No. Una llamada de voz normal no instala nada en tu móvil: transporta audio y poco más. Los casos que la prensa llamó «hackeo por llamada» fueron fallos concretos ya corregidos, como el de WhatsApp en 2019. El riesgo real hoy es que te convenzan durante la conversación.

Una llamada de voz normal no instala nada en tu móvil

Seguro que has recibido decenas de llamadas de números raros y te has quedado con la duda de si descolgar era mala idea. Te tranquilizo: no lo es. Una llamada de voz es un canal de audio. Tu teléfono la reproduce por el altavoz y graba lo que dices por el micrófono, pero no recibe por ahí ningún programa que pueda ejecutarse solo.

El bulo de «te hackean con una llamada» sobrevive porque mezcla dos cosas muy distintas. Una es la llamada como canal técnico, que es inofensiva. La otra es la llamada como excusa para hablar contigo, que es donde está el problema de verdad. Un delincuente que consigue diez minutos de tu atención tiene muchísimo más poder que cualquier paquete de datos que pueda enviarte.

Dicho esto, hay un matiz honesto que casi nadie cuenta y que sí importa: en el pasado ha habido fallos de programación concretos en las apps que gestionan las llamadas. No eran magia ni valían para cualquier teléfono. Eran errores en una versión concreta de una app concreta, y se arreglaron. Vamos con ellos, porque son los que alimentan el mito.

Los casos reales que sí existieron, y en qué estado están

Cuando leíste que a alguien le habían entrado en el móvil «con una llamada perdida», probablemente hablaban de esto. Son dos casos, los dos de 2019, los dos documentados con su identificador y los dos corregidos hace años.

El fallo de las llamadas de WhatsApp (CVE-2019-3568)

Este es el caso canónico y el que dio pie a todos los titulares. Según la ficha del National Vulnerability Database, se trataba de un desbordamiento de búfer en la pila VOIP de WhatsApp que permitía la ejecución remota de código mediante una serie de paquetes RTCP especialmente diseñados y enviados a un número de teléfono. En cristiano: alguien podía llamarte, tú no tenías ni que descolgar, y el código llegaba camuflado en el tráfico de la llamada.

La ficha se publicó el 14 de mayo de 2019 y la vulnerabilidad tiene una puntuación CVSS 3.1 de 9,8 sobre 10, la franja crítica. Y ahora la parte que importa: está corregida desde ese mismo mes. El propio fabricante detalla las versiones afectadas, que son las anteriores a la 2.19.134 de WhatsApp para Android, la 2.19.44 de WhatsApp Business para Android y la 2.19.51 de WhatsApp para iOS. Cualquier versión igual o posterior a esas no es vulnerable a esto.

El fallo figura además en el catálogo de vulnerabilidades explotadas conocidas de CISA, donde se incorporó el 19 de abril de 2022. Que esté ahí significa que se llegó a usar de verdad contra objetivos reales, no que siga siendo aprovechable hoy.

El fallo de FaceTime en grupo (CVE-2019-6223)

El otro caso famoso es de unos meses antes y conviene contarlo porque demuestra bien la diferencia entre escuchar e instalar. Era un fallo lógico en la gestión de las llamadas de FaceTime en grupo por el cual, según la descripción oficial, quien iniciaba la llamada podía conseguir que el destinatario la descolgara. O sea, se oía lo que pasaba al otro lado antes de que nadie respondiera.

Es feo y es un problema de privacidad serio, pero fíjate en lo que no hacía: no metía ningún programa en el iPhone de nadie. La ficha se publicó el 5 de marzo de 2019 y Apple lo corrigió en iOS 12.1.4 y en la actualización suplementaria de macOS Mojave 10.14.3.

Los dos casos comparten moraleja, y es la única acción concreta que sale de este apartado: los fallos de este tipo se arreglan con una actualización. Por eso insisto tanto en mantener el sistema y las apps al día, que es el escudo más barato que existe.

El vector que sí funciona hoy: te lo pides tú mismo

Aquí está la parte útil del artículo. Si alguien va a sacarte dinero o datos a través de una llamada en 2026, no va a ser explotando un fallo de software. Va a ser hablando contigo. Esa técnica tiene nombre y se llama vishing.

INCIBE la define como una técnica de ingeniería social para engañar a los usuarios mediante llamadas telefónicas fraudulentas y obtener información personal, guiarles para que descarguen e instalen programas maliciosos o conseguir que hagan algún pago. Y detalla quiénes fingen ser: bancos, servicios de atención al cliente de empresas conocidas, entidades públicas y soportes técnicos. Esos son los cuatro disfraces que cita, y con ellos se cubre casi todo lo que te va a sonar el teléfono.

El número que ves en pantalla puede ser falso

Esto descoloca a mucha gente y es la razón de que caiga gente muy espabilada. Se llama spoofing telefónico y consiste en manipular el identificador de llamada para que en tu pantalla aparezca el número o el nombre de una empresa de confianza. Tu móvil puede mostrarte literalmente el número real de tu banco, el mismo que tienes guardado en la agenda, y estar hablando con un delincuente.

La consecuencia práctica es directa: el número que aparece en la pantalla no prueba absolutamente nada. INCIBE lo resume en una frase que merece la pena memorizar, y es que si recibes una llamada sospechosa cuelgues y llames tú directamente usando el número oficial que figura en la web de la entidad o en documentos anteriores.

«Instala esta app para que te lo arregle»

Este es el guion del falso soporte técnico y también el del falso empleado de banco. Te llaman alarmados, te dicen que hay un cargo raro o un virus, y te guían para que instales una aplicación de escritorio remoto como AnyDesk, TeamViewer o alguna equivalente. Ojo, que estas herramientas son legítimas y se usan a diario en el trabajo. El problema no es la app, es quién está al otro lado.

No es teoría. INCIBE-CERT publicó el 14 de abril de 2026 el desmantelamiento de una red internacional de vishing, reportado el 18 de marzo de ese año, cuyos integrantes se hacían pasar por policías o por empleados bancarios y pedían a las víctimas instalar precisamente AnyDesk, lo que les permitía controlar los dispositivos y acceder a las cuentas bancarias en tiempo real. Las víctimas acababan autorizando transferencias o facilitando códigos de seguridad ellas mismas.

Grábate esto: nadie, nunca, en ninguna circunstancia legítima, necesita que instales una app para ayudarte por teléfono. Ni tu banco, ni la policía, ni tu operadora. Si te lo piden, es un fraude. Punto.

«Dime el código que te acaba de llegar»

La otra pata del fraude es el código de un solo uso, ese número de seis cifras que te llega por SMS o por la app del banco cuando se autoriza una operación. Ese código no es una molestia burocrática: es la firma de la operación. Cuando lo dictas por teléfono estás firmando lo que sea que haya al otro lado, normalmente una transferencia o el alta de un dispositivo nuevo en tu cuenta.

La regla de INCIBE es tajante y no admite excepciones: los bancos y las instituciones serias nunca te van a pedir por teléfono contraseñas, números completos de tarjeta ni códigos de verificación. Si alguien te pide un código, ya sabes con quién estás hablando. Y da igual que la petición llegue por teléfono, por mensaje o por chat: el código no sale de tu pantalla.

La voz clonada, que es lo nuevo

Esta variante es la que más me preocupa porque desarma el instinto. Los delincuentes usan software de clonación de voz para generar audio sintético que suena igual que una persona concreta. INCIBE documentó un caso real el 18 de junio de 2024 en el que se suplantó la voz de un familiar de la víctima, y su análisis apunta a que con herramientas basadas en inteligencia artificial bastan unos pocos segundos de grabación para generar un audio suplantando esa voz.

Como el reconocimiento de la voz es lo primero que usamos para fiarnos de alguien, la defensa no puede ser auditiva. Tiene que ser un procedimiento: si alguien de tu entorno te pide dinero con urgencia por teléfono, cuelga y llama tú a su número de siempre antes de mover un euro. Una palabra pactada con la familia para estas situaciones tampoco es paranoia, es sentido común barato.

Lo que has oído y lo que ocurre de verdad

Te resumo en una tabla todo lo anterior, porque es la parte que conviene tener a mano el día que suene el teléfono.

Señales de que algo va mal en tu móvil

Si después de una llamada rara te has quedado intranquilo, hay indicios que conviene mirar. Ninguno es concluyente por separado, así que no te alarmes por uno suelto: es la acumulación de dos o tres lo que debe hacerte sospechar.

El sobrecalentamiento sin motivo es el clásico. Que el teléfono se caliente jugando o al sol es normal; que arda en el bolsillo sin que estés haciendo nada apunta a algo trabajando en segundo plano. Lo mismo vale para la batería y los datos: si el consumo se dispara de un día para otro sin que hayas cambiado tus hábitos, revisa en los ajustes qué aplicación está arriba del todo en la lista de consumo. Si no es una de las que usas a diario, ya tienes por dónde tirar.

Merece la pena que revises dos sitios más que la gente casi nunca mira. El primero es el permiso de accesibilidad, pensado para lectores de pantalla y apps de asistencia, porque una aplicación que lo tiene puede leer lo que aparece en pantalla. El segundo es la lista de aplicaciones con permisos de administrador del dispositivo. En los dos casos, si ves ahí algo que no reconoces o que no instalaste tú, revócalo. Te dejo también la guía completa sobre cómo saber si te espían el móvil y una lista de aplicaciones peligrosas que conviene desinstalar.

El desvío de llamadas es otro punto ciego. Si alguien te dice que al llamarte le sale un mensaje extraño y tú no has activado ningún desvío, compruébalo en los ajustes de la app de teléfono.

Cómo protegerte y qué hacer si ya has picado

La prevención cabe en cinco hábitos y ninguno cuesta dinero:

• Cuelga y llama tú. Ante cualquier llamada que te pida datos, dinero o instalaciones, corta y marca el número oficial del reverso de tu tarjeta o de la web de la entidad. Que te insistan en que no cuelgues es, en sí mismo, la señal más fiable de fraude.
• No dictes códigos ni contraseñas por teléfono. No hay ni una sola situación legítima que lo requiera.
• No instales nada durante una llamada. Ni apps de escritorio remoto, ni «certificados de seguridad», ni herramientas de diagnóstico.
• Mantén el sistema actualizado y descarga solo desde Google Play o la App Store. Es lo que cierra los fallos tipo CVE de los que hablábamos arriba, y de paso te conviene saber qué es la certificación de Play Protect y cómo se comprueba.
• Activa la verificación en dos pasos en el banco, el correo y las redes sociales, y revisa de vez en cuando qué dispositivos tienen la sesión abierta.

Si ya has dado datos, dictado un código o instalado algo, el orden importa y la velocidad más. Llama primero a tu banco por el canal oficial para bloquear tarjetas y frenar cualquier operación en curso. Desinstala después la aplicación que te hicieron poner y revoca sus permisos de accesibilidad y de administrador. Cambia las contraseñas desde otro dispositivo que sepas limpio, no desde el móvil sospechoso. Si la cosa ha ido lejos, guarda lo importante y plantéate restaurar el teléfono a valores de fábrica, que borra de un plumazo cualquier programa que hubiera quedado dentro.

Y denuncia, aunque te dé pereza o vergüenza. En España puedes llamar al 017 de INCIBE, un servicio gratuito y confidencial que atiende de 8:00 a 23:00 los 365 días del año y que te orienta sobre los pasos a seguir. Para la denuncia formal, la Policía Nacional y la Guardia Civil tienen unidades especializadas en delitos telemáticos y puedes presentarla en cualquier comisaría o cuartel.

Preguntas frecuentes

¿Pueden hackearme el móvil solo con descolgar una llamada?

No. Una llamada de voz es un canal de audio y no ejecuta programas en tu teléfono. Puedes contestar a un número desconocido con tranquilidad. Lo que sí debe ponerte en guardia es todo lo que venga después: peticiones de datos, de códigos, de instalar aplicaciones o de hacer transferencias.

¿Y lo del hackeo por llamada de WhatsApp?

Existió y está corregido. Es el CVE-2019-3568, un desbordamiento de búfer en la pila VOIP de WhatsApp que permitía ejecutar código en el teléfono mediante paquetes RTCP enviados al número de la víctima, sin que hiciera falta descolgar. Su ficha se publicó el 14 de mayo de 2019 y quedó parcheado en las versiones 2.19.134 para Android y 2.19.51 para iOS. Si tienes la app actualizada, no te afecta.

¿Puede alguien hackear un iPhone con una llamada?

Con una llamada de voz normal, no, igual que en Android. Sí hubo un fallo real en FaceTime en grupo, el CVE-2019-6223, que permitía que quien iniciaba la llamada consiguiera que el receptor la descolgara, con lo que se podía escuchar el otro lado. No instalaba nada y Apple lo corrigió en iOS 12.1.4. Ningún sistema es invulnerable, pero el riesgo real en un iPhone actualizado es el mismo que en Android: que te engañen hablando.

Me ha llamado mi banco desde su número real, ¿puedo fiarme?

No, porque el identificador de llamada se puede falsificar. Es lo que se conoce como spoofing telefónico y hace que en tu pantalla aparezca el número o el nombre de una entidad legítima. La única forma de salir de dudas es colgar y llamar tú al número oficial que figura en el reverso de tu tarjeta o en la web del banco.

He dictado un código de un solo uso, ¿qué hago?

Actúa ya. Llama a tu banco por el canal oficial para bloquear tarjetas y tratar de frenar la operación, cambia la contraseña de acceso a la banca online desde otro dispositivo y revisa los movimientos de los últimos días. Cuanto antes avises, más margen hay de detener una transferencia. Después, presenta denuncia.

¿Debo devolver las llamadas perdidas de números desconocidos?

Mejor no, sobre todo si son de prefijos internacionales que no te suenan. No porque devolver la llamada infecte nada, sino porque algunos de esos números están dados de alta como servicios de tarificación especial y lo que buscan es que la factura te suba. Si el asunto fuera importante, quien llama volverá a intentarlo o te dejará mensaje.

¿Existen apps para espiar el móvil de otra persona?

Circula mucho software que se anuncia así y desde aquí no vamos a decirte cuál ni cómo, entre otras cosas porque instalar ese tipo de programas en un teléfono ajeno sin consentimiento es un delito en España. Lo que sí te interesa es lo contrario: buena parte de esas aplicaciones son en realidad estafas o malware que acaban perjudicando a quien las instala, y muchas necesitan permisos de accesibilidad o de administrador. Revisar esas dos listas en tus ajustes es la mejor forma de detectar si alguien te ha puesto algo en el móvil.