Llamadas falsificadas (Caller ID Spoofing), numeración pública y el peligro de las líneas recicladas en OSINT

Cuando suena tu teléfono y en la pantalla aparece el número oficial de una institución bancaria o dependencia gubernamental, es natural asumir que la llamada proviene de esa entidad. Sin embargo, en la arquitectura de las telecomunicaciones modernas, el identificador de llamadas tradicional (Caller ID) fue diseñado como una etiqueta informativa y no como un certificado criptográfico de identidad.

En esta entrega de nuestra serie Knowledge is free explicamos cómo funciona técnicamente la suplantación telefónica (Caller ID Spoofing), qué información pública puede obtenerse legítimamente de un número a diez dígitos y por qué el reciclaje de líneas telefónicas es una de las mayores fuentes de falsos positivos en investigaciones de fuentes abiertas (OSINT).

1. Por qué es posible falsificar el identificador en llamadas SIP / VoIP

En las redes de voz sobre IP gobernadas por el protocolo SIP (Session Initiation Protocol, IETF RFC 3261), el establecimiento de una llamada inicia con un paquete INVITE. Dentro de ese paquete viajan cabeceras de texto como From o P-Asserted-Identity, que indican a la red de destino qué nombre y número mostrar en la pantalla del receptor:

INVITE sip:+525500009999@carrier.example SIP/2.0
From: "Soporte Bancario" <sip:+525500001234@trunk-unverified.example>

Si una central telefónica (PBX) o un proveedor de tránsito VoIP internacional no valida que su cliente tenga asignado legalmente ese número antes de reenviar el paquete a la red pública conmutada, el campo From llega intacto hasta la pantalla de la víctima.

2. El estándar criptográfico STIR/SHAKEN (RFC 8224 y RFC 8225)

Para corregir esta vulnerabilidad histórica, la industria desarrolló el conjunto de estándares STIR/SHAKEN (IETF RFC 8224 y RFC 8225). Mediante este mecanismo, el operador telefónico donde se origina la llamada agrega una cabecera Identity que contiene un token PASSporT firmado digitalmente con criptografía de clave pública y clasifica la llamada en tres niveles de atestación:

• Atestación Completa (Nivel A): el operador autentica al suscriptor que origina la llamada y verifica que tiene derecho legítimo a utilizar ese número telefónico.
• Atestación Parcial (Nivel B): el operador autentica al cliente empresarial o troncal de origen, pero no puede confirmar individualmente el número específico presentado.
• Atestación de Pasarela (Nivel C): la llamada ingresa desde una pasarela internacional o red interconectada sin posibilidad de verificar el origen; es el escenario típico donde prospera el spoofing.

Dado que la adopción de STIR/SHAKEN aún no es uniforme en todas las interconexiones globales, la regla operativa de defensa es estricta: nunca entregues contraseñas, códigos OTP ni autorices transferencias durante una llamada entrante. Cuelga de inmediato y marca tú mismo al número impreso al reverso de tu tarjeta bancaria; al originar tú la llamada, las tablas de enrutamiento de la red te conectarán exclusivamente con la institución real.

3. Qué revela la estructura pública de un número y el riesgo de las líneas recicladas

Cuando un analista examina un número telefónico desde fuentes abiertas, el punto de partida técnico no es instalar aplicaciones invasivas, sino consultar el Plan Técnico Fundamental de Numeración (administrado en México por el IFT). La estructura de 10 dígitos permite determinar públicamente y sin vulnerar datos personales:

• El NIR (Número de Identificación de Región) de 2 o 3 dígitos que identifica la zona geográfica original.
• La serie y el bloque numérico asignado.
• La modalidad de la línea (telefonía fija o móvil) y el concesionario u operador que administra el bloque.

Sin embargo, existe un fenómeno crítico que todo investigador debe contemplar: el reciclaje de líneas. Cuando un usuario cancela su línea o deja de recargar un chip de prepago, el número entra en un periodo de cuarentena e inactividad tras el cual la compañía telefónica vuelve a ponerlo a la venta para un cliente completamente nuevo.

4. Higiene de privacidad y correlación temporal en ciberinteligencia

El reciclaje numérico explica por qué las búsquedas superficiales en internet o en bases de datos antiguas suelen fracasar: si un número estuvo vinculado a una cuenta o incidente en 2021 pero la línea fue dada de baja y reasignada en 2024, atribuir esos registros históricos al titular actual constituye un falso positivo grave.

Asimismo, recomendamos evitar las aplicaciones móviles que prometen mostrar el nombre de cualquier número a cambio de acceder a tu libreta de contactos: su modelo de negocio consiste en copiar toda la agenda de tu teléfono (incluyendo nombres completos, cargos y números privados de tu empresa o familia) hacia servidores de terceros.

En ViciousByte aplicamos metodologías de ciberinteligencia y peritaje informático basadas en correlación temporal estricta: validamos la ventana de activación de cada identificador, descartamos suplantaciones de señalización y protegemos a organizaciones contra campañas de ingeniería social telefónica (vishing).