# Suplantación de identidad en las llamadas

La suplantación de identidad en las llamadas (también conocida en inglés como caller ID spoofing) es la práctica de hacer que la red telefónica indique al receptor de la llamada que el origen de esta es una estación que no es la verdadera. Es decir, se hace creer a la otra persona que le están llamando de un determinado sitio cuando no es así. Esto puede llevar a que una pantalla de identificación de llamadas muestre un número de teléfono diferente al del teléfono desde el que se realizó la llamada.
El término se utiliza para describir situaciones en las que el autor tiene una motivación puramente maliciosa.
Un efecto que provoca este tipo de prácticas, como publicó AARP en 2019, "ya no se puede confiar en la identificación de llamadas".

## Historia

La falsificación del identificador de llamadas ha estado disponible durante años para personas con una conexión digital especializada a la compañía telefónica, llamada circuito ISDN PRI. Muchas agencias de cobro, agentes de la autoridad e investigadores privados han utilizado esta práctica, con diversos grados de legalidad. El primer servicio de falsificación de identidades de las llamadas fue lanzado en EE. UU. Star38.com, con sede en California.
En agosto de 2006, la celebridad estadounidense Paris Hilton fue acusada de utilizar la suplantación del identificador de llamadas para acceder a un sistema de correo de voz que utilizaba el identificador de llamadas para la autenticación.
Se pueden exponer numerosos ejemplos sobre este práctica. Por ejemplo, la suplantación de identidad de llamadas también se ha utilizado en estafas de compra en sitios web como Craigslist y eBay. La persona que llama estafando afirma estar llamando desde Canadá a los EE. UU. con un interés legítimo en comprar los artículos anunciados. A menudo, a los vendedores se les solicita información personal, como una copia de un título de registro, etc., antes de que el comprador (estafador) invierta el tiempo y el esfuerzo para ver los artículos en venta.
En las elecciones de 2010 de Misuri, se utilizaron identificaciones de llamadas falsas de compañías de ambulancias y hospitales para que los votantes contestaran el teléfono y así poder conseguir votos por parte de estos.
Por otro lado, una vengativa esposa de Brooklyn se burló del consultorio médico del amante de su esposo en un intento de engañar a la otra mujer para que tomara medicamentos que le provocarían un aborto espontáneo.
Con frecuencia, la suplantación de identidad se utiliza para realizar bromas telefónicas. Por ejemplo, llamar a los cuerpos de seguridad advirtiendo de un delito para que se personen en casas ajenas. En febrero del 2008, en Collegeville, Pensilvania, un hombre fue arrestado por realizar llamadas amenazantes a mujeres, haciéndoles creer que las llamadas venían de su propia casa
En marzo de 2008, varios ciudadanos de la localidad de Wilmington, Delaware, recibieron llamadas de telemercadeo en las primeras horas de la mañana. La persona que llamó había falsificado el origen de las llamadas para recordar el éxito que tuvo el hit de Tommy Tutone titulado "867-5309/Jenny" en 1981.
En el año 2014, se observó un aumento en los vendedores telefónicos ilegales. Estos mostraban el propio número de la víctima, ya sea palabra por palabra o con algunos dígitos aleatorios, como un intento de evadir las listas negras basadas en el identificador de llamadas.
En las elecciones federales canadienses del 2 de mayo de 2011, se realizaron supuestamente tanto llamadas en vivo como robollamadas con una identificación de origen de llamada falsa, con el objetivo de reemplazar la identidad de la persona que llama con la de una persona ficticia (Pierre Poutine de Joliette, Quebec) o disfrazar y esconder las llamadas de un centro de llamadas de Ohio como llamadas nacionales de Peterborough, Ontario.
En junio de 2012, una búsqueda en Google arrojó casi 50.000 quejas por parte de los consumidores que recibieron múltiples y continuadas llamadas de voz sobre IP (VoIP) falsificadas en líneas alquiladas y/o originadas en "Pacific Telecom Communications Group" que está ubicada en Los Ángeles, CA.
Empresas como estas, alquilan miles de números de teléfono a proveedores de correo de voz anónimos que, en combinación con empresas dudosas como "Phone Broadcast Club" (que se encargan de la suplantación de identidad), permiten que el spam telefónico se convierta en un problema cada vez más generalizado y persistente.
En 2013, se denunció el uso engañoso del nombre "Teachers Phone" («Teléfono de los Profesores») en una gran cantidad de robollamadas que ofrecían servicios de tarjetas de crédito como una estrategia para inducir a los familiares de estudiantes a responder a estas llamadas no solicitadas al hacerles creer que provenían de escuelas locales.
El 7 de enero de 2013, el Centro de Quejas de Delitos en Internet emitió una alerta de estafa por varios ataques de denegación de servicio de telefonía (DoS) mediante los cuales los estafadores utilizaron identificadores de llamadas falsificados para hacerse pasar por agentes de policía en un intento de cobrar préstamos de día de pago falsos, y luego realizaban repetidas llamadas de acoso a policía con el número de la víctima a la vista. Si bien este tipo suplantación de las fuerzas de seguridad es relativamente común, otras estafas implicaron hacerse pasar por empresas de servicios públicos para amenazar a las empresas o a los propietarios de viviendas con la desconexión de los servicios del hogar (agua, luz, gas) como un medio para extorsionar y así, poder conseguir un beneficio ilícito de dinero, hacerse pasar por funcionarios de inmigración o hacerse pasar por aseguradoras médicas para obtener datos personales, que posteriormente serán utilizados para su uso en la suplantación de identidad . El identificador de llamadas falso también se ha utilizado en estafas del «familiar en apuros» dirigidas a personas mayores, en que los estafadores se aprovechan de su vulnerabilidad para hacerse pasar por un familiar y solicitando transferencias bancarias.
En 2018 surgió un nuevo término para referirse a un tipo de suplantación de identidad de llamadas que se denominó "suplantación de identidad de vecino". En este, se utiliza el mismo código de área y prefijo telefónico de la persona a la que se llama, o el nombre de una persona o empresa en el área.

## Tecnología y métodos

Son muchas y varias las técnicas y métodos que se utilizan para falsificar el identificador de llamadas. Las formas más populares de falsificar el identificador de llamadas son mediante el uso de líneas VoIP o PRI.

### Voz sobre IP

En el pasado, la suplantación de identidad de llamadas requería un conocimiento avanzado de los equipos de telefonía que podía ser bastante costoso. Sin embargo, esto ya no es tanto así, sino que con un software de código abierto (como Asterisk o FreeSWITCH, y casi cualquier empresa de VoIP ), se pueden falsificar llamadas con costos y esfuerzo mínimos; y no requieren una especialización notoria.
Existen proveedores de servicios de telefonía por internet (VoIP) que ofrecen a sus usuarios la posibilidad de configurar su número telefónico para que aparezca en la pantalla del destinatario durante una llamada. Esta configuración se puede realizar directamente desde la página web del proveedor, sin necesidad de instalar software adicional. Si la identificación del llamante se envía junto con la llamada (en lugar de generarse a partir del número mediante una búsqueda en la base de datos en el destino), se puede configurar la identificación del llamante en un adaptador de teléfono analógico o teléfono SIP que pertenezca al cliente. El nivel de flexibilidad que ofrece el proveedor dependerá de su política y de los servicios que ofrezca. Los proveedores que permiten a los usuarios utilizar su propio dispositivo y que desagregan los servicios para que los números directos de marcado interno puedan compararse por separado a los minutos de llamadas salientes ofrecen un mayor nivel de flexibilidad Un operador que no sigue los estándares de hardware establecidos (como Skype ) o bloquea a los suscriptores fuera de los ajustes de configuración en el hardware que el suscriptor posee directamente (como Vonage) es más restrictivo. Los proveedores que comercializan "VoIP al por mayor" generalmente están destinados a permitir que se envíe cualquier número que se muestre, ya que los revendedores querrán que aparezcan los números de sus usuarios finales.
En circunstancias excepcionales, es posible acceder directamente a un número de teléfono de destino que utiliza voz sobre IP mediante una dirección SIP conocida (que se puede publicar a través de la asignación de números de teléfono ENUM, un registro DNS .tel o ubicarse mediante un intermediario como SIP Broker). Algunos usuarios de Google Voice son accesibles mediante SIP, al igual que todos los números de iNum Initiative en los códigos de país +883 5100 y +888.
La ventaja de utilizar una conexión de VoIP federado a través de internet, es que se pueden realizar llamadas a bajo costo mundial. Sin embargo, también existen desventajas, como la necesidad de tener una conexión a Internet confiable y estable para asegurar la calidad de la llamada, y la posible falta de compatibilidad con algunas aplicaciones de VoIP.

### Proveedores de servicio

Existen servicios de suplantación de identidad que operan de manera similar a una tarjeta telefónica de prepago. Los clientes pagan por adelantado un número de identificación personal (PIN) y luego marcan el número proporcionado por la empresa, junto con su PIN, el número de destino y el número que desean que aparezca como identificador de llamadas. La llamada se conecta en puente o se transfiere, y el número falso elegido por la persona que llama aparece como el identificador de llamadas en la pantalla del destinatario, engañándolo.
Efectivamente, muchos proveedores de servicios de suplantación de identidad también ofrecen una interfaz basada en la web o una aplicación móvil en la que un usuario crea una cuenta, iniciar sesión y proporcionar la información necesaria para realizar una llamada falsificada, como el número de destino y la información de identificación de llamadas falsa que se mostrará. Luego, el servidor realiza una llamada a cada uno de los dos números de punto final y une las llamadas.
Algunos proveedores, además, ofrecen más servicios como la posibilidad de grabar llamadas, de cambiar la voz y enviar mensajes de texto.

### Orange box o caja naranja

Es cierto que existe otro método de suplantación de identidad que se conoce como "caja naranja" y que implica la emulación de la señal Bell 202 FSK . Este método, consiste en utilizar un software para generar una señal de audio que se acopla a la línea telefónica durante la llamada, con el fin de engañar a la persona a la que se llama haciéndole creer que hay una llamada llamada entrante en espera de un número falso.
Este método se considera tanto una técnica de ingeniería social como un truco técnico, ya que depende en gran medida de la astucia del usuario para convencer a la persona a la que se llama de que hay una llamada entrante en espera. A menudo, este método también implica la participación de un cómplice que puede proporcionar una voz secundaria para completar la ilusión de una llamada en espera. Es importante destacar que el uso de la caja naranja para fines ilegales es considerado un delito en muchos países, y su uso puede tener graves consecuencias legales. Además, la caja naranja no es una técnica confiable para suplantar la identidad de un número de teléfono, ya que no puede falsificar realmente un identificador de llamadas entrantes antes de responder. Por lo tanto, se recomienda encarecidamente no utilizar esta técnica para fines ilegales o fraudulentos.
Otros métodos también incluyen acceso de conmutador a la red Signaling System 7 y operadores de compañías telefónicas de ingeniería social, los cuales realizan llamadas por la persona desde un número de teléfono, que es deseado por el cliente.

## Visualización del nombre de la persona que llama

Es importante señalar que el manejo por parte de centrales telefónicas del nombre de la persona que llama también puede variar según el país y la regulación local. Por ejemplo, en algunos países está prohibido mostrar el nombre de la persona que llama sin su consentimiento explícito, mientras que en otros esto es permitido por defecto. Gran parte del equipo fabricado para las empresas de Bell System en los Estados Unidos envía solo el número de la persona que llama a la central distante; ese conmutador debe usar una búsqueda en la base de datos para encontrar el nombre que se mostrará con el número que llama. Los intercambios de líneas fijas canadienses a menudo ejecutan equipos de Nortel que envían el nombre junto con el número. Los intercambios móviles, CLEC, Internet o independientes también varían en el manejo del nombre de la persona que llama, según el fabricante del equipo de conmutación. En general, el manejo del nombre de la persona que llama puede ser una cuestión compleja y variada en función de muchos factores diferentes. Las llamadas entre números en diferentes códigos de países representan una complicación adicional, ya que el identificador de llamadas a menudo muestra la parte local del número que llama sin indicar un país de origen o en un formato que puede confundirse con un número nacional o no válido.
Esto da como resultado múltiples resultados posibles:
* El nombre proporcionado por la persona que llama (en la pantalla de configuración del adaptador de teléfono analógico para usuarios de voz sobre IP o en la interfaz web en un proveedor de suplantación de identidad) se pasa ciegamente textualmente a la parte llamada y puede ser suplantado a voluntad.
* El nombre se genera a partir de la base de datos de una compañía telefónica utilizando el número de identificación de llamadas falsificado.
* Un proveedor de destino puede no mostrar el nombre o solo la ubicación geográfica del código de área del teléfono provisto en el identificador de llamadas ( por ejemplo, "ARIZONA", "CALIFORNIA", "OREGON" u "ONTARIO"). Esto ocurre a menudo cuando el operador de destino es un servicio de bajo costo (como un proveedor de VoIP) que no ejecuta una base de datos o datos obsoletos en los que no se encuentra el número.
* Si el número mostrado está en la libreta de direcciones del destinatario, algunos teléfonos mostrarán el nombre de la libreta de direcciones local en lugar del nombre transmitido. Algunos proveedores de VoIP usan Asterisk (PBX) para brindar una funcionalidad similar en el servidor; esto puede dar lugar a múltiples sustituciones con prioridad para el propio teléfono del usuario de destino como último eslabón de la cadena CNAM.

## Consideraciones legales
### Canadá

La suplantación de identidad de llamadas sigue siendo legal en Canadá y recientemente se ha vuelto tan frecuente que el Centro Canadiense contra el Fraude ha "agregado un mensaje automático a su línea directa de informes de fraude". La CRTC estima que el 40% de las quejas que reciben sobre las llamadas no solicitadas implican la suplantación de identidad. La agencia aconseja a los canadienses que se presenten las debidas quejas sobre este tipo de llamadas. Esta comisión, proporciona una lista de opciones de protección para hacer frente a estas llamadas de suplantación de identidad en su página web web, y, desde julio hasta diciembre de 2015, se realizó una consulta pública para identificar las "soluciones técnicas" más adecuadas y pertinentes para hacerse cargo de este problema que acarrea las sociedades de todo el mundo.
El 25 de enero de 2018, la CRTC fijó como fecha límite el 31 de marzo de 2019 para la implementación de un sistema de autenticación CID. En 2019 la CRTC extendió esta fecha límite y anunció que espera que STIR (/SHAKEN, un sistema de autenticación CID, se implemente antes del 30 de septiembre de 2020. El 15 de septiembre de 2020, la CRTC extendió la fecha objetivo una vez más, cambiándola al 30 de junio de 2021. El CRTC está considerando formalmente hacer obligatoria su fecha objetivo para STIR (estándares de Revisión de identidad telefónica segura) /SHAKEN (acrónimos de Manejo basado en firmas de información afirmada utilizando tokens).
El 19 de diciembre de 2018, la CRTC (Comisión canadiense de radiodifusión y telecomunicaciones) anunció que, a partir de un año a partir de esa fecha, en diciembre de 2019, los proveedores de telefonía del país debían bloquear todas las llamadas con identificadores de llamadas que no se ajusten a los planes de numeración establecidos.

### India

El informe del Departamento de Telecomunicaciones de la India, pone de manifiesto las medidas tomadas por parte del gobierno del país contra los proveedores de servicios de suplantación de CLI:
* Los sitios web que ofrecen servicios de suplantación de identidad de llamadas están bloqueados en India como medida inmediata.
* Los operadores de larga distancia internacional (ILDO), los operadores de larga distancia nacional (NLDO) y los proveedores de servicios de acceso han sido alertados sobre la existencia de dichos servicios de suplantación de identidad y estarán preparados colectivamente para tomar medidas para investigar los casos de suplantación de identificación de llamadas, ya que son informado.
Según el DOT (departamento de telecomunicaciones), y la Ley de Telégrafos de la India, Sección 25(c), el uso del servicio de llamadas suplantadas es ilegal; y el uso de dicho servicio puede dar lugar a multa, a tres años de prisión o ambas sanciones.

### Reino Unido

El término "número de presentación" se utiliza en el Reino Unido para denominar al número falsificado. Esto debe asignarse a la persona que llama o, si se asigna a un tercero, solo debe usarse con el permiso explícito de dicho tercero.
En el país, y a partir de 2016, las empresas que se dedican al sector del marketing están obligadas a mostrar sus números de teléfono. Ofcom puede multar a las empresas infractoras con hasta 2 millones de libras esterlinas.
En 2021, el director de Ofcom (regulador del Reino Unido), Huw Saunders, dijo que la red telefónica actual del país (red telefónica conmutada) se está actualizando a un nuevo sistema (protocolo de voz sobre Internet, conocido como VoIP), que se prevé que este listo para 2025.
Saunders dijo que: "Solo cuando la gran mayoría de las personas utilizan la nueva tecnología (VoIP) podemos implementar un nuevo parche para abordar este problema (de la suplantación de identidad de llamadas)".

### Estados Unidos

Es importante destacar que, si bien la suplantación de identidad de llamadas en sí misma no es ilegal en los Estados Unidos, el uso de esta técnica con fines maliciosos o fraudulentos puede ser considerado delito. No obstante, el estatuto federal, en la Ley de Veracidad en la Identificación de Llamadas de 2009, hace excepciones para ciertos propósitos de aplicación de esta ley.
Las personas que llaman pueden preservar su anonimato al elegir bloquear toda la información de identificación de llamadas salientes en sus líneas telefónicas.
La Ley de Veracidad en la identificación de llamadas de 2009, establece que es ilegal hacer que cualquier servicio de identificación de llamadas transmita información engañosa o inexacta con la intención de defraudar, causar daño u obtener algo de valor indebidamente. Esta ley se aplica tanto a los servicios de telefonía tradicionales como a los servicios de voz sobre IP (VoIP).
Se podrían imponer sanciones de decomiso o multas penales de hasta $10,000 por infracción (sin que excedan los $1,000,000). La ley mantiene una exención para bloquear la propia información de identificación de llamadas salientes y la aplicación de la ley no se ve afectada.
The New York Times utilizó el número 111-111-1111 para ocultar las extensiones de sus reporteros en los registros de llamadas y proteger la identidad de las fuentes anónimas hasta el 15 de agosto de 2011; con la intención de proteger a los reporteros de tener que divulgar las llamadas realizadas a fuentes anónimas . The Times tuvo que abandonar esta práctica debido a los cambios propuestos a la ley de identificación de llamadas y porque muchas empresas estaban bloqueando las llamadas del número conocido.
El marco STIR/SHAKEN . se refiere a un conjunto de estándares técnicos que permiten a los proveedores de servicios de telecomunicaciones autenticar la identidad de los llamantes y garantizar que los números de teléfono de los que provienen las llamadas no hayan sido falsificados. La implementación de STIR/SHAKEN es un esfuerzo importante para combatir la suplantación de identidad en las llamadas telefónicas y reducir el número de llamadas no deseadas o fraudulentas que los consumidores reciben. La FCC ha establecido plazos para que los proveedores de servicios implementen la certificación del identificador de llamadas a través de STIR/SHAKEN en sus redes, comenzando con la implementación de la atestación en las partes IP de sus redes para el 30 de junio de 2021.
La Ley TRACED fue aprobada el 1 de agosto de 2019, la FCC votó para extender la Ley de Veracidad en la Identificación de Llamadas a llamadas y mensajes de texto internacionales. El Congreso aprobó la Ley TRACED (Telephone Robocall Abuse Criminal Enforcement and Deterrence) en 2019, que hace obligatoria la autenticación del identificador de llamadas.

### España

Principalmente, donde más casos se han registrado han sido en las provincias de Almería, Granada, Jaén y Málaga. Estos sucesos se caracterizan por la presencia de una supuesta operadora que solicita a los usuarios sus claves de acceso al portal digital de la banca en línea para anular una supuesta intromisión cuando, en realidad, se busca conseguir un beneficio patrimonial sin el consentimiento de las víctimas.
En España, a nivel mediático, han sido conocidos pocos casos de ID Caller Spoofing, y todos relacionados con entidades bancarias para hacerse con los datos personales y, así, conseguir beneficio económico ilícito.
No obstante, si que siguen siendo recurrentes los casos de SMS Spoofing o Smishing, y también el denominado Vishing; como es el caso de Unicaja Banco.

#### Recomendaciones de la Policía

Las autoridades recomiendan no prestar atención y hacer caso omiso de este tipo de llamadas, ya que insisten en que las entidades bancarias jamás requieren a sus clientes, ni los datos de sus tarjetas, ni los personales, ni las claves o contraseñas de la banca digital; por medio de comunicaciones orales o escritas.
Se aconseja ponerse en contacto inmediato con la entidad bancaria y la correspondiente denuncia en los casos en los que sea procedente.