Ejemplos de vishing y smishing: 12 llamadas y mensajes de texto que reciben realmente los empleados

En resumen: el «vishing» es el phishing mediante llamada telefónica o mensaje de voz. El «smishing» es el phishing mediante SMS o aplicaciones de chat. Ambos funcionan porque el teléfono se percibe como algo personal: no hay que pasar el cursor por ningún enlace, no hay filtro de spam y hay poco tiempo para pensar. A continuación se presentan seis llamadas y seis mensajes de texto, cada uno con un ejemplo de texto, el método utilizado y las señales de alerta. El patrón nunca cambia: alguien a quien no has contactado quiere un código, un nombre de usuario o un pago, ya mismo.

¿No conoces estos términos? Empieza por averiguar qué es el «vishing» y qué es el «smishing». Cada guion que aparece a continuación es un ejemplo que hemos redactado nosotros, con nombres inventados y marcadores de posición como [tu banco].

Por qué sigue aumentando el phishing por teléfono

El APWG registró un aumento del 20 % en los casos de vishing y del 40 % en los de smishing durante el segundo trimestre de 2026. CrowdStrike registró un incremento del 442 % en los casos de vishing entre el primer y el segundo semestre de 2024. En el Informe sobre investigaciones de fugas de datos de 2026 de Verizon, la tasa media de clics fue del 2 % en las simulaciones realizadas por teléfono, frente al 1,4 % en las realizadas por correo electrónico.

Los 12 ejemplos de un vistazo

6 ejemplos de vishing

1. El servicio de asistencia informática que necesita tu código de autenticación multifactorial (MFA)

Lo que oyes: «Soy Daniel, del servicio de asistencia informática. Hemos detectado intentos fallidos de inicio de sesión en tu cuenta. Te voy a enviar un código. ¿Me lo puedes repetir?»

Cómo funciona: la persona que llama conoce tu contraseña y necesita el segundo factor de autenticación. Retool sufrió un ataque de este tipo el 27 de agosto de 2023: un código, leído por una voz de «soporte técnico» generada mediante deepfake, permitió acceder a 27 cuentas de clientes. En 2025, Google describió a un grupo que llamaba a los empleados haciéndose pasar por el servicio de soporte técnico para acceder a los datos de Salesforce, y la propia empresa también fue víctima de este ataque.

Deténgase y pare: un código que no ha solicitado. Cuelgue y llame al servicio de asistencia al número interno.

2. El departamento de fraude del banco

Lo que oyes: «Le atiende el departamento de fraude de [tu banco]. Hemos bloqueado un pago de 1.950 €. Te ayudaré a transferir el importe a una cuenta segura».

Cómo funciona: el número que aparece en la pantalla es falso. Los servicios de asistencia falsos fueron el tipo de fraude más denunciado por los consumidores ante el Fraudehelpdesk neerlandés en 2025: 17 264 denuncias, frente a las 9 492 de 2024.

Identifícalo y deténlo: una «cuenta segura» o un programa de acceso remoto. Cuelga y llama al número que figura en tu tarjeta.

3. El mensaje de voz del «director general»

Lo que oyes: «Soy Mark. Estoy a punto de subir al avión. Hoy cerramos una adquisición y necesito que te encargues de un pago confidencial. Que esto quede entre nosotros».

Cómo funciona: la IA clona una voz a partir de un seminario web o un podcast. En julio de 2024, un directivo de Ferrari recibió una llamada con la voz del consejero delegado Benedetto Vigna en la que se le hablaba de un acuerdo secreto, según informó Bloomberg. Le preguntó qué libro acababa de recomendar Vigna. La persona que llamaba colgó. Consulta nuestros ejemplos de fraude del consejero delegado y nuestra formación sobre concienciación en materia de deepfakes.

Detecta y detén: un número desconocido y el secreto. Haz una pregunta que solo la persona real pueda responder.

4. El proveedor con una nueva cuenta bancaria

Lo que oyes: «Soy Sophie, de [proveedor]. Hemos cambiado de banco. Te enviaré por correo electrónico el nuevo número de cuenta. ¿Podrías actualizarlo antes de que se realice el pago de este mes?»

Cómo funciona: la llamada hace que el correo electrónico de seguimiento parezca algo esperado. Tu próxima factura se abona al atacante y nadie se da cuenta hasta que llega el recordatorio del proveedor.

Detecta y detén: datos bancarios modificados por teléfono. Llama a la persona de contacto que figura en tus propios registros y pide que una segunda persona lo apruebe.

5. La llamada al servicio técnico

Lo que oyes: «Te llamo desde el equipo de seguridad de [proveedor de software]. Tu ordenador se ha infectado. Por favor, siéntate delante del teclado».

Cómo funciona: abres un archivo de registro del sistema inofensivo como «prueba» y, a continuación, instalas un programa de acceso remoto. A partir de ahí, la persona que llama puede ver tus contraseñas y la red de la empresa.

Detéctalo y deténlo: los estafadores no llaman por teléfono a los usuarios para informarles de infecciones. Cuelga y avisa al departamento de informática.

6. El número de contacto que figura en el correo electrónico de la factura

Lo que lees y oyes: «Tu suscripción se ha renovado por 389,99 €. ¿No has sido tú? Llama al [número]». Por teléfono: «Solo necesito conectarme a tu pantalla para hacerte el reembolso».

Cómo funciona: no hay enlace ni archivo adjunto, por lo que los filtros dejan pasar el correo electrónico. Eres tú mismo quien toma la decisión, lo que te hace bajar la guardia. La parte relativa al correo electrónico se incluye en nuestro resumen de tipos de ataques de phishing.

Atención: un número de teléfono es la única opción. No llames. Consulta la cuenta en la propia página web del proveedor.

6 ejemplos de smishing

7. El paquete que no se pudo entregar

Lo que has leído: «[Empresa de transporte]: no se ha podido entregar tu paquete porque hay 1,45 € pendientes de pago en concepto de gastos de envío. Abona el importe en un plazo de 24 horas: [enlace]»

Cómo funciona: todo el mundo está esperando un paquete. La pequeña tarifa es el cebo; la página quiere los datos de tu tarjeta.

«Spot and stop»: un recargo tras el envío, un enlace fuera del dominio de la empresa de transporte. Realiza el seguimiento del paquete en la aplicación de la empresa de transporte.

8. El banco o la aplicación de pagos

Lo que has leído: «[Tu banco]: tu registro en la aplicación bancaria caduca hoy. Renuévalo ahora: [enlace]»

Cómo funciona: el enlace abre una copia de la página de inicio de sesión. Con tus datos de acceso y un código, el atacante registra su propio teléfono como tu aplicación bancaria. A menudo viene seguido del ejemplo 2.

Deténgate y no hagas clic: un enlace en un mensaje de un banco. Abre la aplicación tú mismo.

9. La administración tributaria o el portal del Gobierno

Lo que has leído: «[Autoridad fiscal]: tu deuda de 1.277 € no se ha abonado. Para evitar el embargo, paga hoy mismo a través de [enlace]».

Cómo funciona: el miedo a recibir una multa es lo que da resultado. Hay variantes que imitan la página de inicio de sesión del Gobierno o prometen un reembolso.

Detéctalo y deténlo: una amenaza y un enlace de pago en un mismo mensaje. Inicia sesión tú mismo en el portal oficial.

10. «Hola, mamá; hola, papá»

Lo que has leído: «Hola, mamá, se me ha roto el móvil; este es mi nuevo número. Tengo que pagar una factura hoy y mi aplicación bancaria todavía no funciona».

Cómo funciona: se dirige a los empleados en su calidad de padres, normalmente a través de una aplicación de chat. Es el mismo truco que en el ejemplo 12: quien lo conozca de casa lo reconoce en el trabajo.

Identifica y bloquea: un nuevo número y el motivo por el que no es posible llamar. Llama al número anterior.

11. El código MFA o la alerta de la cuenta

Lo que has leído: «[Empresa] TI: tu contraseña caduca hoy. Inicia sesión para mantener tu acceso: [empresa]-sso.example»

Cómo funciona: en 2022, los empleados de Twilio recibieron mensajes de texto como este. Algunos iniciaron sesión y se accedió a los datos de 209 clientes. En Cloudflare, 76 empleados recibieron el mensaje y tres introdujeron su contraseña. El ataque fracasó porque Cloudflare utiliza claves de seguridad de hardware.

Identifica y bloquea: un dominio que contenga el nombre de la empresa más «sso» o «login». Utiliza tus marcadores y denuncia el texto.

12. El jefe al que le hacen regalos en forma de tarjetas regalo

Lo que has leído: «Soy Laura, con el nuevo número. Estoy en una reunión. ¿Puedes comprar cinco tarjetas regalo de 100 € para un cliente y enviarme los códigos?».

Cómo funciona: los códigos de las tarjetas regalo tienen el mismo valor que el dinero en efectivo y no se pueden anular.

Identifica y detén: un número nuevo, confidencialidad, tarjetas regalo. Llama a tu responsable o acércate.

Smishing, vishing y phishing

La variante del código QR se denomina «quishing».

Cómo verificar la identidad de quien llama

1. No te agobies. Dile que le volverás a llamar.
2. Vuelve a llamar a un número que ya tengas. El identificador de llamadas no prueba nada: los números se pueden falsificar.
3. Nunca facilites un código, una contraseña ni acceso remoto a nadie que se haya puesto en contacto contigo.
4. Asigna a otra persona la gestión del dinero. Cualquier cambio en una cuenta bancaria debe contar con la aprobación de un compañero.

Tu propio servicio de asistencia técnica necesita las mismas normas, porque los atacantes también llaman. Los atacantes de MGM Resorts afirmaron en 2023 que llamaron al servicio de asistencia haciéndose pasar por un empleado que habían encontrado en LinkedIn; MGM cifró los daños en unos 100 millones de dólares. En abril de 2025 se produjo una intrusión en Marks & Spencer mediante una «sofisticada suplantación de identidad» de un usuario externo, según explicó el presidente Archie Norman a los diputados, con un coste estimado de unos 300 millones de libras esterlinas. En febrero de 2026, el regulador financiero de Nueva York advirtió sobre personas que llamaban haciéndose pasar por personal del servicio de asistencia informática, y en abril de 2026, ADT confirmó una brecha de seguridad que, según los atacantes, comenzó con una llamada de vishing. Una norma que nadie ha puesto en práctica no resiste ante una persona que llama con seguridad. Para eso sirve la formación.

Cómo simulan las empresas el vishing y el smishing

La mayoría de las organizaciones realizan pruebas de correo electrónico y nada más. Las que van más allá envían mensajes de texto de prueba a los teléfonos del trabajo y realizan llamadas con guiones preestablecidos al servicio de asistencia, al departamento financiero y a Recursos Humanos. Hay tres reglas para garantizar la imparcialidad: anunciar el programa, no castigar nunca a nadie y tener en cuenta tanto los informes como los fallos. Guardey incluye simulaciones de phishing y un reto semanal con competición por equipos, para que los empleados sigan practicando entre una prueba y otra.

Preguntas más frecuentes

¿Cuál es la diferencia entre el «smishing» y el «vishing»?

El canal. El «smishing» es un mensaje de texto o de chat. El «vishing» es una llamada telefónica o un mensaje de voz. El objetivo es el mismo: tu código, tus datos de acceso o tu dinero.

¿Cuál es un ejemplo de «vishing»?

Una persona que llama desde «TI» y te pide que le leas en voz alta el código que acabas de recibir en tu móvil. Los ejemplos del 1 al 6 son casos de «vishing», y del 7 al 12, de «smishing».

¿Puedo fiarme del identificador de llamadas o del nombre del remitente de un mensaje de texto?

No. Ambos se pueden falsificar. Verifícalo a través de un canal que elijas tú mismo.

¿Qué debo hacer si he facilitado un código o he pagado?

Avisa inmediatamente al departamento de TI y cambia tu contraseña. Si has realizado algún pago, llama a tu banco al número oficial. Denuncia también los mensajes que solo hayas recibido.