La ingeniería social está evolucionando, y con ella, la forma en la que los ciberdelincuentes atacan nuestras emociones, vulnerabilidades y dispositivos. En respuesta a esta amenaza creciente, el Gobierno de España ha activado uno de los planes más ambiciosos de Europa contra las estafas de suplantación de identidad y los fraudes por llamadas y SMS fraudulentos que ya han bloqueado miles de estas.
Presentado por el ministro para la Transformación Digital y de la Función Pública, Óscar López, el Plan Antiestafas, en vigor desde el 7 de marzo de 2025, ya empieza a mostrar resultados contundentes: 14 millones de llamadas fraudulentas bloqueadas en apenas dos meses. El anuncio se ha hecho público durante la jornada “Siete retos contra la ciberestafa emocional”, celebrada en el Congreso de los Diputados.
Una amenaza que crece al ritmo de la tecnología
La suplantación de identidad vía telefónica —conocida como vishing— y los SMS falsos o smishing han dejado de ser fraudes anecdóticos para convertirse en una de las principales vías de ataque digital. Las víctimas no solo pierden dinero, sino también confianza en los canales digitales.
“Estamos abordando un problema exponencial que afectaba a miles de personas cada día. Los datos demuestran que las medidas funcionan: mejoramos la protección ciudadana y damos herramientas reales para combatir estas amenazas”, declaró López.
Desde la entrada en vigor del plan, los operadores de telecomunicaciones están obligados a bloquear numeraciones que no pertenecen a ningún usuario ni servicio. La medida ha sido efectiva: se están bloqueando una media diaria de 235.600 llamadas y 10.000 SMS sospechosos.
Dos nuevas medidas clave entran en vigor el 7 de junio
El próximo gran avance en la ofensiva contra las ciberestafas llegará el 7 de junio, con dos medidas de impacto que buscan cerrar los canales más utilizados por los delincuentes:
1. Fin al engaño de origen internacional falso
Una de las estrategias más comunes entre estafadores es enviar llamadas o SMS desde el extranjero que, mediante técnicas de falsificación (conocidas como spoofing), aparentan venir de un número nacional. Esto genera confianza en la víctima, que baja la guardia al ver un número “español”.
A partir del 7 de junio, estas prácticas estarán prohibidas. Si el origen real de una llamada o mensaje es internacional, no podrá mostrarse como si fuera un número nacional. Se trata de una barrera tecnológica que limitará una de las principales fuentes de fraude emocional y económico.
2. Prohibición de llamadas comerciales desde móviles
Otra medida muy esperada por consumidores y expertos en ciberseguridad es la prohibición de realizar llamadas comerciales desde números móviles. Según los datos manejados por el ministerio, muchas estafas se inician cuando el ciudadano recibe una llamada desde un número móvil desconocido.
Desde el 7 de junio, las llamadas comerciales deberán realizarse desde numeraciones geográficas específicas, numeraciones comerciales, o líneas 800 y 900. Además, se elimina la restricción que impedía a los números 800 y 900 emitir llamadas, lo que facilitará su uso como canales comerciales legítimos.
Esta decisión permitirá al usuario identificar de inmediato cuándo una llamada es publicitaria o comercial, y tomar decisiones informadas, reduciendo los riesgos de manipulación emocional o engaño.
Identificadores SMS: hacia una verificación más segura
Quizá una de las medidas más innovadoras del plan —aunque también la más compleja técnicamente— será la creación de una base de datos nacional con los códigos alfanuméricos que usan las empresas y administraciones como remitentes de SMS.
¿Quién no ha recibido un mensaje que aparenta ser de su banco, la Agencia Tributaria o una empresa de paquetería, solo para descubrir después que era un intento de fraude?
Con esta nueva base, gestionada por la CNMC (Comisión Nacional de los Mercados y la Competencia), las entidades legítimas podrán registrar sus identificadores. De este modo:
-
Se verificará la autenticidad de los SMS recibidos.
-
Se podrá bloquear automáticamente cualquier intento de suplantación.
-
Se protegerá la identidad de entidades públicas y privadas frente al fraude.
La medida, debido a su envergadura técnica y necesidad de coordinación con múltiples actores, no entrará en vigor hasta pasados 15 meses desde la publicación de la orden ministerial, por lo que se espera su despliegue a lo largo de 202
