se bloquean, salvo excepciones como el roaming, llamadas que llegan desde el extranjero presentándose como si procedieran de un número español.

La dimensión del problema se aprecia mejor con una cifra. Según los datos difundidos por el Ministerio para la Transformación Digital en agosto de 2026, desde la puesta en marcha del plan los operadores habían bloqueado más de 300 millones de llamadas y 26,6 millones de mensajes considerados fraudulentos. El servicio 017 de INCIBE recibió 95.064 consultas durante el primer semestre de 2026, casi el doble que en el mismo periodo del año anterior.

Los filtros, sin embargo, no convierten la red telefónica en una fortaleza hermética. Bloquean patrones concretos —por ejemplo, determinadas llamadas internacionales que aparentan proceder de España—, pero ningún sistema puede convertir automáticamente el número mostrado en una garantía absoluta sobre la persona que está hablando. El volumen bloqueado da, eso sí, una pista de la magnitud industrial que han alcanzado estas campañas.

Qué cambia en septiembre y octubre de 2026

La ofensiva regulatoria se ha extendido también a los mensajes. Desde el 15 de septiembre de 2026, los operadores deben bloquear SMS, MMS y RCS que utilicen como remitente nombres o marcas —los llamados alias— que no estén inscritos en el Registro de Alias gestionado por la CNMC, así como los mensajes que empleen alias registrados pero procedan de operadores no habilitados. La intención es dificultar que un SMS fraudulento aparezca tranquilamente bajo el nombre de un banco, una compañía de transporte o una administración.

Las llamadas comerciales tendrán, además, una identificación más reconocible. Una resolución publicada en abril de 2026 creó el rango 400 para estas comunicaciones y fijó un plazo de seis meses para que estuviera plenamente operativo. Una vez agotado ese periodo, las llamadas comerciales sujetas a la regulación deberán utilizar esa numeración específica, destinada exclusivamente a llamadas salientes.

Son barreras importantes, aunque conviene no confundirlas con un certificado universal de autenticidad. La delincuencia telefónica se adapta con rapidez; una tubería se cierra y buscan otra. Nada particularmente novedoso en la historia del fraude, salvo la velocidad.

Cómo detectar una llamada que está usando tu confianza contra ti

El primer indicio ya no puede ser simplemente «el número es raro». Precisamente el spoofing pretende borrar esa señal de alarma. Un número conocido también puede estar suplantado, de modo que importa mucho más lo que ocurre durante la conversación.

La urgencia suele ser el combustible. Una operación que debe cancelarse inmediatamente, una cuenta que está a punto de bloquearse, un cargo que desaparecerá únicamente si se facilita un código, un técnico que necesita instalar software para «proteger» el dispositivo. El relato cambia; el mecanismo psicológico, bastante menos.

Hay una señal especialmente clara en los fraudes bancarios: que quien llama solicite contraseñas, claves completas o códigos de autorización. Una entidad no necesita que el cliente le comunique verbalmente una clave temporal recibida por SMS para cancelar una supuesta operación. Si llega un código para autorizar algo que el usuario no ha iniciado, facilitarlo al interlocutor puede ser precisamente lo que permita ejecutar el fraude.

También debe levantar sospechas una petición para instalar aplicaciones de control remoto, transferir dinero a una presunta «cuenta segura», entrar en una dirección web dictada durante la conversación o actuar sin colgar el teléfono. El estafador necesita mantener a la víctima dentro de su pequeño escenario. Romper esa continuidad le arruina buena parte del truco.

Qué hacer cuando el teléfono muestra un número que parece legítimo

Ante una llamada inesperada sobre dinero, contraseñas o datos personales, la comprobación más fiable sigue siendo bastante rudimentaria: colgar y establecer una comunicación nueva por un canal conocido. No devolver automáticamente la llamada desde el historial, sino abrir la aplicación oficial de la entidad, utilizar un teléfono obtenido de documentación fiable o marcar el número habitual que ya se conocía.

Ese pequeño gesto cambia por completo la situación. El atacante controlaba la llamada entrante y el identificador que mostraba; no controla una comunicación independiente que el usuario inicia por su cuenta con la entidad verdadera.

Si durante la llamada ya se han facilitado credenciales bancarias, códigos de un solo uso o información sensible, el asunto deja de ser preventivo. Conviene contactar inmediatamente con la entidad afectada, bloquear tarjetas o accesos cuando proceda, cambiar las credenciales comprometidas y revisar las operaciones recientes. Si se ha producido un fraude, conservar mensajes, números, capturas, justificantes y cualquier otra evidencia facilita después la denuncia y la investigación.

Existe otro escenario menos grave pero muy molesto: que sea tu propio número el que estén falsificando. Si empiezan a llamar desconocidos asegurando que han recibido llamadas tuyas que nunca realizaste, puede tratarse de una suplantación del identificador. Conviene documentar los casos y comunicarlo al operador, sobre todo si se repiten. El número visible de una llamada y el origen técnico real no siempre son la misma cosa.

El número en pantalla ya no basta

Durante años nos acostumbramos a interpretar el identificador de llamada como una matrícula: veíamos el número y asumíamos que revelaba el origen. El spoofing ha roto esa equivalencia. Ver el teléfono auténtico de una empresa no significa necesariamente que la empresa esté llamando.

España está cerrando varias de las grietas que hacían especialmente sencillo introducir llamadas y mensajes fraudulentos en la red, y cientos de millones de comunicaciones ya han quedado bloqueadas. Pero la última comprobación sigue estando fuera de la pantalla. Cuando una llamada exige dinero, códigos, contraseñas o decisiones precipitadas, la identidad debe confirmarse por otra vía.

El número puede vestir el uniforme correcto. Eso, por desgracia, no demuestra quién está detrás de la llamada.