Estafas de un solo timbre y wangiri
La forma más simple: tu teléfono suena una vez y se detiene. La llamada perdida muestra un número desconocido, a veces local, a veces internacional. La curiosidad o la preocupación te lleva a devolver la llamada. Si es un número de tarifa premium, la llamada de vuelta genera ingresos para el atacante por cada segundo que permanezcas en línea. Si es una operación más sofisticada, llegas a un estafador en vivo que escala el engaño a partir de ahí.
El nombre "wangiri" viene del japonés para "un corte": un solo timbre y luego nada.
Estafas de soporte técnico y reembolsos
Recibes una ventana emergente, un mensaje de voz o un correo que advierte sobre un virus, un cargo sospechoso o una suscripción por vencer. El mensaje parece venir de Microsoft, Norton, Amazon, PayPal o alguna marca conocida. Se incluye un número de teléfono.
Cuando llamas, un "agente de soporte" te guía para que otorgues acceso remoto a tu dispositivo, normalmente mediante herramientas legítimas de monitoreo remoto. Luego simulan un reembolso falso, "pagándote de más por accidente" de una forma que solo ellos pueden ver. Te presionan para que devuelvas la diferencia con tarjetas de regalo. Nunca hubo un reembolso real. La herramienta de acceso remoto se queda instalada mucho después de terminada la llamada.
Los analistas del SOC de Huntress han investigado incidentes reales en los que los atacantes obtuvieron acceso inicial a entornos empresariales exactamente con esta técnica, usando herramientas legítimas de administración remota como punto de apoyo.
Phishing de devolución de llamada: la amenaza empresarial
Esta es la variante que mantiene en vela a los equipos de seguridad, y está creciendo rápido.
El ataque empieza con un correo que no contiene enlaces ni archivos adjuntos, solo un PDF o un mensaje de texto plano que afirma que se te cobró por un servicio. No hay nada que un filtro de correo pueda detectar. El único "payload" es un número de teléfono.
Cuando llamas, el estafador te guía por pasos que terminan con malware instalado, credenciales robadas o un despliegue de ransomware en curso. Los investigadores de seguridad llaman a esta técnica TOAD: Telephone Oriented Attack Delivery. La campaña BazaCall, vinculada al grupo de ransomware Conti, usó este método para distribuir BazaLoader y preparar el terreno para ransomware en cientos de organizaciones.
La razón por la que funciona: no hay un enlace sospechoso sobre el cual pasar el cursor, ni un archivo malicioso que tu endpoint pueda marcar. Todo el ataque ocurre a través de una llamada telefónica y la confianza que esta conlleva.
