L'équipe Texto SMS Gratuit
12 de agosto de 2026 · 7 min de lectura
Introducción: El espejismo de la identidad digital
Imagine recibir una llamada de su banco, de su asesor de seguros o incluso de un familiar, con el número exacto apareciendo en su pantalla. Usted responde, confiado, para darse cuenta finalmente de que está hablando con un estafador ubicado al otro lado del mundo. Este escenario, antes reservado a las películas de espionaje, se ha convertido en una realidad cotidiana para millones de personas. Esto es lo que se conoce como suplantación de número, o spoofing en inglés.
La identidad telefónica, que consideramos como un identificador único y fiable, es en realidad frágil. El protocolo utilizado para encaminar las llamadas y los SMS no fue diseñado con la seguridad como prioridad, dejando la puerta abierta a manipulaciones técnicas sencillas para ocultar la identidad real del emisor. Ante la explosión de estos fraudes, la Arcep (Autoridad de Regulación de las Comunicaciones Electrónicas, los Correos y la Distribución de la Prensa) ha decidido pasar a la ofensiva abriendo una investigación dirigida a todos los operadores de telecomunicaciones.
¿Por qué persiste este fallo en 2026? ¿Cómo logran los defraudadores eludir los sistemas de seguridad? Y sobre todo, ¿qué puede hacer el regulador para obligar a los operadores a asegurar nuestras comunicaciones?
El mecanismo técnico: ¿Cómo funciona el spoofing?
Para comprender la suplantación, hay que entender que el número que aparece en su teléfono no es una prueba de identidad, sino una simple «etiqueta» transmitida en los datos de señalización de la llamada.
El fallo del protocolo SIP
La mayoría de las llamadas modernas transitan por el protocolo SIP (Session Initiation Protocol), utilizado para la voz sobre IP (VoIP). El problema principal del SIP es que permite al remitente definir él mismo el campo «From» (De) en el encabezado del mensaje.
Cuando un defraudador utiliza una pasarela VoIP mal asegurada o un software especializado, puede inyectar cualquier número en este campo. La red del operador recibe la llamada y, sin una verificación profunda de la procedencia real de la señal, transmite simplemente la etiqueta solicitada al teléfono del destinatario.
Las diferentes formas de suplantación
El spoofing no se limita a las llamadas de voz. Se distinguen principalmente tres tipos de ataques:
- Spoofing corporativo: El defraudador imita el número de una institución (Banco, Hacienda, Seguridad Social) para generar un clima de confianza inmediato.
- Spoofing de proximidad: El atacante utiliza un número con el mismo prefijo regional que la víctima para aumentar las posibilidades de que la llamada sea atendida.
- Spoofing de contacto: Más raro y más dirigido; el defraudador suplanta el número de un familiar para solicitar una transferencia urgente (estafa del «falso hijo» o «falso jefe»).
La investigación de la Arcep: Los operadores frente a sus responsabilidades
Desde principios de 2026, la Arcep ha intensificado su vigilancia. La investigación abierta no se dirige a los defraudadores —quienes a menudo están fuera del alcance legal— sino a los operadores. El regulador plantea una pregunta fundamental: ¿Por qué las redes móviles permiten el paso de llamadas cuya identidad es manifiestamente falsa?
La falta de filtrado en la entrada
La Arcep señala la porosidad de las interconexiones. Cuando una llamada llega desde un operador extranjero o un pequeño proveedor de VoIP hacia una gran red francesa (Orange, SFR, Bouygues, Free), el filtrado suele ser insuficiente. Los operadores aceptan las llamadas confiando en la información transmitida por la red de origen, sin un mecanismo de validación cruzada.
Los desafíos financieros y técnicos
Para los operadores, implementar un filtrado estricto representa un desafío técnico. Verificar la autenticidad de cada llamada entrante en tiempo real podría provocar retrasos en la conexión o, peor aún, bloquear llamadas legítimas (falsos positivos). Además, la ausencia de un estándar mundial armonizado complica la lucha: un operador francés no puede exigir fácilmente garantías de identidad a un operador basado en una jurisdicción laxa.
¿Qué soluciones existen para asegurar nuestras comunicaciones?
La Arcep está impulsando a los operadores hacia la adopción de protocolos de certificación. El objetivo es pasar de un sistema de «confianza ciega» a un sistema de «confianza verificada».
El estándar STIR/SHAKEN
Ya desplegado con éxito en América del Norte, el marco STIR/SHAKEN es la solución técnica preferida. Así es como funciona:
- STIR (Secure Telephone Identity Revisited): Permite añadir un certificado digital cifrado a la llamada.
- SHAKEN (Signature-based Handling of Assertions provided by Tokens): Define cómo deben gestionar los operadores estos certificados.
En resumen, el operador del emisor «firma» la llamada. El operador del destinatario verifica la firma. Si la firma está ausente o es inválida, el teléfono puede mostrar la mención «Llamada potencialmente fraudulenta» o bloquear la llamada.
El papel de los filtros inteligentes y la IA
En paralelo, los operadores y los fabricantes (Apple, Google) integran bases de datos de números reportados. La IA analiza ahora los comportamientos: un número que realiza 10.000 llamadas de 10 segundos en una hora es identificado casi sistemáticamente como un robot de spoofing y entra en la lista negra.
Guía práctica: ¿Cómo protegerse del spoofing?
Mientras las medidas de la Arcep y los operadores sean plenamente efectivas, la vigilancia sigue siendo su mejor defensa. El spoofing juega con la emoción y la urgencia.
Reflejos de seguridad a adoptar
| Situación | Reflejo recomendado |
|---|---|
| Llamada de un banco solicitando un código | Cuelgue inmediatamente. Llame usted mismo a su asesor a través del número oficial. |
| SMS urgente de un familiar pidiendo dinero | Llame a la persona a su número habitual para verificar. |
| Llamada de una administración pública | Nunca proporcione información bancaria por teléfono. La administración se comunica prioritariamente a través de sus espacios seguros. |
| Duda sobre la identidad del interlocutor | Haga una pregunta personal que solo el interlocutor real podría conocer. |
Herramientas para limitar los riesgos
- Aplicaciones de filtrado: Herramientas como Hiya o Truecaller pueden ayudar, pero tenga cuidado con la confidencialidad de sus propios datos de contactos.
- Bloqueo de números desconocidos: En Android e iOS, puede configurar su teléfono para enviar directamente al buzón de voz todas las llamadas que no figuren en sus contactos.
- Reporte: Utilice la plataforma 33700 para reportar SMS fraudulentos. Esto ayuda a los operadores a identificar las oleadas de ataques en tiempo real.
Conclusión: Hacia una identidad telefónica certificada
La suplantación de número es el síntoma de una red diseñada para la conectividad, pero no para la seguridad. En 2026, hemos llegado a un punto de ruptura donde la confianza en el número mostrado se ha convertido en un riesgo de seguridad. La investigación de la Arcep es una señal fuerte: la responsabilidad de la protección ya no puede recaer únicamente sobre los hombros del usuario final.
La transición hacia estándares como STIR/SHAKEN y un filtrado más riguroso en las fronteras de las redes es indispensable. El número de teléfono debe volver a ser lo que siempre debió ser: una prueba de identidad fiable y no una simple máscara utilizada por cibercriminales. Mientras tanto, recuerde que en el mundo digital actual, el número que aparece no es necesariamente quien le está hablando.
