El teléfono suena y en pantalla aparece un número que parece del banco. La persona que llama conoce tu nombre, menciona un cargo que no reconoces y asegura que debes actuar de inmediato para evitar perder dinero.

Ese escenario puede sentirse convincente, pero también es una de las formas más comunes en las que funciona el vishing: un fraude que utiliza llamadas telefónicas para hacerse pasar por un banco, una empresa o una autoridad y conseguir información, credenciales o incluso convencerte de autorizar una operación.

La mejor defensa no consiste en memorizar todos los posibles engaños, sino en reconocer cuándo una llamada intenta impedirte verificar lo que está ocurriendo.

Una llamada puede parecer legítima y seguir siendo falsa

Que la pantalla muestre el nombre de tu banco o un número conocido no demuestra quién está realmente llamando. El identificador de llamada puede ser falsificado mediante técnicas de spoofing, por lo que no debe utilizarse como prueba de identidad.

También conviene aclarar algo importante: un banco sí puede pedir algunos datos personales para comprobar tu identidad. Dependiendo de la institución y del trámite, puede solicitar información como tu nombre, fecha de nacimiento, RFC, correo electrónico, teléfono u otros datos que formen parte de su proceso de autenticación, especialmente cuando tú mismo iniciaste el contacto.

Lo que cambia por completo el nivel de riesgo son los datos que permiten entrar a tu cuenta o autorizar operaciones.

Durante una llamada inesperada no debes proporcionar:

  • contraseña de banca digital;

  • NIP de la tarjeta;

  • token bancario;

  • códigos de verificación recibidos por SMS o en la aplicación;

  • CVV o código de seguridad de la tarjeta;

  • claves utilizadas para autorizar transferencias.

Tampoco deberías transferir dinero siguiendo instrucciones de alguien que te llamó inesperadamente, incluso si asegura que debes moverlo a una supuesta “cuenta segura”.

El contexto importa. Si tú llamaste al teléfono oficial del banco, es normal que exista un proceso para verificar tu identidad. Si fue el supuesto banco quien te llamó y después comenzó a pedir secretos bancarios o a presionarte para mover dinero, la situación es muy diferente.

La urgencia es una de las señales más útiles

Los ejemplos de vishing cambian constantemente, pero muchos comparten el mismo patrón.

La persona puede decir que detectó una compra sospechosa, que alguien está intentando entrar a tu cuenta o que una transferencia debe cancelarse inmediatamente. Después intentará mantenerte en la llamada mientras te guía paso a paso.

Desconfía especialmente cuando:

  • te dicen que perderás dinero si cuelgas;

  • solicitan un código que acaba de llegar a tu celular;

  • quieren que abras un enlace mientras continúan hablando contigo;

  • te piden instalar una aplicación o compartir la pantalla;

  • solicitan transferir dinero para “protegerlo”;

  • intentan evitar que contactes directamente al banco.

La presión tiene una función: lograr que actúes antes de comprobar quién está del otro lado.

Si sospechas de la llamada, corta la conversación y verifica tú

Si sospechas de la llamada, corta la conversación y verifica tú

No necesitas discutir con la persona ni demostrar que descubriste el fraude.

Cuelga.

Después abre la aplicación oficial de tu banco, entra manualmente a su sitio web o utiliza el número de atención que aparece en tu tarjeta.

No regreses la llamada al mismo número ni utilices teléfonos, enlaces o contactos que la persona te haya proporcionado durante la conversación.

Si realmente existe un cargo, bloqueo o problema con tu cuenta, el banco podrá confirmarlo cuando tú establezcas una nueva comunicación mediante un canal oficial.

Esta regla resulta más útil que pensar simplemente que “si un banco pide datos es fraude”:

si recibiste tú la llamada, no entregues secretos bancarios ni autorices movimientos y verifica la situación iniciando tú mismo el contacto con el banco.

Phishing, smishing y vishing pueden formar parte del mismo fraude

El phishing y vishing persiguen objetivos parecidos, pero utilizan canales diferentes.

En el phishing suele aparecer un correo electrónico o una página falsa. El smishing utiliza mensajes SMS y el vishing se apoya principalmente en la voz.

En la práctica pueden combinarse.

Por ejemplo, primero puedes recibir un SMS sobre un supuesto cargo y minutos después una llamada de alguien que afirma ser ejecutivo del banco y ofrece “resolver” el problema.

Si el contacto comenzó mediante un mensaje de texto, puedes consultar nuestra guía sobre smishing y cómo detectar un SMS fraudulento.

Si ya diste información, actúa según lo que compartiste

Haber contestado una llamada no significa automáticamente que tu cuenta esté comprometida. El riesgo depende de lo que revelaste y de las acciones que realizaste.

Si compartiste… Qué hacer
Nombre, teléfono o correo Mantente atento a nuevos intentos de fraude que utilicen esos datos para parecer más convincentes.
Número de tarjeta, CVV o NIP Contacta inmediatamente a tu banco por un canal oficial y solicita el bloqueo o sustitución que corresponda. Revisa tus movimientos.
Contraseña, token o código de verificación Contacta al banco cuanto antes, bloquea accesos si la aplicación lo permite y cambia tus credenciales desde un dispositivo confiable.
Autorizaste una transferencia Comunícate inmediatamente con el banco y conserva comprobantes, números telefónicos, mensajes y folios relacionados con el incidente.

 

Si realizaste una transferencia siguiendo las instrucciones del estafador, nuestra guía sobre qué hacer si fuiste víctima de fraude por transferencia bancaria explica qué información conviene reunir y qué pasos seguir.

También puedes consultar si el número ya fue reportado

Vishing: cómo detectar una llamada bancaria falsa

Desde junio de 2026, la CONDUSEF cuenta con la herramienta Consulta y Reporta, que permite revisar números telefónicos relacionados con posibles intentos de fraude y registrar nuevos reportes.

Puede ser una señal adicional antes de decidir qué hacer, pero no debe convertirse en la única prueba.

Que un número todavía no tenga reportes no significa necesariamente que sea legítimo, y el identificador que aparece en tu pantalla puede haber sido suplantado.

Por eso, la comprobación más segura sigue siendo la misma: termina la llamada y establece tú mismo una nueva comunicación con el banco utilizando un canal oficial.

El vishing funciona porque intenta convertir una situación urgente en una decisión apresurada. Frente a una llamada inesperada sobre tu dinero, unos minutos para verificar pueden ser mucho más útiles que intentar resolverlo todo sin colgar.

Preguntas frecuentes sobre vishing

¿Mi banco puede llamarme para confirmar una compra o movimiento?

Sí, una institución financiera puede comunicarse contigo por distintos motivos. El problema no es recibir la llamada, sino confiar automáticamente en quien aparece del otro lado. Si te piden contraseñas, NIP, token, códigos de verificación o realizar una transferencia, termina la llamada y comunícate tú mismo con el banco mediante un canal oficial.

CONDUSEF recomienda no proporcionar información financiera cuando la institución fue quien inició el contacto y verificar cualquier duda llamando directamente al banco.

¿Qué hago si después de una llamada falsa aparece un cargo que no reconozco?

Repórtalo inmediatamente al banco y solicita el bloqueo de la tarjeta o del medio comprometido para evitar nuevas operaciones. También presenta una aclaración y conserva el folio, fecha y hora del reporte.

Si el problema no se resuelve, puedes acudir a la Unidad Especializada de Atención a Usuarios (UNE) de tu institución y posteriormente solicitar apoyo de la CONDUSEF.

¿Debo cambiar mis contraseñas aunque no hayan robado dinero?

Si durante la llamada compartiste una contraseña, token, código de verificación o algún dato que pueda permitir el acceso a tu banca digital, sí. Comunícate primero con tu banco para proteger la cuenta y cambia las credenciales desde la aplicación o sitio oficial.

Si utilizabas la misma contraseña en otros servicios, también conviene cambiarla allí. Nunca hagas estos cambios desde un enlace recibido durante la llamada o en un mensaje relacionado con ella.

¿Bloquear el número evita que vuelvan a intentar el fraude?

Bloquearlo puede evitar nuevas llamadas desde ese número concreto, pero no garantiza que el atacante no utilice otro. Además, el número mostrado en el identificador de llamadas puede haber sido suplantado.

Por eso, además de bloquearlo, conviene reportarlo y mantenerse atento a mensajes o llamadas posteriores que utilicen información obtenida durante el primer contacto.

¿Dónde puedo pedir ayuda en México si mi banco no resuelve el problema?

Primero reporta el incidente directamente con la institución financiera y conserva el folio de aclaración. Si no recibes una solución satisfactoria, puedes acudir a la CONDUSEF, que ofrece orientación y mecanismos para presentar reclamaciones contra instituciones financieras.

La CONDUSEF recomienda haber realizado previamente el reporte ante el banco antes de escalar la reclamación.

Fuentes y recursos consultados

Lecturas recomendadas