La suplantación de identidad de llamadas es un ataque de suplantación de identidad que hace que el identificador de llamadas de la red telefónica indique al receptor de una llamada que el autor de la llamada es una estación distinta de la verdadera estación de origen. Esto puede provocar que en la pantalla se muestre un número de teléfono diferente al del teléfono desde el que se realizó la llamada. [1]
El término se utiliza comúnmente para describir situaciones en las que el autor considera que la motivación es maliciosa.
Un efecto de la disponibilidad generalizada de la suplantación de identidad de llamadas es que, como publicó AARP en 2019, "ya no se puede confiar en la identificación de llamadas". [2] [3]
La suplantación de identidad de llamadas ha estado disponible durante años para personas con una conexión digital especializada a la compañía telefónica, llamada circuito ISDN PRI . Agencias de cobranza, funcionarios encargados de hacer cumplir la ley e investigadores privados han utilizado esta práctica, con distintos grados de legalidad. El primer servicio convencional de suplantación de identidad de llamadas fue lanzado en todo Estados Unidos el 1 de septiembre de 2004 por Star38.com, con sede en California. [4] Fundado por Jason Jepson, [5] fue el primer servicio que permitió realizar llamadas falsas desde una interfaz web. Dejó de ofrecer servicios en 2005, cuando se lanzaron un puñado de sitios similares. [ dieciséis]
En agosto de 2006, Paris Hilton fue acusada de utilizar la suplantación del identificador de llamadas para entrar en un sistema de correo de voz que utilizaba el identificador de llamadas para la autenticación. [7] La suplantación de identidad de llamadas también se ha utilizado en estafas de compras en sitios web como Craigslist y eBay. La persona que llama estafa afirma estar llamando desde Canadá a los EE. UU. con un interés legítimo en comprar los artículos anunciados. A menudo se solicita a los vendedores información personal, como una copia de un título de registro, etc., antes de que el comprador (estafador) invierta tiempo y esfuerzo en venir a ver los artículos a la venta. En las elecciones de 2010, se utilizaron identificadores de llamadas falsos de compañías de ambulancias y hospitales en Missouri para lograr que los votantes potenciales contestaran el teléfono. [8] En 2009, una vengativa esposa de Brooklyn falsificó el consultorio médico de la amante de su marido en un intento de engañar a la otra mujer para que tomara medicamentos que le provocarían un aborto espontáneo. [9]
La suplantación del identificador de llamadas se ha utilizado para llamadas de broma , a veces con consecuencias devastadoras. En diciembre de 2007, un hacker utilizó un servicio de suplantación de identidad de llamadas y fue arrestado por enviar un equipo SWAT a la casa de una víctima desprevenida. [10] En febrero de 2008, un hombre de Collegeville, Pensilvania , fue arrestado por hacer llamadas telefónicas amenazantes a mujeres y hacer que los números de sus casas aparecieran "en su identificador de llamadas para que pareciera que la llamada provenía del interior de la casa". [11]
En marzo de 2008, varios residentes de Wilmington, Delaware , informaron haber recibido llamadas de telemercadeo durante las primeras horas de la mañana, cuando la persona que llamó aparentemente había falsificado el identificador de llamadas para evocar el éxito de Tommy Tutone de 1981 " 867-5309/Jenny ". En 2014, se observó un aumento de vendedores telefónicos ilegales que mostraban el propio número de la víctima, ya sea palabra por palabra o con unos pocos dígitos aleatorios, como un intento de evadir las listas negras basadas en el identificador de llamadas. [12]
En las elecciones federales canadienses del 2 de mayo de 2011 , se alega que tanto las llamadas en vivo como las llamadas automáticas se realizaron con un identificador de llamadas falso, ya sea para reemplazar la identidad de la persona que llama con la de una persona ficticia ( Pierre Poutine de Joliette, Quebec ) [13] o para disfrazar llamadas de un centro de llamadas de Ohio como llamadas nacionales de Peterborough, Ontario . Ver escándalo de Robocall .
En junio de 2012, una búsqueda en Google arrojó cerca de 50.000 quejas de consumidores de personas que recibían múltiples llamadas continuas falsas de voz sobre IP (VoIP) en líneas alquiladas/procedentes de "Pacific Telecom Communications Group" ubicado en Los Ángeles, CA (en una tienda de buzones de correo). , en aparente violación de las reglas de la FCC. Empresas como estas alquilan miles de números de teléfono a proveedores anónimos de correo de voz que, en combinación con empresas dudosas como "Phone Broadcast Club" (que hacen la suplantación de identidad), permiten que el spam telefónico se convierta en un problema cada vez más generalizado y generalizado. En 2013, se informó que el nombre engañoso de la persona que llamaba "Teachers Phone" se informó en una gran cantidad de llamadas automáticas que anunciaban servicios de tarjetas de crédito como una artimaña para engañar a las familias de los estudiantes para que respondieran las llamadas no deseadas con la creencia errónea de que eran de escuelas locales. [14]
El 7 de enero de 2013, el Centro de Denuncias de Delitos en Internet emitió una alerta de estafa por varios ataques de denegación de servicio telefónico mediante los cuales los estafadores utilizaban identificadores de llamadas falsos para hacerse pasar por policías en un intento de cobrar préstamos de día de pago falsos y luego realizaban repetidas llamadas de acoso a policía con el número de la víctima mostrado. [15] Si bien la suplantación de policías es común, [16] [17] otras estafas involucraron hacerse pasar por compañías de servicios públicos para amenazar a las empresas o a los hogares con la desconexión [18] como medio para extorsionar dinero, [19] hacerse pasar por funcionarios de inmigración [20] o hacerse pasar por aseguradoras médicas para obtener datos personales para su uso en el robo de identidad . [21] El identificador de llamadas falso también se ha utilizado en estafas a abuelos , que se dirigen a las personas mayores haciéndose pasar por miembros de la familia y solicitando transferencias bancarias de dinero. [22]
En 2018, un método de suplantación de identidad de llamadas se denominó "suplantación de identidad de vecino", utilizando el mismo código de área y prefijo telefónico de la persona a la que se llamaba, o el nombre de una persona o empresa en el área. [23]
El identificador de llamadas se falsifica mediante una variedad de métodos y diferentes tecnologías. Las formas más populares de suplantar el identificador de llamadas son mediante el uso de líneas VoIP o PRI .
En el pasado, la suplantación de identidad de llamadas requería un conocimiento avanzado del equipo de telefonía que podía resultar bastante costoso. Sin embargo, con software de código abierto (como Asterisk o FreeSWITCH , y casi cualquier empresa de VoIP ), se pueden falsificar llamadas con costos y esfuerzo mínimos.
Algunos proveedores de VoIP permiten al usuario configurar el número que se muestra como parte de la página de configuración en la interfaz web del proveedor. No se requiere software adicional. Si el nombre de la persona que llama se envía con la llamada (en lugar de generarse a partir del número mediante una búsqueda en la base de datos en el destino), se puede configurar como parte de la configuración en un adaptador de teléfono analógico o teléfono SIP propiedad del cliente . El nivel de flexibilidad depende del proveedor. Un proveedor que permita a los usuarios traer su propio dispositivo y desagregar el servicio para que los números de marcación interna directa puedan comprarse por separado de los minutos de llamadas salientes será más flexible. Un proveedor que no sigue los estándares de hardware establecidos (como Skype ) o bloquea a los suscriptores fuera de los ajustes de configuración del hardware que el suscriptor posee directamente (como Vonage ) es más restrictivo. Los proveedores que comercializan "VoIP al por mayor" suelen permitir el envío de cualquier número mostrado, ya que los revendedores querrán que aparezcan los números de sus usuarios finales.
En casos excepcionales, se puede acceder a un número de destino atendido por voz sobre IP directamente en una dirección SIP conocida (que puede publicarse a través del mapeo de números de teléfono ENUM , un registro DNS .tel o ubicarse mediante un intermediario como SIP Broker). Algunos usuarios de Google Voice son accesibles directamente a través de SIP , al igual que todos los números de la Iniciativa iNum en los códigos de país +883 5100 y +888. Como esquema VoIP federado que proporciona una conexión directa a Internet que no pasa a través de una puerta de enlace de señalización a la red telefónica pública conmutada , comparte las ventajas (acceso ilimitado casi gratuito en todo el mundo) y desventajas (aplicaciones Ernet).
Algunos servicios de suplantación de identidad funcionan de manera similar a una tarjeta telefónica prepaga . Los clientes pagan por adelantado un número de identificación personal (PIN). Los clientes marcan el número que les proporciona la empresa, su PIN, el número de destino y el número que desean que aparezca como identificador de llamadas. La llamada se puentea o transfiere y llega con el número falso elegido por la persona que llama, engañando así a la persona llamada.
Muchos proveedores también proporcionan una interfaz basada en web o una aplicación móvil donde un usuario crea una cuenta, inicia sesión y proporciona un número de origen, un número de destino y la información falsa de identificación de llamadas que se mostrará. Luego, el servidor realiza una llamada a cada uno de los dos números de punto final y une las llamadas.
Algunos proveedores ofrecen la posibilidad de grabar llamadas, cambiar la voz y enviar mensajes de texto . [24]
Otro método de suplantación de identidad es el de emular la señal FSK del Bell 202 . Este método, informalmente llamado boxeo naranja , utiliza un software que genera la señal de audio que luego se acopla a la línea telefónica durante la llamada. El objetivo es engañar a la parte llamada haciéndole creer que hay una llamada entrante en espera procedente del número falso, cuando en realidad no hay ninguna nueva llamada entrante. Esta técnica a menudo también involucra a un cómplice que puede proporcionar una voz secundaria para completar la ilusión de una llamada en espera. Debido a que el cuadro naranja realmente no puede falsificar el identificador de llamadas entrantes antes de responder y depende hasta cierto punto de la astucia de la persona que llama, se considera tanto una técnica de ingeniería social como un truco técnico.
Otros métodos incluyen acceso mediante conmutador a la red Signaling System 7 y operadores de compañías telefónicas de ingeniería social, que realizan llamadas por usted desde el número de teléfono deseado.
Los fabricantes de equipos de centrales telefónicas varían en su manejo de la visualización del nombre de la persona que llama. Gran parte del equipo fabricado para las empresas Bell System en los Estados Unidos envía sólo el número de la persona que llama a la central distante; ese conmutador debe luego utilizar una búsqueda en la base de datos para encontrar el nombre que se mostrará con el número de llamada. Las centrales telefónicas fijas canadienses suelen utilizar equipos Nortel que envían el nombre junto con el número. Las centrales móviles , CLEC , Internet o independientes también varían en el manejo del nombre de la persona que llama, según el fabricante del equipo de conmutación. Las llamadas entre números en diferentes códigos de países representan una complicación adicional, ya que el identificador de llamadas a menudo muestra la parte local del número que llama sin indicar un país de origen o en un formato que puede confundirse con un número nacional o no válido.
Esto da como resultado múltiples resultados posibles:
La suplantación del identificador de llamadas sigue siendo legal en Canadá y recientemente se ha vuelto tan frecuente que el Centro Canadiense Antifraude ha "agregado un mensaje automatizado sobre [la práctica] a su línea directa de denuncia de fraude". [26] La CRTC estima que el 40% de las quejas que reciben sobre llamadas no solicitadas involucran suplantación de identidad. [27] La agencia aconseja a los canadienses presentar quejas sobre este tipo de llamadas, [28] proporciona una lista de opciones de protección para tratarlas en su sitio web, [29] y, de julio a diciembre de 2015, llevó a cabo una consulta pública para identificar "técnicos soluciones" para abordar el problema. [27] [29] [30]
El 25 de enero de 2018, la CRTC fijó como fecha objetivo el 31 de marzo de 2019 para la implementación de un sistema de autenticación CID. [31] [32] El 9 de diciembre de 2019, la CRTC extendió esta fecha, anunciando que esperan que STIR/SHAKEN , un sistema de autenticación CID, se implemente antes del 30 de septiembre de 2020. [33] [34] El 15 de septiembre, En 2020, la CRTC extendió la fecha objetivo una vez más, cambiándola al 30 de junio de 2021. [35] La CRTC está considerando formalmente hacer obligatoria su fecha objetivo para STIR/SHAKEN. [36] [35]
El 19 de diciembre de 2018, la CRTC anunció que a partir de un año a partir de esa fecha, los proveedores de telefonía deberán bloquear todas las llamadas con identificadores de llamadas que no se ajusten a los planes de numeración establecidos. [37]
Según un informe del Departamento de Telecomunicaciones de la India, el gobierno de la India ha tomado las siguientes medidas contra los proveedores de servicios de suplantación de CLI:
Según el DOT, el uso de un servicio de llamadas falsificado es ilegal según la Ley de Telégrafos de la India, artículo 25 (c). El uso de dicho servicio puede conllevar una multa, tres años de prisión o ambas.
En el Reino Unido, el número falsificado se denomina "número de presentación". Esto debe asignarse a la persona que llama o, si se asigna a un tercero, solo debe usarse con el permiso explícito del tercero. [39]
A partir de 2016, las empresas de marketing directo estarán obligadas a mostrar sus números de teléfono. Ofcom puede multar a las empresas infractoras con hasta 2 millones de libras esterlinas . [40]
En 2021, Huw Saunders, director de Ofcom, el regulador del Reino Unido, dijo que la red telefónica actual del Reino Unido (red telefónica pública conmutada) se está actualizando a un nuevo sistema (voz sobre protocolo de Internet), que debería estar operativo en 2025. Saunders dijo: "Sólo cuando la gran mayoría de las personas utilicen la nueva tecnología (VOIP) podremos implementar un nuevo parche para abordar este problema [de suplantación de identidad de llamadas]". [41]
En noviembre de 2022, Lindsey Fussell, directora del grupo de redes y comunicaciones de Ofcom, comentó sobre los esfuerzos en curso para combatir la suplantación de llamadas en el Reino Unido. Fussell enfatizó los desafíos inherentes a la implementación de nuevas medidas para bloquear llamadas falsificadas, y destacó la importancia de no afectar las comunicaciones legítimas. Sus comentarios resaltan la necesidad de un enfoque equilibrado y una colaboración continua entre las partes interesadas para adaptarse a las tácticas cambiantes de los estafadores. [42]
La suplantación del identificador de llamadas es generalmente legal en los Estados Unidos a menos que se haga "con la intención de defraudar, causar daño u obtener indebidamente algo de valor". El estatuto federal pertinente, la Ley de Veracidad en el Identificador de Llamadas de 2009 , hace excepciones para ciertos fines de aplicación de la ley. Las personas que llaman también pueden preservar su anonimato eligiendo bloquear toda la información de identificación de llamadas salientes en sus líneas telefónicas.
Según la ley, que también apunta a los servicios VoIP, es ilegal "hacer que cualquier servicio de identificación de llamadas transmita a sabiendas información de identificación de llamadas engañosa o inexacta con la intención de defraudar, causar daño u obtener indebidamente algo de valor...". Se podrían imponer sanciones o multas penales de hasta $10,000 por infracción (sin exceder $1,000,000). [24] La ley mantiene una exención para bloquear la propia información de identificación de llamadas salientes, y la aplicación de la ley no se ve afectada. [43] [44]
El New York Times envió el número 111-111-1111 para todas las llamadas realizadas desde sus oficinas hasta el 15 de agosto de 2011. El número falso tenía como objetivo evitar que las extensiones de sus reporteros aparecieran en los registros de llamadas y así proteger a los reporteros de tener que divulgar llamadas realizadas a fuentes anónimas . El Times abandonó esta práctica debido a los cambios propuestos a la ley de identificación de llamadas y porque muchas empresas estaban bloqueando las llamadas del número conocido. [45]
A partir de mediados de 2017, la FCC impulsó la certificación de identificación de llamadas implementada mediante un marco conocido como STIR/SHAKEN . [46] [47] SHAKEN/STIR son acrónimos de Manejo basado en firmas de información afirmada usando toKEN (SHAKEN) y los estándares Secure Telephone Identity Revisited (STIR). La FCC ha ordenado que los proveedores de telecomunicaciones implementen la certificación de identificación de llamadas basada en STIR/SHAKEN en las partes IP de sus redes a más tardar el 30 de junio de 2021. [46]
El 1 de agosto de 2019, la FCC votó para extender la Ley de Veracidad en el Identificador de Llamadas a llamadas internacionales y mensajes de texto. [48] El Congreso aprobó la Ley TRACED en 2019, que hace obligatoria la autenticación del identificador de llamadas. [49]
No puedes confiar en el identificador de llamadas... entonces, ¿cómo puedes detener el timbre incesante?
