Si recibes un email de "renovación automática" con una factura de 400 euros y un teléfono para cancelar, no llames. Ese número es la trampa. El callback phishing —también llamado BazarCall o TOAD (Telephone-Oriented Attack Delivery)— invierte el guion clásico del fraude por correo: no hay enlace malicioso, no hay adjunto infectado, no hay nada que un filtro pueda marcar como sospechoso. Solo un PDF con membrete, un importe que te revuelve el estómago y un número de atención al cliente. La estafa de devolver la llamada funciona precisamente porque eres tú quien inicia el contacto, y eso baja tus defensas mentales de golpe. Al otro lado hay un operador con guion, música de espera y una paciencia infinita para llevarte hasta donde quiere: instalar un programa de acceso remoto en tu ordenador.
Qué es exactamente el callback phishing y por qué funciona tan bien
El esquema tiene tres actos. Primero llega un correo sin enlaces ni ejecutables: una supuesta confirmación de suscripción a Norton, McAfee, Geek Squad, PayPal o algún servicio de streaming, con un cargo que ronda, según la campaña, entre 300 y 500 dólares o euros. Segundo, el mensaje te informa de que si no reconoces el pago, llames al número indicado en un plazo de 24 horas. Tercero, tú llamas.
Ahí empieza el vishing con callback. El operador es amable, competente y habla tu idioma. Te pide un número de pedido que aparece en el PDF —detalle que refuerza la sensación de legitimidad— y te dice que para procesar el reembolso necesita "acceder al portal de devoluciones". Te dirige a una web donde descargas un supuesto formulario, que en realidad es un instalador de AnyDesk, TeamViewer, ScreenConnect o Zoho Assist. Herramientas legítimas, firmadas digitalmente, que ningún antivirus va a bloquear porque no son malware.
La razón de que este vector prospere es simple: elimina todos los indicadores técnicos que los sistemas de filtrado buscan. Sin URL, sin adjunto ejecutable, sin macros, sin dominio recién registrado en el cuerpo del mensaje. El único elemento anómalo es un número de teléfono, y los números de teléfono en un email no son sospechosos por sí mismos. Si quieres refrescar los indicadores que sí puedes detectar a simple vista, la guía definitiva para detectar un email de phishing cubre el resto del catálogo.
BazarCall: del ransomware Ryuk a los grupos de extorsión actuales
La técnica se documentó públicamente en 2021, cuando investigadores de varias firmas de seguridad y de respuesta a incidentes rastrearon campañas que distribuían el malware BazarLoader mediante centros de llamadas montados por los operadores del ransomware Ryuk, vinculados al grupo conocido como Wizard Spider o Conti. De ahí el nombre BazarCall.
El modelo evolucionó. Tras la filtración de los chats internos de Conti en 2022, varios subgrupos heredaron la infraestructura y la profesionalizaron. Colectivos como Silent Ransom Group (también identificado como Luna Moth) y, más tarde, actores asociados a Scattered Spider y Black Basta, han usado variantes del phishing telefónico con callback para conseguir acceso inicial en entornos corporativos. Black Basta llegó a combinarlo con bombardeo de correo —miles de suscripciones legítimas a boletines en pocos minutos— seguido de una llamada del "soporte técnico", a menudo a través de Microsoft Teams, ofreciéndose a arreglar el problema.
El FBI y la agencia estadounidense CISA han emitido avisos conjuntos sobre estas campañas, y el Internet Crime Complaint Center (IC3) lleva años situando el fraude de soporte técnico —del que el callback phishing es la evolución— entre las categorías con mayores pérdidas declaradas, con un impacto especialmente severo en víctimas mayores de 60 años. En España, el INCIBE ha publicado avisos equivalentes bajo la etiqueta de fraude de soporte técnico y suplantación de servicios de suscripción.
Cómo es una llamada real, paso a paso
Conocer el guion te vacuna. Estas son las fases que se repiten en prácticamente todas las campañas documentadas:
- Verificación falsa. Te piden el número de referencia del email. Es teatro: sirve para que sientas que hay un sistema real detrás.
- Confirmación del cargo. El operador "consulta" y te dice que efectivamente hay una renovación activa. Introduce la urgencia sin presionarte todavía.
- Derivación al portal. Te dicta una URL corta o te la envía por email. El dominio suele imitar el de la marca suplantada con un guion o un TLD distinto.
- Instalación del acceso remoto. Aquí está el punto de no retorno. El "formulario de reembolso" es un cliente RMM legítimo.
- La banca online. Te piden abrir tu banco para "verificar el reembolso". Con la pantalla compartida, capturan credenciales o manipulan lo que ves.
- El error provocado. Un clásico: fingen haber transferido de más —"le he devuelto 4.000 en vez de 400"— y te piden que devuelvas la diferencia por transferencia o tarjetas regalo. La cifra que viste era una edición del HTML de tu propia banca en pantalla.
En el escenario corporativo el objetivo cambia: en vez de dinero directo, buscan exfiltrar documentos con herramientas como Rclone o WinSCP y después extorsionar. Ese acceso remoto inicial es el mismo tipo de puerta que abren los loaders de malware, solo que aquí el "descargador" eres tú siguiendo instrucciones por teléfono.
Señales de alerta que puedes verificar en diez segundos
| Señal | Qué significa |
|---|---|
| Email sin enlaces, solo un teléfono | Diseñado para esquivar filtros de URL. Anomalía en sí misma. |
| Factura en PDF adjunto con importe alto | El pánico es el vector. El PDF suele ser texto plano sin metadatos corporativos. |
| Plazo de 24 horas para cancelar | Ninguna empresa real limita así una reclamación de cargo. |
| Dirección remitente en Gmail, Outlook o dominio genérico | Norton no factura desde una cuenta gratuita. |
| No consta el cargo en tu banco ni en tu cuenta del servicio | Prueba definitiva. Si no hay cobro, no hay nada que cancelar. |
| Te piden instalar software para "procesar el reembolso" | Ningún reembolso legítimo requiere instalar nada. Nunca. |
La verificación que resuelve casi todos los casos: abre tu aplicación bancaria y busca el cargo. Si no existe, borra el email. Si existe, entra en la web oficial del servicio escribiendo la dirección a mano y usa su teléfono publicado, jamás el del correo. Puedes comprobar si tu dirección ha aparecido en filtraciones —lo que explica por qué te llegan estas campañas segmentadas— en Have I Been Pwned, y analizar cualquier adjunto o dominio dudoso en VirusTotal o urlscan.io antes de tocarlo.
Qué hacer si ya has picado
La velocidad importa más que la vergüenza. Orden recomendado:
- Desconecta el equipo de la red. Cable fuera o wifi apagado. Corta la sesión remota de raíz.
- Desinstala el cliente de acceso remoto y revisa los servicios y tareas programadas. Los atacantes suelen dejar persistencia además del cliente visible.
- Llama a tu banco por el número del reverso de la tarjeta. Bloquea tarjetas y solicita revisión de movimientos. La normativa europea PSD2 y el Real Decreto-ley 19/2018 de servicios de pago —que la traspuso al derecho español y derogó la antigua Ley 16/2009— regulan la devolución de operaciones no autorizadas, aunque el fraude con autorización del usuario complica la reclamación.
- Cambia contraseñas desde otro dispositivo limpio, empezando por el correo. Activa 2FA en todo, preferiblemente con app TOTP o llave física antes que SMS.
- Denuncia. Policía Nacional o Guardia Civil (Grupo de Delitos Telemáticos) presencialmente para tener atestado. Y reporta el caso al INCIBE a través de su línea gratuita 017.
- Restaura desde copia de seguridad si hubo instalación de software. Formatear es más rápido que auditar. Si no tienes copias al día, revisa cómo montar un backup automático en nube y local.
Si el equipo comprometido es de empresa, avisa a IT antes que a nadie. El tiempo entre acceso inicial y despliegue de ransomware se mide en horas, no en días, y una auditoría de seguridad interna posterior debería incluir la revisión de qué herramientas RMM están permitidas en los endpoints.
Defensas que sí funcionan, en casa y en la empresa
A nivel doméstico, la regla es una sola: nunca uses un número de teléfono que venga dentro de un mensaje no solicitado. Ni email, ni SMS, ni WhatsApp. Búscalo tú en la web oficial.
A nivel corporativo, el callback phishing exige controles que van más allá del filtro de correo:
- Application allowlisting para bloquear la ejecución de clientes RMM no aprobados (AnyDesk, ScreenConnect, Atera, Splashtop). Es la contramedida de mayor impacto.
- Reglas de detección que alerten cuando aparezca un binario de acceso remoto en un endpoint donde no debería estar.
- Formación con simulacros que incluyan el canal telefónico, no solo el email. La mayoría de programas de concienciación siguen ignorando la voz.
- Procedimiento de verificación para el helpdesk: si alguien llama diciendo ser soporte, el empleado cuelga y llama al número interno conocido.
- DMARC en política de rechazo, SPF y DKIM correctamente configurados. No frenan el callback phishing puro, pero eliminan la suplantación directa de tu dominio.
Los informes del sector apuntan a un aumento sostenido de las campañas dirigidas contra empresas españolas; los datos agregados de estadísticas de phishing en España muestran qué sectores concentran el foco. Y si estás montando la infraestructura digital de tu negocio desde cero, conviene que la seguridad entre en el diseño desde el principio: en desarrollo web profesional y proyectos WordPress el endurecimiento de accesos y la política de correo se planifican antes de publicar, no después del incidente.
Preguntas frecuentes
¿Es peligroso simplemente devolver la llamada sin dar datos?
Llamar por sí solo no infecta nada, pero confirma que tu número y tu dirección de correo están activos, lo que te convierte en objetivo prioritario para campañas posteriores. El riesgo real aparece en cuanto sigues instrucciones: instalar software, dictar códigos o abrir tu banca online.
¿Cómo distingo un email de renovación real de uno de callback phishing?
Los correos legítimos de renovación te dirigen a tu cuenta en la web oficial y no incluyen un teléfono como única vía de contacto. La comprobación más fiable es mirar si el cargo aparece en tu banco y en el panel de la cuenta del servicio; si no está, el email es falso.
¿Por qué mi filtro antispam no bloquea estos mensajes?
Porque no contienen ninguno de los elementos que los filtros tradicionales puntúan: ni enlaces, ni adjuntos ejecutables, ni macros. Detectarlos requiere análisis semántico del contenido y reputación del remitente, no solo firmas técnicas.
¿Qué pasa si instalé AnyDesk pero cerré antes de dar datos bancarios?
Asume que hubo acceso al equipo durante esos minutos y actúa en consecuencia: desconecta de la red, desinstala, cambia contraseñas desde otro dispositivo y revisa cuentas de correo por si se crearon reglas de reenvío. La ausencia de daño visible no descarta la persistencia.
¿Dónde denuncio un intento de callback phishing en España?
Puedes reportarlo al INCIBE llamando gratuitamente al 017 o mediante su formulario de incidentes, y presentar denuncia ante la Policía Nacional o el Grupo de Delitos Telemáticos de la Guardia Civil. Guarda el email original con sus cabeceras completas, son la prueba técnica más útil.
El siguiente paso
Abre ahora mismo tu aplicación bancaria y activa las notificaciones instantáneas para cualquier cargo, sin importe mínimo. Es la configuración que convierte una factura falsa de 400 euros en algo que puedes desmentir en cinco segundos, sin llamar a nadie.
