Caller ID Spoofing: llamada fraudulenta usando el número real de Cajamar

El 30 de octubre de 2026 recibí una llamada que, a todos los efectos visuales, parecía proceder de Cajamar. En la pantalla del teléfono aparecía el número 950 210 191, una numeración que pertenece realmente a la entidad y que Cajamar publica como teléfono de Soporte de Banca Electrónica y Banca Telefónica.

Al responder comenzó una locución automática indicando, aproximadamente, que se había detectado una transferencia de unos 4.000 euros y que, para cancelarla, debía pulsar 1 y continuar con la gestión.

Estamos ante un caso de vishing bancario mediante Caller ID Spoofing: la identidad telefónica de Cajamar fue utilizada para presentar una llamada fraudulenta como si procediera realmente de la entidad. Precisamente ahí reside la gravedad del ataque. El número mostrado no era parecido al de Cajamar ni pertenecía a un tercero que fingía ser el banco; era una numeración legítima de la propia entidad utilizada como identidad aparente de la llamada.

El número pertenecía a Cajamar, pero eso no autenticaba la llamada

Después de recibirla comprobé por una vía independiente cuál era el teléfono oficial y coincidía exactamente con el que había aparecido en pantalla. Posteriormente realicé yo mismo una nueva llamada a ese número y la comunicación fue encaminada realmente a Cajamar, aunque en ese momento no había agentes disponibles.

Esto no supone ninguna contradicción. La llamada fraudulenta que recibimos y la llamada que realizamos posteriormente son dos comunicaciones diferentes. En la primera, el atacante consigue presentar un número legítimo como identificador de origen. En la segunda somos nosotros quienes marcamos directamente esa numeración y la red la encamina hacia su verdadero propietario.

Por ello, buscar un número en Internet, comprobar que pertenece al banco e incluso devolver posteriormente la llamada no demuestra que la comunicación anterior se originara allí. Únicamente confirma quién es el propietario legítimo del número que apareció en pantalla.

Es una diferencia importante, porque durante años hemos utilizado el número mostrado por el teléfono como un elemento de confianza. En un escenario de Caller ID Spoofing ya no podemos hacerlo.

Cómo funciona el Caller ID Spoofing

El número que vemos durante una llamada se conoce habitualmente como CLI, Calling Line Identification. En las redes modernas de telefonía, especialmente cuando intervienen VoIP y SIP, la identidad de la comunicación se transporta mediante diferentes elementos de señalización, entre ellos campos como:

From

P-Asserted-Identity

Entre quien origina una llamada y nuestro terminal pueden intervenir proveedores VoIP, operadores mayoristas, revendedores, centralitas, pasarelas y diferentes redes de interconexión. Si una identidad manipulada consigue entrar en esa cadena y superar los controles existentes, el teléfono receptor puede acabar mostrando como origen una numeración que pertenece realmente a otra persona, empresa o institución.

El atacante no necesita controlar físicamente el teléfono de Cajamar ni acceder a la infraestructura del banco. Lo que necesita es conseguir que el número de la entidad sea presentado como identidad de origen de su llamada.

En este caso, eso es exactamente lo que convierte el engaño en especialmente eficaz: el usuario puede comprobar el teléfono y descubrir que efectivamente pertenece a Cajamar, pero esa comprobación no autentica a quien está realizando la comunicación.

Una falsa transferencia para provocar una reacción inmediata

La locución utiliza un esquema clásico de ingeniería social. Presenta una operación bancaria de importe suficientemente elevado como para provocar preocupación y ofrece inmediatamente una supuesta forma de detenerla: pulsar 1 para cancelar la transferencia.

Cuando alguien escucha que están saliendo aproximadamente 4.000 euros de su cuenta, resulta fácil que la prioridad pase de analizar quién llama a intentar detener la operación cuanto antes. Ese cambio de comportamiento es precisamente lo que persigue el fraude.

Al pulsar 1, la llamada continúa con un agente malicioso que se presenta como miembro del departamento de seguridad, fraude o banca electrónica. El escenario ya ha sido preparado para que resulte creíble: el teléfono mostraba un número real del banco, existe aparentemente una operación urgente y quien atiende afirma estar allí precisamente para resolverla.

No estamos ante una hipótesis sobre lo que podría ocurrir después. Este procedimiento está ampliamente documentado en campañas de vishing bancario y en investigaciones policiales.

La siguiente fase busca obtener información o provocar operaciones que permitan disponer de los fondos de la víctima. Para ello pueden solicitar:

• Credenciales de banca electrónica.
• Datos personales.
• Números de tarjeta.
• Códigos recibidos por SMS.
• Firmas o autorizaciones de operaciones.
• Confirmaciones desde la aplicación bancaria.
• Transferencias hacia supuestas cuentas seguras.
• Operaciones mediante Bizum, HalCash u otros sistemas de pago.
• Instalación de herramientas de acceso remoto como AnyDesk o TeamViewer.

Todo el procedimiento se apoya en la urgencia. El agente malicioso insiste en que es necesario actuar rápidamente para evitar perder el dinero cuando, en realidad, son precisamente las acciones que solicita las que permiten completar el fraude.

Cajamar advierte expresamente de esta técnica

La propia Cajamar lleva años publicando avisos sobre llamadas en las que delincuentes se hacen pasar por empleados de la entidad utilizando como argumentos transferencias fraudulentas, cargos sospechosos, accesos desde nuevos dispositivos o problemas relacionados con la banca electrónica.

La entidad advierte además de que los delincuentes pueden cambiar el número que aparece en el teléfono para que sea el del propio banco, que es exactamente el elemento utilizado en este caso.

Su aviso de seguridad del 12 de enero de 2026 resulta especialmente claro: Cajamar indica que nunca contactará con sus clientes para solicitarles que realicen ni cancelen una operación de salida de fondos.

Puede consultarse el aviso oficial aquí:

Cajamar · Evita fraudes por SMS y llamadas telefónicas

Por tanto, una llamada que informa de una supuesta transferencia y solicita realizar una acción para cancelarla debe tratarse como fraudulenta aunque en pantalla aparezca un número oficial de la entidad.

No es un incidente aislado

Durante octubre de 2026 se han documentado en España llamadas prácticamente idénticas suplantando a otras entidades financieras.

En BandaAncha, por ejemplo, varios usuarios describieron una locución que afirmaba haber detectado una “transferencia inmediata de alto importe” y solicitaba pulsar 1 para cancelarla.

Puede consultarse ese hilo aquí:

BandaAncha · Dos llamadas de estafa recibidas hoy: “le llamamos de BBVA”

Los números mostrados van rotando y, en algunos casos, cuando los afectados han llamado posteriormente a esas numeraciones han respondido particulares que aseguran no haber realizado ninguna llamada.

Esto provoca además un segundo problema: el propietario legítimo del número utilizado como máscara puede convertirse en otra víctima de la campaña. Puede comenzar a recibir llamadas de personas que creen estar devolviendo una comunicación que nunca realizó.

Bloquear individualmente estas numeraciones tampoco resuelve el problema. Si el atacante puede modificar el CLI utilizado en cada grupo de llamadas, hoy puede mostrar el teléfono de una entidad financiera y mañana el de un particular completamente ajeno al fraude.

En este caso concreto, bloquear el 950 210 191 significaría además bloquear un teléfono legítimo de Cajamar.

España ha introducido controles, pero el problema continúa

Desde 2025 existen nuevas obligaciones para los operadores españoles destinadas a reducir la utilización fraudulenta de numeraciones telefónicas.

Entre otras medidas se bloquean determinadas llamadas que presentan:

• Numeraciones no asignadas.
• Identificadores inválidos.
• Determinados CLI incompatibles con la ruta utilizada.
• Llamadas procedentes del extranjero que muestran numeración española, salvo excepciones previstas como determinados escenarios de roaming.

Estas medidas han cerrado algunos de los caminos utilizados tradicionalmente para introducir tráfico telefónico con identificadores falsificados, pero no convierten todavía el número mostrado en nuestro teléfono en una identidad autenticada de extremo a extremo.

La normativa puede consultarse en el BOE:

BOE · Orden TDF/149/2025

Los casos que siguen apareciendo durante 2026 demuestran que el Caller ID Spoofing continúa siendo un problema real en la red telefónica española.

Si recibes una llamada de este tipo, córtala y comprueba tú la operación

Ante una llamada bancaria que anuncie una transferencia, un cargo o cualquier operación urgente, la primera medida debe ser interrumpir la comunicación y comprobar la situación mediante un canal independiente.

No hay que pulsar 1 ni continuar siguiendo las instrucciones de la locución.

Tampoco deben facilitarse:

• Usuario de banca electrónica.
• Contraseña.
• PIN.
• Información de tarjetas.
• Códigos recibidos por SMS.
• Códigos de FirmaMóvil.
• Firmas o autorizaciones de operaciones.
• Cualquier otro dato utilizado para autenticar una operación bancaria.

No deben realizarse transferencias, Bizum, HalCash ni movimientos hacia supuestas cuentas seguras, y tampoco debe instalarse software de acceso remoto solicitado durante la llamada.

La comprobación debe realizarse directamente desde la aplicación oficial o accediendo manualmente a la banca electrónica. Si realmente existe una transferencia de unos 4.000 euros, podremos comprobarla allí.

Si necesitamos contactar con Cajamar, debemos iniciar nosotros una comunicación nueva utilizando un teléfono obtenido directamente de sus canales oficiales.

Comunica el intento a Cajamar aunque no hayas perdido dinero

Cajamar solicita expresamente que se reporten este tipo de llamadas, incluso cuando únicamente se ha producido el intento.

Actualmente la entidad indica el 914 230 029 como teléfono para comunicar intentos sospechosos y enlaza desde sus propios avisos de fraude a un formulario de seguridad.

El formulario oficial puede abrirse aquí:

Cajamar · Formulario para comunicar un incidente o solicitar información de seguridad

Actualmente solicita:

• Nombre y apellidos.
• Correo electrónico.
• Teléfono.
• Tipo de documento.
• Número de documento de identidad.
• Código postal.
• Un campo libre denominado Mensaje.

En ese mensaje conviene aportar información suficiente para que Cajamar pueda relacionar el incidente con otros casos de la misma campaña:

• Fecha y hora aproximadas.
• Número mostrado en pantalla.
• Contenido aproximado de la locución.
• Importe indicado.
• Si se llegó a pulsar alguna opción.
• Si intervino un agente malicioso.
• Si se facilitó algún dato, código o autorización.
• Cualquier otra llamada o mensaje relacionado.

En este caso podría indicarse:

El 30/10/2026 recibí una llamada que mostraba como identificador el número 950 210 191. Una locución automática informó de una supuesta transferencia de aproximadamente 4.000 euros y solicitó pulsar 1 para cancelarla. Considero que se trata de un intento de vishing mediante Caller ID Spoofing utilizando un número legítimo de Cajamar como identidad aparente de la llamada.

Guarda las evidencias antes de borrar nada

INCIBE recomienda recopilar y conservar todas las evidencias disponibles antes de comunicar o denunciar un fraude.

En un caso de vishing como este resulta útil conservar:

• Captura del registro de llamadas.
• Número mostrado.
• Fecha exacta.
• Hora aproximada.
• Duración de la comunicación.
• Contenido que recuerdes de la locución.
• Importe u operación mencionados.
• Cualquier SMS recibido antes o después.
• Números adicionales desde los que se haya vuelto a llamar.
• Capturas o mensajes posteriores.
• Cualquier movimiento bancario relacionado.

Si hubo conversación con un agente malicioso conviene anotar cuanto antes lo que se recuerde: qué afirmaba representar, qué datos conocía, qué operaciones pidió realizar y qué información llegó a facilitarse.

La copia original de las evidencias debe conservarse sin modificar.

INCIBE dispone además del servicio 017, gratuito y confidencial, para recibir ayuda y orientación sobre incidentes de ciberseguridad:

INCIBE · Tu Ayuda en Ciberseguridad 017

También se deben comunicar y denunciar los intentos

No es necesario esperar a sufrir una pérdida económica para poner una campaña de este tipo en conocimiento de las autoridades.

La Guardia Civil recomienda expresamente comunicar los hechos tanto cuando se ha sido víctima como cuando se ha sufrido un intento de estafa.

Denunciar un intento puede resultar útil porque una única llamada puede parecer un incidente aislado, pero múltiples denuncias que comparten la misma locución, la misma entidad suplantada, fechas próximas y un mismo modus operandi permiten relacionar una campaña.

Antes de denunciar conviene llevar:

• Documento de identidad.
• Capturas del registro de llamadas.
• Fecha y hora.
• Número mostrado.
• Mensajes relacionados.
• Información bancaria si existieran operaciones.
• Cualquier otra evidencia disponible.

Para un caso de vishing bancario, la vía más clara es actualmente acudir presencialmente a Policía Nacional o Guardia Civil.

La Oficina Virtual de Denuncias de Policía Nacional no incluye actualmente este tipo de fraude bancario entre las categorías que pueden tramitarse íntegramente online.

La Guardia Civil recomienda igualmente que los delitos relacionados con nuevas tecnologías sean puestos en conocimiento de sus unidades aportando las evidencias disponibles.

Si has facilitado credenciales o códigos, actúa inmediatamente

Si durante la llamada se ha facilitado una contraseña, un código SMS, información de tarjeta, una firma o cualquier otra credencial bancaria, no hay que esperar a comprobar si los atacantes llegan a utilizarla.

Debe contactarse inmediatamente con Cajamar mediante sus canales oficiales y explicar exactamente qué información se ha proporcionado.

Si existe la posibilidad de que los delincuentes hayan conseguido acceso al teléfono o al ordenador mediante una herramienta de control remoto, Cajamar indica contactar cuanto antes con Atención al Cliente en el 950 210 191 para bloquear la banca a distancia.

En esa situación también debe finalizarse cualquier sesión de acceso remoto y revisar el dispositivo desde un entorno seguro.

Si ya existen cargos de tarjeta no autorizados

Cuando ya aparecen operaciones de tarjeta que no hemos realizado, Cajamar dispone de un procedimiento específico.

La entidad recomienda bloquear la tarjeta cuanto antes y utilizar su formulario online de reclamación de operaciones:

Cajamar · Reclamación de operaciones de tarjeta

Cajamar indica también que debe presentarse denuncia ante Policía Nacional o Guardia Civil y enviarse posteriormente una copia a la entidad desde Banca Electrónica.

La ruta indicada es:

Utilidades → Documentos → Envío de documentos

Después debe seleccionarse:

Tipo de documento: Todos

Documento: Otra Documentación

Descripción: Denuncia Policial

y adjuntar el archivo correspondiente.

Este procedimiento no debe confundirse con el formulario general utilizado para comunicar un intento de vishing. Una cosa es informar de una llamada fraudulenta y otra reclamar operaciones económicas que ya se hayan producido.

No bloquees al propietario legítimo pensando que es el delincuente

El Caller ID Spoofing introduce además un problema que merece tenerse presente: el número mostrado puede pertenecer a una persona o empresa completamente ajena al fraude.

Bloquearlo puede impedir que vuelva a aparecer en nuestro teléfono, pero no bloquea necesariamente al atacante, que puede utilizar otro CLI en la siguiente llamada.

En este caso concreto, bloquear el 950 210 191 supondría bloquear un número real de Cajamar.

Por ello, al comunicar o denunciar el incidente no debería afirmarse simplemente que “el fraude procede de este teléfono”, sino explicar correctamente que ese número legítimo fue utilizado como identidad aparente de una llamada fraudulenta mediante Caller ID Spoofing.

El verdadero ataque es contra la confianza

Este fraude funciona porque combina varios elementos que individualmente parecen legítimos: el teléfono real del banco, una locución aparentemente profesional, una operación económica de importe elevado y una solución inmediata para evitar la pérdida.

El atacante no necesita convencernos de que un número desconocido pertenece a Cajamar. Utiliza directamente un número que sí pertenece a Cajamar y se apropia temporalmente de la confianza asociada a él.

Un teléfono puede ser auténtico, pertenecer realmente a una entidad financiera, aparecer correctamente identificado en Internet y responder el banco cuando somos nosotros quienes realizamos una llamada nueva. Ninguna de esas circunstancias autentica necesariamente la comunicación que hemos recibido anteriormente.

Ante una llamada bancaria inesperada que exige actuar con urgencia, la respuesta correcta es cortar la comunicación, comprobar la operación por nuestros propios medios, informar a la entidad, conservar las evidencias y comunicar o denunciar el intento.

En este caso, el número mostrado era verdaderamente de Cajamar; la llamada fraudulenta utilizaba precisamente esa identidad para conseguir que pareciera legítima.