Suplantación de identidad por voz

Un ataque de phishing por voz puede iniciarse mediante diferentes mecanismos de entrega. ^{[ 16 ]}   Un estafador puede llamar directamente a una víctima y hacerse pasar por una persona de confianza falsificando su identificador de llamadas, apareciendo en el teléfono como un funcionario o alguien cercano. ^{[ 16 ]} Los estafadores también pueden dejar mensajes amenazantes pregrabados en los buzones de voz de las víctimas para coaccionarlas a que actúen. ^{[ 16 ]} Las víctimas también pueden recibir un mensaje de texto que les solicita que llamen a un número específico y que se les cobre por dicha llamada. ^{[ 16 ]} Además, la víctima puede recibir un correo electrónico suplantando la identidad de un banco; la víctima puede ser coaccionada para proporcionar información privada, como un PIN, un número de cuenta u otras credenciales de autenticación durante la llamada telefónica. ^{[ 16 ]}

Los atacantes de phishing telefónico suelen emplear ingeniería social para convencer a las víctimas de que les den dinero o acceso a sus datos personales. ^{[ 17 ]} Generalmente, los estafadores intentan crear una sensación de urgencia o temor a la autoridad para usarlo como palanca contra las víctimas. ^{[ 16 ]}

• Los estafadores que se hacen pasar por otras personas se hacen pasar por una persona o agencia importante relacionada con la víctima y utilizan la relación de la víctima con dicha persona o agencia para aprovecharse y estafarle dinero.
  • Estafa del IRS : El estafador se hace pasar por un funcionario del IRS o un agente de inmigración. Luego, amenaza con la deportación o el arresto si la víctima no paga sus deudas, incluso si la víctima no tiene ninguna deuda.
  • Estafa romántica : El estafador se hace pasar por un posible interés amoroso a través de aplicaciones de citas o simplemente mediante llamadas telefónicas para volver a contactar con la víctima como un antiguo amante que necesita dinero urgentemente por algún motivo, como para viajar o pagar deudas. ^{[ 18 ]} Se utiliza la ingeniería social para convencer a las víctimas de que el estafador es un interés amoroso. En casos extremos, el estafador podría reunirse con la víctima y tomar fotos de actos sexuales para usarlas como arma contra ella. ^{[ 19 ]}
  • Estafa de soporte técnico : El estafador se hace pasar por un técnico de soporte y afirma que la computadora de la víctima tiene un virus urgente o un problema técnico grave. Luego, puede aprovechar la sensación de urgencia para obtener el control remoto de la computadora de la víctima, haciéndole descargar un software especial para diagnosticar el supuesto problema. ^{[ 20 ]} Una vez que el estafador obtiene el control remoto de la computadora, puede acceder a archivos o información personal almacenada en ella o instalar malware. ^{[ 21 ]} Otra posibilidad es que el estafador le pida a la víctima un pago para resolver el supuesto problema técnico. ^{[ 20 ]}
• Estafas de alivio de deudas y reparación de crédito
  • El estafador se hace pasar por una empresa y afirma tener la capacidad de aliviar deudas o reparar el crédito. El estafador solicita una tarifa a la empresa por el servicio. Por lo general, realizar esta acción en realidad reduce la puntuación crediticia. ^{[ 22 ]}
• Estafas empresariales y de inversión
  • Los estafadores se hacen pasar por expertos financieros para convencer a las víctimas de que ofrezcan dinero para inversiones. ^{[ 22 ]}
• Estafas benéficas
  • Los estafadores se hacen pasar por miembros de organizaciones benéficas para convencer a la víctima de que done a su causa. Estas organizaciones falsas en realidad no realizan ninguna labor benéfica y, en cambio, todo el dinero donado va directamente a los estafadores. ^{[ 23 ]}
• Estafas de garantía de automóviles
  • Los estafadores realizan llamadas falsas relacionadas con la garantía del automóvil de la víctima y ofrecen la opción de renovarla. ^{[ 24 ]} El estafador puede tener información sobre el automóvil de la víctima, lo que hace que su oferta parezca más legítima. ^{[ 24 ]} Los estafadores pueden usar las estafas de garantía de automóviles para obtener información personal sobre sus víctimas o para cobrar dinero si las víctimas deciden comprar la garantía propuesta. ^{[ 25 ]}
• Estafas de paquetería
  • Dirigidos a poblaciones inmigrantes, los estafadores afirman que la víctima tiene un paquete que debe ser recogido. El estafador inicialmente se hace pasar por una empresa de mensajería. El paquete inexistente está vinculado a un caso de delito financiero. El estafador, haciéndose pasar por una empresa de reparto, transfiere a la víctima a otro estafador que se hace pasar por un policía de un país extranjero. El estafador que se hace pasar por policía afirmará que la víctima es sospechosa y que debe ser investigada en una falsa investigación de lavado de dinero. Esto se hace convenciendo a la víctima de que le robaron la identidad. Luego, el estafador convence a la víctima de que envíe dinero a la "policía" para que realice una investigación sobre el dinero en su cuenta bancaria. ^{[ 4 ]} Durante todo el proceso, el estafador puede tomar medidas adicionales para negar ser un estafador, reiterando que la policía no solicitará credenciales personales ni información de cuentas bancarias.
• Estafas de secuestro
  • Los estafadores llaman y afirman haber secuestrado a un familiar cercano o a un ser querido. Esto se logra investigando previamente o utilizando tácticas de ingeniería social y suposiciones para obtener información sobre el familiar a partir de la información proporcionada por la víctima. Por ejemplo, dado que las personas mayores son más vulnerables a las estafas que la población general, los estafadores pueden suponer que probablemente tengan hijos o nietos. El estafador amenaza con hacerle daño al familiar si la víctima cuelga. ^{[ 26 ]} En algunos casos, el estafador incluso permite que las víctimas hablen con el supuesto familiar secuestrado , pero debido al miedo, la confusión y el efecto del teléfono en la voz, la víctima puede no darse cuenta de que el supuesto familiar secuestrado no es realmente el familiar . ^{[ 27 ]}

Un método sencillo para detectar el phishing es el uso de listas negras. Investigaciones recientes han intentado distinguir con precisión entre llamadas legítimas y ataques de phishing mediante inteligencia artificial y análisis de datos. ^{[ 31 ]} Para avanzar en la investigación sobre audio falso, se han explorado diferentes mejoras y diseños de funciones. ^{[ 32 ]} Al analizar y convertir llamadas telefónicas a texto, se pueden utilizar mecanismos de inteligencia artificial, como el procesamiento del lenguaje natural, para identificar si la llamada es un ataque de phishing. ^{[ 31 ]}

Los sistemas especializados, como las aplicaciones móviles, pueden enviar datos falsos a las llamadas de phishing. Además, diversas agencias policiales realizan esfuerzos continuos para disuadir a los estafadores de realizar llamadas de phishing, imponiendo sanciones más severas a los atacantes. ^{[ 30 ] [ 12 ]}

Entre 2012 y 2016, una red de estafas telefónicas de suplantación de identidad se hizo pasar por empleados del Servicio de Impuestos Internos y de inmigración ante más de 50 000 personas, robando cientos de millones de dólares, así como la información personal de las víctimas. ^{[ 5 ]} Presuntos co-conspiradores de Estados Unidos e India amenazaron a los denunciantes vulnerables con "arresto, prisión, multas o deportación". ^{[ 5 ]} En 2018, 24 acusados ​​fueron sentenciados, con una pena de prisión máxima de 20 años. ^{[ 5 ]}

El 28 de marzo de 2021, la Comisión Federal de Comunicaciones emitió un comunicado advirtiendo a los estadounidenses sobre el creciente número de estafas telefónicas relacionadas con productos fraudulentos para la COVID-19 . ^{[ 33 ]} La Administración de Alimentos y Medicamentos también ha monitoreado esquemas de suplantación de identidad por voz que intentan vender productos que supuestamente "previenen, tratan, mitigan, diagnostican o curan" la COVID-19. ^{[ 34 ]}

A partir de 2015, un estafador de phishing se hizo pasar por maquilladores de Hollywood y poderosas ejecutivas para coaccionar a las víctimas a viajar a Indonesia y pagar sumas de dinero con la promesa de que serían reembolsadas. Mediante ingeniería social, el estafador investigó a fondo la vida de sus víctimas para obtener detalles que hicieran más creíble la suplantación. El estafador llamaba directamente a las víctimas, a menudo varias veces al día y durante horas seguidas para presionarlas. ^{[ 35 ]}

La campaña de ciberataques de 2015 contra la académica israelí Dra. Thamar Eilam Gindin ilustra el uso de un ataque de vishing como precursor de ataques futuros más complejos, utilizando información obtenida mediante coacción de la víctima. Después de que la académica, experta en Irán, mencionara conexiones dentro de Irán en la radio del ejército israelí, Thamar recibió una llamada telefónica para solicitarle una entrevista para la BBC persa. Para ver las preguntas antes de la entrevista, se le indicó a Thamar que accediera a un documento de Google Drive que solicitaba su contraseña. Al ingresar su contraseña para acceder al documento malicioso, el atacante podía usar las credenciales para realizar ataques más sofisticados. ^{[ 36 ]}

En Suecia, Mobile Bank ID es una aplicación móvil (lanzada en 2011) que se utiliza para identificar a un usuario en la banca por internet. El usuario inicia sesión en el banco desde un ordenador, el banco activa la aplicación móvil, el usuario introduce una contraseña en el teléfono y accede a su cuenta. En esta estafa, los delincuentes llamaban a las víctimas haciéndose pasar por empleados del banco, alegando un problema de seguridad y pidiéndoles que usaran la aplicación Mobile Bank ID. De esta forma, los estafadores podían acceder a la cuenta de la víctima sin que esta proporcionara su contraseña. Posteriormente, podían transferir dinero desde la cuenta de la víctima. Si la víctima era cliente del banco sueco Nordea , los estafadores también podían usar su cuenta directamente desde su teléfono. En 2018, la aplicación se modificó para que los usuarios tuvieran que fotografiar un código QR en la pantalla de su ordenador. Esto garantiza que el teléfono y el ordenador estén en el mismo lugar, lo que ha eliminado en gran medida este tipo de fraude.