Suena el teléfono. En la pantalla aparece el número real de tu banco. Al otro lado, una voz tranquila y profesional te explica que ha detectado un movimiento sospechoso en tu cuenta y necesita verificar tu identidad. Todo parece legítimo… hasta que, minutos después, descubres que tu cuenta se ha vaciado. Esto es el vishing, y en 2026 se ha convertido en una de las estafas telefónicas más sofisticadas y peligrosas del panorama bancario español.
Qué es el vishing
El vishing (contracción de «voice» y «phishing») es una técnica de estafa en la que los delincuentes contactan por teléfono suplantando la identidad de tu banco, la policía, Hacienda o cualquier entidad de confianza, con el objetivo de conseguir tus datos bancarios, códigos de verificación o, directamente, que tú mismo autorices una transferencia sin ser plenamente consciente de lo que estás haciendo. Se diferencia del phishing (por correo electrónico) y del smishing (por SMS) en que aquí hay una persona real —o, cada vez más, una voz generada por inteligencia artificial— capaz de responder a tus preguntas y adaptarse a tus dudas en tiempo real, lo que lo hace especialmente difícil de detectar.
Cómo actúan los estafadores: el patrón habitual
Aunque cada caso tiene sus particularidades, la mayoría de los ataques de vishing siguen una estructura parecida:
- Recopilación previa de información. Antes de llamar, el estafador suele disponer ya de algunos de tus datos: nombre completo, entidad bancaria, número de teléfono e incluso importes de facturas recientes. Esta información procede a menudo de filtraciones de datos previas, redes sociales o campañas de smishing anteriores.
- Suplantación del número de teléfono (spoofing). Mediante esta técnica, el número que aparece en tu pantalla puede coincidir exactamente con el de tu banco real, lo que genera una falsa sensación de seguridad. Que el número parezca legítimo no garantiza nada.
- Generación de urgencia. El discurso suele girar en torno a un problema grave e inmediato: un cargo sospechoso, un intento de acceso no autorizado o el bloqueo inminente de tu cuenta. La presión temporal («tiene que resolverlo ahora mismo o perderá su dinero») busca que actúes sin pensar.
- Petición de datos, códigos o acciones concretas. Aquí está la clave del fraude: te piden que confirmes un código recibido por SMS (que en realidad autoriza una operación real a tu nombre), que instales una aplicación de acceso remoto para «solucionar el problema», o que realices tú mismo una transferencia a una supuesta «cuenta segura».
La nueva amenaza: vishing con inteligencia artificial
En 2026, la variante más preocupante de esta estafa combina la ingeniería social tradicional con tecnología de clonación de voz mediante inteligencia artificial, capaz de imitar la voz de un familiar, un jefe o incluso un representante bancario a partir de apenas unos segundos de audio real. Según datos policiales recientes, las denuncias por suplantación biométrica se han incrementado notablemente durante el primer trimestre de 2026 en España, un reflejo de lo rápido que están evolucionando estas técnicas.
Un patrón cada vez más habitual es el llamado fraude híbrido: primero recibes un SMS de smishing alertándote de un cargo sospechoso, y segundos después te llama alguien haciéndose pasar por el departamento de seguridad del banco, aprovechando que el mensaje previo ya te ha puesto en alerta y te ha preparado psicológicamente para confiar en la llamada.
Casos reales
La Guardia Civil ha investigado recientemente un caso en Toledo en el que un estafador, haciéndose pasar por una operadora de telefonía, utilizó datos reales de facturación de la víctima (nombre e importes exactos de sus recibos) para ganarse su confianza y conseguir que realizara varias transferencias bancarias, alegando primero una supuesta bonificación y después problemas técnicos que exigían nuevos envíos de dinero. La víctima solo logró detener el fraude al detectar contradicciones en el discurso del estafador.
Este tipo de casos ilustra un patrón habitual: los estafadores no siempre se limitan a una única llamada, sino que mantienen el contacto durante varias interacciones, escalando las peticiones de dinero con nuevas excusas cada vez.
Señales para detectar una llamada de vishing
- Te piden códigos de verificación (OTP) recibidos por SMS. Ningún banco necesita que le «confirmes» un código que te ha llegado para autorizar una operación tuya; ese código sirve precisamente para que solo tú puedas usarlo.
- Te presionan con urgencia extrema. Frases como «tiene solo unos minutos» o «si cuelga, perderá su dinero» son técnicas de manipulación, no procedimientos bancarios reales.
- Te piden instalar una aplicación de acceso remoto (como TeamViewer o AnyDesk) para «solucionar» el problema desde tu propio dispositivo.
- Te sugieren transferir dinero a una «cuenta segura». Ningún banco te pedirá nunca mover tu dinero a otra cuenta para «protegerlo».
- El número que aparece en pantalla es el de tu banco. Recuerda que esto no es garantía de nada: la suplantación del identificador de llamada es técnicamente sencilla para los estafadores.
Qué hacer si recibes una llamada sospechosa
Cuelga inmediatamente, sin dar ninguna información, y contacta tú directamente con tu banco marcando el número que figura en tu tarjeta, en tu contrato o en la web oficial de la entidad, nunca un número facilitado durante la llamada sospechosa ni en el propio SMS que la precedió.
Qué hacer si ya has sido víctima de vishing
- Bloquea de inmediato tarjetas y accesos a la banca online que puedan haberse visto comprometidos.
- Cambia todas tus contraseñas, especialmente si instalaste alguna aplicación a petición del supuesto operador.
- Presenta una reclamación por escrito a tu banco, explicando que se trata de una operación no autorizada obtenida mediante engaño telefónico. Una simple llamada no es suficiente: necesitas dejar constancia por escrito con acuse de recibo.
- Denuncia ante la Policía Nacional o la Guardia Civil, preferiblemente a través de la sede electrónica, aportando el máximo detalle posible: número desde el que te llamaron, hora, y cualquier dato adicional del destino de las transferencias.
- Informa también a la entidad suplantada (a menudo disponen de un buzón específico para reportar este tipo de fraudes), lo que puede ayudar a alertar a otros clientes.
Qué dice la ley: ¿el banco tiene que devolverte el dinero?
Conforme al Real Decreto-ley 19/2018, de servicios de pago, cuando se ejecuta un pago sin tu consentimiento, el banco debe devolver el importe de forma prácticamente inmediata, salvo que pueda demostrar que actuaste con fraude o negligencia grave. Aquí es donde el vishing plantea un debate interesante: si el engaño fue especialmente sofisticado (por ejemplo, con suplantación del número real del banco o con voces generadas por IA prácticamente indistinguibles de una persona real), resulta mucho más difícil argumentar que el cliente actuó con negligencia grave, ya que ni una persona prudente y informada podría haber detectado el engaño con facilidad.
La sentencia del Tribunal Supremo 571/2025, de 9 de abril de 2025, que condenó a una entidad bancaria a devolver más de 56.000 euros sustraídos mediante un ataque combinado de vishing y duplicación de tarjeta SIM, refuerza esta interpretación: el registro técnico de la operación no basta por sí solo para demostrar negligencia grave del cliente. Aun así, la respuesta de cada banco puede variar, por lo que no des por buena una primera negativa: reclama siempre y, si es necesario, escala tu caso al Banco de España.
Cómo protegerte del vishing
- No facilites nunca códigos de verificación, contraseñas o datos completos de tu tarjeta por teléfono, sea cual sea el motivo que te den.
- Desconfía de cualquier llamada que te genere urgencia extrema para actuar de inmediato.
- Activa la verificación en dos pasos en todas tus cuentas y revisa con frecuencia los movimientos bancarios desde tu app oficial.
- Si recibes una llamada de este tipo, aunque no caigas en la trampa, repórtala a tu banco y, si lo consideras oportuno, a la Oficina de Seguridad del Internauta (OSI), para ayudar a otros usuarios a identificar el mismo patrón de fraude.
Preguntas frecuentes
¿Es seguro que mi banco me llame alguna vez? Sí, pero nunca para pedirte contraseñas, códigos de verificación o que realices una transferencia. Puede llamarte para ofrecerte productos o confirmar si una operación es tuya, pero cualquier verificación real la haces tú mismo desde tu app oficial, nunca facilitando datos por teléfono.
¿Qué pasa si el número que me llamó era realmente el de mi banco? Es una técnica habitual de suplantación (spoofing) y no garantiza que la llamada sea legítima. Ante cualquier duda, cuelga y llama tú directamente a tu banco por el canal oficial.
¿Puedo recuperar el dinero si caí en un vishing muy sofisticado? Es posible, especialmente si el engaño fue lo bastante elaborado como para que ni una persona prudente pudiera haberlo detectado. Reclama siempre por escrito a tu banco y, si te lo deniegan, escala la reclamación al Banco de España.
¿Debo denunciar aunque no haya perdido dinero, solo haya recibido la llamada? Sí, es recomendable reportarlo a tu banco y, si lo deseas, a organismos como el INCIBE, ya que ayuda a identificar y frenar campañas activas de fraude que están afectando a más personas.
Conclusión
El vishing ha evolucionado hasta convertirse en una de las estafas telefónicas más sofisticadas del momento, potenciada por la inteligencia artificial y por técnicas de suplantación cada vez más convincentes. La mejor defensa sigue siendo la misma de siempre: desconfiar de cualquier llamada que pida códigos, presione con urgencia o solicite acciones inmediatas, y verificar siempre por tu cuenta a través de los canales oficiales de tu banco. Si ya has sido víctima, no des por perdido tu dinero: la legislación te protege y, en muchos casos, es posible recuperarlo.
Este artículo tiene un carácter meramente informativo y no sustituye el asesoramiento legal personalizado. Si has sido víctima de vishing, se recomienda actuar con rapidez y, si el importe es elevado o el banco rechaza tu reclamación, consultar con un abogado especializado en derecho bancario.
