La voz de la autoridad: cómo un impostor vació las cuentas de una empresa con cuatro llamadas de teléfono

Los ataques de ingeniería social bien ejecutados no son improvisados. Son el resultado de una investigación meticulosa que los atacantes llaman OSINT —Open Source Intelligence—: la recopilación sistemática de información pública disponible en internet. Y en 2026, las empresas regalan más información de la que imaginan.

El atacante —identificado en el proceso judicial posterior solo como «individuo de entre 35 y 45 años con acento del norte de España»— dedicó aproximadamente tres semanas a estudiar Arcotel antes de hacer su primera llamada. Lo que encontró en fuentes abiertas era más que suficiente para construir un pretexto perfecto.

«La ingeniería social no explota vulnerabilidades en los sistemas. Explota vulnerabilidades en las personas. Y las personas tenemos las mismas vulnerabilidades desde hace miles de años: obedecemos a la autoridad, ayudamos a quien parece necesitarlo y actuamos más rápido cuando creemos que hay urgencia. Eso no va a cambiar con ningún parche de seguridad.»

El lunes 17 de febrero de 2025, a las 10:23 de la mañana, Marta Solano recibió una llamada en su teléfono corporativo. El número que aparecía en pantalla era el del banco de Arcotel —el mismo que tenía guardado en sus contactos desde que empezó en el cargo. Lo que Marta no sabía es que ese número había sido falsificado mediante caller ID spoofing.

La llamada terminó con una instrucción aparentemente razonable: «Por seguridad, en las próximas horas puede recibir una llamada de verificación de nuestro sistema automatizado. Es importante que confirme los datos que le pida para que podamos reactivar su cuenta correctamente.» Era la preparación del terreno para la segunda llamada.

Marta colgó convencida de que había hablado con su banco. El número era el correcto. El agente sabía el nombre de la empresa, el nombre del director general, el nombre del banco. Tenía toda la información. ¿Por qué iba a dudar?

Dos horas después de la llamada del «banco», a las 12:47, Marta recibió otra llamada. Esta vez el número era el del móvil personal de Ramón Escudero, el director general. Ramón estaba en Múnich. Marta lo sabía. Y el atacante también lo sabía.

El número también había sido falsificado. Pero Marta no lo sabía. Y cuando vio el nombre de Ramón en pantalla, lo cogió con la misma naturalidad con que habría cogido cualquier otra llamada de su jefe.

Marta procesó la transferencia de 170.000 euros a las 13:34. Luego esperó el email de Ramón con los datos. El email llegó desde una dirección de Gmail que el atacante había creado esa misma mañana: ramon.escudero.arcotel@gmail.com. Marta no lo cuestionó. Ramón estaba de viaje, era normal que usara el personal.

El atacante no se conformó con 170.000 euros. Esa misma tarde, a las 16:15, llamó de nuevo haciéndose pasar por Ramón. Esta vez el pretexto era diferente: la negociación en Múnich había avanzado y necesitaban una segunda transferencia de 190.000 euros para «bloquear la operación» antes del cierre de los mercados europeos.

Marta, que ya había procesado la primera transferencia sin consecuencias aparentes, tenía menos resistencia psicológica. La primera vez había sido la más difícil. La segunda fue casi automática. Procesó los 190.000 euros a las 16:48.

Al día siguiente, martes 18 de febrero, el atacante ejecutó su movimiento más audaz. Esta vez no llamó a Marta. Llamó a Javier Pons, el responsable de IT, haciéndose pasar por un auditor externo de ciberseguridad contratado por el banco para revisar el incidente del día anterior. Javier no sabía nada de lo ocurrido —Marta había guardado la confidencialidad que le habían pedido— y el «auditor» le pidió acceso temporal a los logs del servidor de correo para «verificar que no había habido exfiltración de datos».

El martes por la tarde, Ramón Escudero volvió de Múnich y llamó a la oficina para hacer seguimiento de varios asuntos. En la primera conversación con Marta, en menos de dos minutos, todo salió a la luz. Ramón no había llamado el día anterior. Ramón no había pedido ninguna transferencia. Ramón no sabía nada de ningún auditor de ciberseguridad.

Llamaron al banco a las 18:47. Los 510.000 euros llevaban más de 24 horas fuera del sistema bancario español. Recuperaron 31.200 euros.

Arcotel era una empresa familiar con 85 empleados y una facturación de 4,2 millones de euros. Perder 510.000 euros en 48 horas no es un contratiempo: es una crisis existencial. Lo que vino después fue casi tan duro como el robo en sí.

El ataque contra Arcotel no fue sofisticado desde el punto de vista técnico. Fue sofisticado desde el punto de vista psicológico. El atacante explotó con precisión quirúrgica los mismos mecanismos que hacen que las organizaciones funcionen: la jerarquía, la confianza, la urgencia y la confidencialidad.

Ninguna de las medidas que habrían evitado este ataque requería tecnología avanzada ni grandes inversiones. La mayoría son procedimientos y protocolos que se pueden implementar en una tarde. El problema no era la falta de recursos: era la falta de conciencia de que este tipo de ataque existía y de que podía pasarles a ellos.

El caso de Arcotel combinó vishing y pretexting, pero la ingeniería social tiene muchas variantes. Conocerlas es el primer paso para reconocerlas cuando ocurren.

Preguntas frecuentes sobre ingeniería social