Estafa de soporte técnico: pedidos falsos y alertas bancarias que incitan a llamar
Nuestros sistemas de detección han descubierto mensajes que suplantan a comercios e instituciones financieras para convencer a quienes los reciben de que llamen a un supuesto servicio de soporte. Los pretextos varían, pero todos buscan lo mismo: que la persona llame al número incluido en el mensaje.
Durante dos semanas, del 18 de septiembre al 2 de octubre de 2026, nuestros equipos identificaron más de 150 000 mensajes y registraron más de 40 números de devolución de llamada utilizados en esta campaña.
Tabla de contenido
Conclusiones principales
- Los pretextos detectados se basan sobre todo en compras caras o transacciones bancarias presentadas como sospechosas.
- La urgencia y el temor a perder dinero empujan a quienes reciben el mensaje a llamar al número indicado.
- Los números de devolución de llamada identificados están asociados al servicio Onoff.
¿Qué es una estafa de soporte técnico?
Una estafa de soporte técnico suplanta a un servicio legítimo para convencer a alguien de que llame, pague, revele información confidencial o autorice el acceso a su dispositivo.
Un pedido falso diseñado para provocar una reclamación
Varios mensajes se hacen pasar por confirmaciones de compra o facturas de comercios conocidos, como Darty, BUT y Cdiscount. Mencionan productos populares y caros, como smartphones, consolas, tabletas y tarjetas regalo. La compra figura como aprobada, en preparación o ya pagada.
Se indica a quienes reciben el mensaje que contacten con atención al cliente si no reconocen la compra. Así, una factura inesperada se convierte en un pretexto para llamar. Varios mensajes usan frases similares aunque cambien la identidad mostrada y los datos de contacto.
Una alerta bancaria falsa crea presión para llamar
Otros mensajes imitan avisos bancarios. Mencionan un inicio de sesión desde un dispositivo nuevo, a veces desde una ubicación inusual, y después notifican una transferencia o un pago pendiente. Los importes ascienden a miles de euros. Se insta a llamar al servicio de soporte para verificar o impugnar la operación.
Estas alertas combinan varias tácticas de presión: temor a un acceso no autorizado, apariencia de supervisión de transacciones y promesa de una respuesta rápida. Los nombres de entidades conocidas y los detalles del mensaje hacen que la situación parezca creíble, pero no autentican al remitente.
El número de devolución de llamada ofrece una pista común
Según las comprobaciones de nuestro equipo, los números de devolución de llamada identificados están asociados al servicio Onoff. Esta asociación permite relacionar los mensajes observados, pero por sí sola no identifica a las personas usuarias de las líneas ni atribuye la campaña a Onoff. Sirve como pista para vincular mensajes que suplantan a distintos comercios, bancos o direcciones de envío. Los nombres visibles, como «Customer Service», «Bank» o «Epay», no siempre corresponden a un dominio oficial de la organización suplantada.
Enviamos varias solicitudes de retirada a Onoff, que las atendió con rapidez. Sin embargo, pese a varios intentos, no conseguimos contactar con su equipo antifraude.
La táctica desvía la atención hacia una conversación telefónica con alguien que se presenta como capaz de cancelar la transacción. Este paso a un supuesto servicio de soporte es lo que caracteriza la estafa: el pedido o la alerta bancaria falsos buscan provocar la llamada.
Qué revelaron las conversaciones telefónicas
Llamamos a los números en cuestión y hablamos con varios operadores. Empezaban por pedir el nombre de quien llamaba y lo asociaban al número desde el que se hacía la llamada. Esta práctica complica la investigación: usar una misma línea desechable con varias identidades podría delatar las llamadas, mientras que una sola línea dificulta contactar con varios números para distintas estafas.
Los operadores con quienes hablamos tenían acentos parecidos. Esta observación no permite determinar su procedencia. En la mayoría de las llamadas se oían otras conversaciones de fondo, lo que apunta a que la actividad podría desarrollarse en un espacio compartido.
Los operadores pedían el número de referencia de la transacción mencionada en el mensaje. Cuando se lo facilitábamos, repetían datos que ya aparecían, como el importe, el comercio o el supuesto beneficiario, y seguían un guion coherente con el escenario recibido.
Después, los operadores enviaban un archivo por MMS. No pudimos recuperarlo ni analizar su contenido.
Cadena de ataque observada
La cadena observada comienza con un mensaje que imita una confirmación de compra o una alerta bancaria e insta a llamar al número indicado. Durante la llamada, el operador pide el nombre de quien llama y la referencia de la transacción; después repite detalles del mensaje, como el importe, el comercio o el supuesto beneficiario, para dar credibilidad a la conversación. En las llamadas examinadas, los operadores enviaron después un archivo por MMS. No pudimos recuperarlo, por lo que desconocemos su contenido y su función en la cadena. Los pasos siguientes resumen lo observado e indican qué aspectos no se pudieron confirmar.
Recomendaciones de detección y prevención
Los equipos de seguridad pueden buscar una combinación de una transacción inusual, un importe elevado y una instrucción para devolver la llamada. Otras señales útiles son las compras de productos electrónicos caros, las alertas de inicio de sesión desde un dispositivo nuevo y los mensajes que afirman que una transferencia está pendiente.
Normaliza los números de teléfono eliminando espacios, guiones y paréntesis; después, relaciónalos con el texto del mensaje, los nombres mostrados y las marcas suplantadas. Así pueden detectarse variantes que no comparten la misma dirección de envío.
Verifica las transacciones en la aplicación bancaria o usa los datos de contacto oficiales del comercio o del banco, obtenidos por otra vía. No llames al número incluido en el mensaje.
Posible motivación
Los pretextos indican que la motivación más probable es económica. La conversación puede buscar que la víctima realice un pago, revele datos bancarios o códigos de autenticación, o lleve a cabo una acción que conceda acceso a su dispositivo. El archivo enviado por MMS podría prolongar la manipulación, pero por el momento no se ha determinado su función.
Conclusión
Las detecciones muestran dos pretextos recurrentes —una compra no reconocida y una transferencia sospechosa— que conducen a la misma solicitud de llamada. Relacionar los números asociados a Onoff con el texto de los mensajes y las marcas suplantadas ayuda a identificar variantes de esta estafa de soporte técnico.
En 2025, nuestro equipo también siguió un grupo que operaba en el mercado estadounidense y que utilizaba plataformas legítimas como PayPal, Venmo y Adobe Sign en escenarios de estafa de soporte técnico. Los canales observados en ese caso son distintos de los descritos aquí, que se basan en suplantar a comercios y bancos. Ambos casos muestran cómo las marcas conocidas pueden dar credibilidad a estas solicitudes.
Cybersecurity Report 2026
La aceleración de las amenazas globales impulsada por la IA
Indicadores de compromiso (IOC)
Todos los números siguientes se identificaron como números de teléfono maliciosos en el artículo original.
| Tipo | Valor |
|---|---|
| Teléfono | 0451459025 |
| Teléfono | 0159581731 |
| Teléfono | 0756862950 |
| Teléfono | 0189629302 |
| Teléfono | 0756837552 |
| Teléfono | 0259508016 |
| Teléfono | 0376379967 |
| Teléfono | 0189628128 |
| Teléfono | 0189628155 |
| Teléfono | 0189628478 |
| Teléfono | 0189628702 |
| Teléfono | 0189628757 |
| Teléfono | 0189628812 |
| Teléfono | 0189628868 |
| Teléfono | 0189629082 |
| Teléfono | 0189629102 |
| Teléfono | 0189629137 |
| Teléfono | 0189629227 |
| Teléfono | 0189629250 |
| Teléfono | 0189629312 |
| Teléfono | 0189629506 |
| Teléfono | 0189629537 |
| Teléfono | 0189629808 |
| Teléfono | 0189629830 |
| Teléfono | 0259508686 |
| Teléfono | 0259509004 |
| Teléfono | 0259509101 |
| Teléfono | 0259509429 |
| Teléfono | 0259509674 |
| Teléfono | 0259509877 |
| Teléfono | 0392239204 |
| Teléfono | 0537078189 |
| Teléfono | 0537078321 |
| Teléfono | 0644693987 |
| Teléfono | 0756814003 |
| Teléfono | 0756830468 |
| Teléfono | 0756861942 |
| Teléfono | 0756895565 |
| Teléfono | 0756990631 |
| Teléfono | 0780941108 |
| Teléfono | 0780943122 |
| Teléfono | 0189628996 |
| Teléfono | 0392239150 |
| Teléfono | 0537078998 |