Wangiri: Uso de ingeniería social telefónica

Si bien la comunicación actual es mucho más fluida y diversa, también trae consigo diversos retos dentro del mundo digital, y uno de los más latentes y variables es el wangiri, término japonés que significa “llama y cuelga”. Este nombre describe con precisión el modus operandi de uno de los delitos de mayor prevalencia en México durante los dos últimos años. Según datos del INEGI, para 2022 había 93.8 millones de usuarios de telefonía móvil, lo que convierte a los usuarios en un nicho en crecimiento de posibles víctimas.

¿Cuántas veces has recibido una llamada en la que no se escucha nada del otro lado? Esta situación es el ejemplo clásico del wangiri, aunque existen variantes, como recibir llamadas de números internacionales o desconocidos que buscan ofrecer algo. El objetivo siempre es el mismo: la estafa telefónica o la obtención de datos personales mediante engaños y técnicas de cifrado.

Se busca que las personas, por curiosidad, devuelvan la llamada o envíen un mensaje al número de origen, generando así una ganancia económica para los delincuentes. Este tipo de fraude causa pérdidas anuales estimadas en 1 800  millones de dólares a las compañías telefónicas a nivel internacional. Como lo explica la compañía Movistar a sus usuarios para prevenirles de futuras estafas, los siguientes números son los más usados a nivel internacional:

Albania (+355)
Bosnia (+387)
Costa de Marfil (+225)
Estonia (+372)
Ghana (+233)
India (+91)
Mali (+223)
Marruecos (+212)
Nigeria (+234)
Papúa Nueva Guinea (+675)
Túnez (+216)
Samoa Occidental (+685)
Sierra Leona (+231)
Sri Lanka (+94)
Uganda (+256)
República Centroafricana (+236)

El wangiri como ataque de ingeniería social
El wangiri es un ataque que se basa en la ingeniería social, práctica ilegítima que obtiene información confidencial mediante la manipulación de usuarios legítimos. Una de las definiciones más difundidas es la proporcionada por Kaspersky:

La ingeniería social es una técnica de manipulación que aprovecha el error humano para obtener información privada, acceso a sistemas u objetos de valor. En el ámbito del delito cibernético, estas estafas de “hackeo humano” tienden a inducir a los usuarios desprevenidos a exponer datos, propagar malware o conceder acceso a sistemas restringidos. Los ataques pueden ocurrir en línea, de forma presencial o mediante otras interacciones.

Con frecuencia, los perpetradores llaman sin intención de contestar para que las víctimas regresen la llamada, o bien dejan un mensaje pregrabado para que el usuario guarde el contacto y devuelva la llamada más tarde. Ningún dato es demasiado pequeño como para no poder lucrar con él. El Instituto Nacional de Ciberseguridad (INCIBE) de España lo resume así: “Es más fácil manipular a las personas que a las máquinas”.

Se han reportado en México múltiples llamadas provenientes, supuestamente, del Reino Unido desde el mes de abril. El Gobierno federal alertó a la población y su primera recomendación fue no contestar y reportar los números involucrados, pero al usar estrategias laborales, también están jugando con la necesidad de las personas.

Etapas de la ingeniería social aplicada al wangiri
Selección de la víctima
La primera etapa consiste en elegir a las víctimas. Se emplean técnicas como smishing (mensajes SMS fraudulentos) para redirigir al usuario a una página específica. A menudo, el canal inicial es WhatsApp, donde se solicita al destinatario que siga o dé like a una plataforma comercial (por ejemplo, Amazon, aunque puede utilizarse cualquier otra). También se practica el vishing: la llamada aparenta provenir de otro país y el estafador se hace pasar por una agencia de empleo o un representante bancario para solicitar información personal bajo pretextos aparentemente legítimos.

Según las estadísticas publicadas por el INEGI con motivo del Día Mundial de Internet (mayo de 2024), en 2022 había en México 93.8 millones de usuarios de telefonía celular. Los grupos más vulnerables son los jóvenes de 18 a 25 años —en búsqueda de empleo— y los adultos mayores, quienes suelen ser objetivos fáciles para los ciberdelincuentes.

Generación de confianza
La segunda etapa es crear confianza. ¿Por qué usar el Reino Unido como país de origen de la llamada? Porque dicho país genera una sensación de seguridad o aspiración en el receptor, especialmente si el mensaje afirma que, por su «perfil», es candidato para un trabajo. El primer contacto suele estar en español y solicita guardar el número y enviar un mensaje posterior, lo que abre la puerta a la recopilación de datos personales —como fotografías— o incluso a la geolocalización, según la configuración del teléfono.

En este proceso se aplican varios principios clásicos de la ingeniería social descritos por el INCIBE: escasez, urgencia, familiaridad y simpatía.

Obtención del objetivo
Finalmente, el atacante busca conseguir su objetivo. En ofertas laborales falsas, durante los primeros días se solicita una transferencia pequeña (por ejemplo, 60  MXN). Posteriormente, algunos números de WhatsApp son secuestrados para solicitar cantidades mayores a amigos y familiares de la víctima y, al mismo tiempo, extraer la lista de contactos y ampliar el alcance del fraude. Estas llamadas también pueden activar servicios o suscripciones no solicitadas.

Detener a quienes emplean esta técnica es complicado, pues cambian constantemente de número, país de origen, tipo de oferta o institución suplantada. La mayoría de las campañas no dura más de una semana. Aunque los números pueden ser reportados y bloqueados, los estafadores encuentran siempre nuevas formas de operar. Por ello, es fundamental utilizar identificadores de llamadas, evitar contestar números desconocidos, reportar posibles fraudes y, sobre todo, actuar con cautela.

Qué hacer si se es víctima
Contactar a la policía cibernética local y consultar la Ciberguía de la Secretaría de Seguridad y Protección Ciudadana (https://www.gob.mx/sspc/documentos/ciberguia).

Si las llamadas continúan, inscribirse en el Registro Público de Usuarios (REUS) de Condusef para limitar las llamadas con fines comerciales.

En caso de ser víctima, conserve evidencias (capturas de pantalla, registros de llamada) y presente la denuncia correspondiente lo antes posible. La rapidez facilita el rastreo y la prevención de nuevos incidentes

Referencias
•Instituto Nacional de Ciberseguridad (INCIBE). (s. f.). Ingeniería social: técnicas utilizadas por los ciberdelincuentes y cómo protegerse. Recuperado el 20 de mayo de 2025, de https://www.incibe.es/empresas/blog/ingenieria-social-tecnicas-utilizadas-los-ciberdelincuentes-y-protegerse.
•Kadar, T. (2024, 15 de mayo). 11 tipos de fraude de telecomunicaciones: cómo prevenirlos. SEON. https://seon.io/es/recursos/fraude-de-telecomunicaciones-y-sus-tipos/.
•Kaspersky. (s. f.). Social engineering: definition and examples. Recuperado el 20 de mayo de 2025, de https://www.kaspersky.com/resource-center/threats/social-engineering.
•MILENIO. (2025, 22 de abril). ¿Te llamaron de Reino Unido? Sheinbaum y Harfuch reaccionan ante esta polémica [Video]. YouTube. https://www.youtube.com/watch?v=UWE2lVDtXoQ.