La mayoría de los problemas de seguridad telefónica empresarial no son ataques de película. Son una contraseña reutilizada en la administración del sistema, un PIN de buzón que sigue siendo 0000, alguien que convence al operador de trasladar tu número a otra SIM o un estafador que llama a tus clientes mostrando tu número. Todos se pueden prevenir y la mayoría de las soluciones requieren una tarde.
Esta guía repasa las amenazas que realmente afectan a pequeñas y medianas empresas con líneas VoIP y móviles, cómo reconocerlas y qué hacer. Termina con una lista de comprobación y preguntas para cualquier proveedor telefónico. Las reglas y fechas siguientes proceden de las propias páginas de la FCC, consultadas el 19 de octubre de 2026. Es información general, no asesoramiento jurídico.
Por qué VoIP necesita su propio enfoque de seguridad
Un sistema telefónico VoIP es software conectado a internet. Tiene cuentas de usuario, un portal de administración, aplicaciones en teléfonos y portátiles y conexiones con la red telefónica pública. Suma los riesgos habituales de internet (contraseñas robadas, dispositivos vulnerables) a los riesgos telefónicos tradicionales (llamadas fraudulentas, ingeniería social). Las soluciones también son conocidas: acceso seguro, permisos mínimos, supervisión y un plan.
1. Fraude de llamadas
Qué es: alguien entra en tu sistema o cuenta telefónica y hace llamadas que pagas tú, normalmente a números internacionales caros o de tarificación especial, a menudo de noche o durante el fin de semana, cuando nadie vigila. La factura puede llegar antes de que alguien lo advierta.
Cómo acceden: una contraseña administrativa adivinada o robada, un buzón con PIN predeterminado que permite llamar, una PBX local expuesta o un empleado engañado para transferir a una línea externa. La FCC lleva tiempo advirtiendo de estas vías: su guía sobre la estafa telefónica del 90# describe llamadas que engañan al personal para marcar códigos que ceden una línea externa; su guía sobre ataques al buzón de voz advierte de los PIN predeterminados y recomienda desactivar las funciones de notificación remota, operadora automática, desvío de llamadas y avisos externos que no uses (guía de la FCC sobre la estafa del 90#, ambas consultadas el 19 de octubre de 2026).
- Bloquea lo que no necesitas: Desactiva las llamadas internacionales y de tarificación especial salvo que las uses. Muchos proveedores permiten autorizar solo países concretos.
- Configura alertas y límites de gasto: Pide alertas de uso y un límite estricto para los cargos por llamadas.
- Protege el buzón de voz: PIN largos y únicos, sin funciones para hacer llamadas desde el buzón.
- Forma a recepción: Nunca transfieras a un desconocido a una línea externa ni marques un código porque quien llama te lo pida.
2. Robo de cuentas
Qué es: alguien inicia sesión en una cuenta de usuario o administración del sistema telefónico. Con acceso administrativo puede leer mensajes, escuchar grabaciones, cambiar el enrutamiento, añadir usuarios o exportar contactos. Con una sola cuenta de usuario puede hacerse pasar por ese empleado ante los clientes.
- Acceso en dos pasos para todos: Exige un código de una aplicación de autenticación a cada administrador e, idealmente, a cada usuario. Los códigos por SMS son mejores que nada, pero más vulnerables por los cambios fraudulentos de SIM descritos abajo.
- Inicio de sesión único cuando sea posible: Si el proveedor admite tu acceso de Google o Microsoft, un solo lugar para dar de baja accesos es más seguro que diez.
- Retira el acceso el mismo día: Cuando alguien se vaya, elimina su acceso al sistema, sus sesiones en aplicaciones y cualquier número enrutado a su móvil personal.
- Menos administradores: Da permisos administrativos al menor número de personas posible y revisa la lista cada trimestre.
3. Cambios fraudulentos de SIM y portabilidad no autorizada
Qué es: un delincuente convence al operador de trasladar tu número a una SIM que controla (SIM swap) o a otro operador (portabilidad fraudulenta). Desde ese momento recibe tus llamadas y mensajes, incluidos los códigos de acceso. En una empresa puede ser el número del propietario, el publicado en la web o el vinculado a la cuenta bancaria.
La FCC adoptó reglas el 15 de noviembre de 2023 que exigen a los operadores móviles métodos seguros para autenticar a clientes antes de cambiar una SIM o portar un número, y notificarles de inmediato cuando se solicite (comunicado de la FCC, consultado el 19 de octubre de 2026). Publicó avisos separados sobre los plazos de cumplimiento; consulta su sitio para conocer el estado actual. En cualquier caso, tus propias defensas importan.
- Añade un PIN de portabilidad o bloqueo de número: La mayoría de los operadores estadounidenses permite configurar un PIN de cuenta o traslado de número y algunos ofrecen bloqueo. Pregunta al tuyo y activa lo disponible para cada línea empresarial, incluido el móvil personal del propietario.
- Saca los códigos de acceso del SMS: Usa una aplicación de autenticación o llave de seguridad para email, banca y el propio sistema telefónico.
- Reconoce la señal de alerta: Un teléfono que de repente muestra «Sin servicio» o «Solo SOS» donde suele haber cobertura puede indicar que el número se ha trasladado. Llama de inmediato al operador desde otro teléfono.
- Protege la documentación de portabilidad: Los números de cuenta y PIN de traslado son lo que necesita un ladrón. Trátalos como contraseñas. Nuestra guía de portabilidad explica para qué sirve cada uno.
4. Suplantación del identificador de llamadas y STIR/SHAKEN
Qué es: quien llama falsifica el número que aparece en el identificador. Los estafadores usan números locales para que la gente conteste y a veces suplantan el de una empresa real para engañar a sus clientes. La guía de la FCC sobre suplantación del identificador explica que, según la Truth in Caller ID Act, transmitir un identificador engañoso o inexacto para defraudar, causar daño u obtener indebidamente algo de valor es ilegal, con sanciones de hasta US$10 000 por infracción. No toda suplantación es ilegal: un médico que llama desde su móvil mostrando el número del consultorio hace un uso legítimo (consultado el 19 de octubre de 2026).
STIR/SHAKEN es el marco del sector que permite firmar digitalmente las llamadas para acreditar que quien llama puede usar el número mostrado. La FCC exigió a los proveedores de voz incorporarlo en las partes de internet (IP) de sus redes antes del 30 de junio de 2021, con prórroga hasta el 30 de junio de 2023 para los más pequeños. Ahora exige a la mayoría, incluidos proveedores de pasarela e intermediarios, autenticar el identificador de las llamadas que transportan (página de la FCC sobre autenticación del identificador, consultada el 19 de octubre de 2026). Consulta STIR/SHAKEN en el glosario.
- Usa un proveedor fiable: Pregunta cómo firma las llamadas salientes y qué nivel de certificación reciben. Es menos probable que se marquen como spam las llamadas desde números que el proveedor puede acreditar.
- Registra los mensajes: Los SMS empresariales desde números locales necesitan registro 10DLC y los números gratuitos requieren verificación. El tráfico registrado genera más confianza. Consulta las guías de 10DLC y verificación de números gratuitos.
- Explica qué nunca pedirás: Por ejemplo: «Nunca llamaremos ni escribiremos para pedir el número completo de tu tarjeta o un código de acceso». Publícalo en tu web y emails de pedidos.
- Atiende las quejas: Si los clientes informan de llamadas supuestamente tuyas que no hiciste, denúncialo a la FCC y avísales. No puedes impedir que falsifiquen tu número, pero sí restar credibilidad a la estafa.
5. Escucha no autorizada
Qué es: alguien captura el audio o los datos de establecimiento de una llamada mientras cruzan una red. En sistemas alojados modernos es raro, porque el principal riesgo era el tráfico sin cifrar en redes compartidas. Aun así, conviene comprobarlo.
- Pregunta por el cifrado: Busca TLS para la señalización y SRTP para el audio, además de cifrado de grabaciones y mensajes de voz almacenados.
- Separa las redes de la oficina: Pon los teléfonos de escritorio y el wifi de invitados en redes distintas y cambia las contraseñas predeterminadas de routers y teléfonos.
- Cuidado con el wifi público: Para llamadas sensibles, usa la aplicación del proveedor con datos móviles o una red de confianza.
6. Grabaciones, buzón e historial de mensajes
Un sistema telefónico reúne muchos datos privados: grabaciones, mensajes de voz, transcripciones y SMS con direcciones, datos de pedidos y a veces información médica o de pago. El riesgo no son solo personas ajenas. También son exempleados que aún pueden entrar y grabaciones guardadas durante años sin motivo.
- Graba solo con una política: Conoce las reglas de consentimiento donde están quienes llaman. Nuestra guía sobre consentimiento para grabar llamadas cubre la regla federal y los estados que exigen consentimiento de todas las partes.
- Fija plazos de conservación: Elimina con una periodicidad definida las grabaciones y mensajes de voz que ya no necesites.
- Limita quién puede escuchar: No todos necesitan acceso a todas las grabaciones. Prefiere sistemas que registren quién reprodujo o descargó cada archivo.
- Nunca aceptes números de tarjeta por voz o SMS: Dirige al cliente al checkout o a una página de pago segura.
7. Ingeniería social contra tu equipo
El ataque más barato es una llamada convincente. «Soy de informática, necesito el código que acabamos de enviarte». «Soy el cliente, me he mudado: actualiza la dirección y reenvía el pedido». Los guiones ayudan: decide de antemano qué no hará nunca el equipo en una llamada entrante (compartir códigos, cambiar datos de pagos o envío sin verificar, transferir a líneas externas) y apóyalo cuando diga que no.
Lista de seguridad de VoIP
- Acceso: Autenticación en dos pasos para cada administrador y usuario; inicio de sesión único si existe; sin cuentas compartidas.
- Personas: Revisión trimestral de administradores; bajas el mismo día; recepción formada sobre estafas de transferencias y códigos.
- Números: PIN de portabilidad o bloqueo en cada línea, incluidos móviles de propietarios; datos de portabilidad protegidos como contraseñas.
- Llamadas: Internacionales y de tarificación especial desactivadas salvo necesidad; alertas y límites de gasto activos.
- Buzón: PIN únicos y largos; funciones remotas no utilizadas desactivadas.
- Datos: Política de grabación escrita; conservación definida; acceso limitado y registrado.
- Mensajes: Registro 10DLC o verificación de número gratuito completado; registros de consentimiento conservados.
- Plan: Un plan de una página: quién llama al operador y al proveedor, cómo avisar a clientes y dónde están los PIN de cuenta.
Preguntas para cualquier proveedor telefónico
- Acceso: ¿Ofrecen autenticación en dos pasos e inicio de sesión único? ¿Puedo exigirlos a todos?
- Controles antifraude: ¿Puedo bloquear llamadas internacionales o de tarificación especial y fijar alertas o límites de gasto?
- Cifrado: ¿Se cifran la señalización y el audio en tránsito? ¿Las grabaciones y mensajes de voz están cifrados en reposo?
- Identificador de llamadas: ¿Cómo firman mis llamadas salientes con STIR/SHAKEN?
- Protección de números: ¿Cómo protegen mis números frente a portabilidades no autorizadas?
- Registros: ¿Puedo ver quién inició sesión, cambió ajustes y accedió a grabaciones?
- Certificaciones: ¿Qué auditorías independientes tienen, por ejemplo SOC 2, y puedo consultar el informe?
Cómo gestiona Chargezen lo que le corresponde
Chargezen no es una línea VoIP ni una PBX, así que algunos aspectos anteriores, como teléfonos de escritorio y enrutamiento saliente a otros países, no forman parte de él. Esto es lo que hace en los ámbitos que sí gestiona:
- Tu número empresarial, no móviles personales: Los clientes llaman y escriben al número empresarial y el equipo responde desde Finn o el navegador, por lo que no conocen el número personal de ningún empleado. Consulta por qué importa.
- Acceso en dos pasos: Cada compañero puede activar la autenticación en dos pasos para su propio acceso a Chargezen.
- Grabación según tus reglas: Configura cada número conforme a tu política. Quien llama escucha tu aviso antes de empezar la grabación; tú eliges cuánto tiempo conservarla y cada reproducción y descarga queda registrada con un motivo. Consulta grabación de llamadas.
- Un número empresarial de Estados Unidos para llamadas y mensajes: Consigue un número local o gratuito de Estados Unidos, busca números disponibles por código de área en números telefónicos o trae el que ya tienes. Chargezen presenta el registro 10DLC o de números gratuitos necesario para los mensajes. Consulta número telefónico empresarial.
- Los cambios esperan aprobación: Decides qué hace Concierge por sí solo y qué espera a una persona, como reembolsos y créditos. Consulta aprobaciones.
Para dejar claro qué no es Chargezen: no vende líneas VoIP, teléfonos de escritorio ni una PBX. No tiene IVR ni menú telefónico, grupos de timbrado, desvío ni timbrado simultáneo a teléfonos personales, enrutamiento por horario comercial, extensiones ni números internacionales. Solo ofrece números locales y gratuitos de Estados Unidos (+1). Si necesitas esas funciones, compra un sistema diseñado para ellas y usa Chargezen donde encaje.
Concierge Starter cuesta US$20 al mes con 20 000 créditos. Pro cuesta US$199 al mes con 199 000 créditos, o US$1990 al año. Los mensajes cuestan 2 centavos de dólar por segmento y las llamadas se facturan según el uso, sin cargos por usuario. Consulta los precios.
Términos relacionados: STIR/SHAKEN, portabilidad de números, consentimiento para grabar llamadas y 10DLC. Guías relacionadas: cómo elegir un proveedor VoIP, qué son las llamadas por wifi y cómo portar un número.
Preguntas frecuentes
¿VoIP es menos seguro que una línea fija?
No por naturaleza. Un sistema VoIP alojado bien gestionado, con cifrado y acceso en dos pasos, puede ser más seguro que una PBX antigua sin actualizar durante años. Los riesgos son distintos: VoIP añade riesgos de cuentas propios de internet, por lo que la seguridad de acceso importa más.
¿Cuál es el ataque VoIP más común contra pequeñas empresas?
Los clásicos son el acceso no autorizado a cuentas y buzones que deriva en fraude de llamadas, además de la ingeniería social contra el personal. Los cambios de SIM atacan el móvil del propietario, a menudo para acceder a cuentas bancarias y de email.
¿Puedo impedir que suplanten mi número empresarial?
No del todo. STIR/SHAKEN facilita a los operadores detectar y etiquetar llamadas suplantadas, pero no puedes impedir que alguien introduzca tu número en una herramienta de suplantación. Avisa a clientes, denúncialo a la FCC y explica qué nunca pedirás.
¿STIR/SHAKEN detiene todas las llamadas automáticas?
No. Verifica si quien llama puede usar el número mostrado. No decide si la llamada es deseada y las que atraviesan redes antiguas sin IP pueden no llevar la firma.
