Spoofing: qué es y cómo protegerse

La digitalización de los servicios bancarios ha facilitado muchas gestiones cotidianas, pero también ha dado lugar a nuevas formas de fraude basadas en la suplantación de identidad. Una de ellas es el spoofing, una técnica mediante la cual los ciberdelincuentes intentan hacerse pasar por una entidad, una empresa o una persona de confianza para generar credibilidad.

En el ámbito bancario, el spoofing puede aparecer en llamadas, SMS, correos electrónicos o páginas web que simulan ser legítimos. El Banco de España ha advertido de casos en los que se suplanta tanto el remitente de SMS como el identificador de llamadas. Por ello, entender cómo funciona esta técnica ayuda a actuar con más prudencia ante comunicaciones inesperadas.

El término spoofing hace referencia a distintas técnicas de suplantación utilizadas para aparentar que una comunicación procede de una fuente fiable.

Su objetivo suele ser generar confianza para que el usuario facilite información, acceda a un enlace, descargue un archivo o confirme una operación.

El spoofing se apoya en la apariencia de confianza: un nombre conocido, un número familiar, un logotipo reconocible o un mensaje que parece encajar con una comunicación real.

En el uso cotidiano de servicios bancarios, el spoofing puede adoptar distintas formas. Una de las más habituales es el SMS spoofing, en el que un mensaje puede aparecer dentro del mismo hilo donde el usuario ha recibido comunicaciones reales de su entidad.

También puede producirse mediante caller ID spoofing, una técnica que permite que en la pantalla del teléfono aparezca un número distinto al número real desde el que se realiza la llamada.

Estas técnicas pueden combinarse con otros fraudes, como el phishing, el smishing o el vishing. INCIBE señala que los ciberdelincuentes pueden utilizar correos, SMS o llamadas que parecen proceder de fuentes legítimas, como bancos o empresas reconocidas, para obtener información confidencial o datos de acceso.

El spoofing puede resultar especialmente convincente porque aprovecha elementos que el usuario asocia con confianza. Si un SMS aparece en una conversación previa con la entidad, o si una llamada muestra un número aparentemente conocido, la persona puede interpretar que se trata de una comunicación real.

Además, estos mensajes suelen incorporar situaciones que generan urgencia: una supuesta operación sospechosa, un acceso no reconocido, un bloqueo de cuenta o una verificación inmediata. El objetivo es reducir el tiempo de reflexión y llevar al usuario a actuar de forma rápida.

La urgencia, la apariencia de legitimidad y la solicitud de información sensible son una combinación habitual en los intentos de spoofing.

Aunque no siempre es sencillo detectar una suplantación, existen algunas señales que pueden invitar a extremar la cautela:

• Solicitud de claves o códigos: se piden contraseñas, códigos de un solo uso o datos completos de acceso.
• Urgencia excesiva: el mensaje exige actuar de inmediato para evitar una consecuencia negativa.
• Enlaces inesperados: se invita a acceder a una web desde un SMS o correo no solicitado.
• Tono alarmista: se usa el miedo para acelerar la respuesta.
• Dificultad para verificar: la persona que contacta evita que se contraste la información por otro canal.

Estas señales no prueban por sí solas que exista fraude, pero sí indican que conviene detenerse y comprobar la información antes de continuar.

El spoofing es una técnica de suplantación que busca hacer pasar una comunicación fraudulenta por legítima. En el ámbito bancario puede aparecer en SMS, llamadas, correos electrónicos o páginas web que simulan pertenecer a una entidad o persona de confianza.

La mejor protección es combinar prudencia, verificación y uso de canales oficiales. Desconfiar de la urgencia, no compartir claves ni códigos, evitar enlaces inesperados y confirmar cualquier solicitud por una vía independiente son hábitos esenciales para reducir el riesgo ante este tipo de fraude.

Fuentes consultadas

•  Banco de España / Cliente Bancario: Suplantación de SMS y del identificador de llamadas.
• INCIBE: ¿Qué es y cómo funciona el spoofing?
• INCIBE: Suplantación de identidad.
• Banco de España / Finanzas para Todos: Consejos para prevenir el fraude en operaciones bancarias.