Toll fraud 2026: protege tu telefonía IA del fraude
El toll fraud es fraude de tarificación en telefonía: los delincuentes consiguen que tu línea, tu centralita o tu asistente telefónico con IA haga llamadas caras – a números de tarificación adicional o destinos internacionales en los que ellos cobran comisión. La factura te llega a ti. Para protegerte hay tres palancas clave: bloquear países de destino y números especiales, comprobar cada número antes de marcar (también los de desvío) y limitar los costes técnicamente, por ejemplo con saldo prepago en lugar de factura abierta.
Este artículo se centra en el fraude de costes y tarificación. Las conversaciones manipuladas, la clonación de voz y la inyección de prompts se tratan en el artículo Seguridad en telefonía IA – protección contra el fraude con voice bots. Ambos temas van de la mano, pero las medidas de protección son distintas.
¿Qué es el toll fraud?
El toll fraud (fraude de tarificación telefónica) es cualquier fraude en el que alguien provoca, sin autorización y a través de la cuenta de otra persona, llamadas o SMS de pago para quedarse con parte de lo cobrado. Paga el titular de la cuenta; el estafador cobra mediante el reparto de ingresos en números de destino caros.
El problema es antiguo, pero no ha disminuido. La asociación del sector CFCA (Communications Fraud Control Association) estimó en su Global Fraud Loss Survey 2023 unas pérdidas mundiales por fraude en telecomunicaciones de unos 38.950 millones de dólares estadounidenses (resumen de TNS). En su documentación para desarrolladores, Twilio calcula que solo el International Revenue Share Fraud causa unos 10.000 millones de dólares de pérdidas al año.
En Alemania el abuso de números también es algo cotidiano: según un comunicado del 9 de febrero de 2026, la Agencia Federal de Redes (Bundesnetzagentur) recibió 85.158 reclamaciones en 2025, desactivó unos 6.200 números y prohibió la facturación y el cobro para más de 2.000 números. Entre los temas: hackeo de routers, colas de espera caras y falsas líneas de atención.
¿Qué estafas hay detrás del fraude telefónico?
Las tres estafas principales son el IRSF (llamadas a números internacionales caros con reparto de ingresos), el Wangiri (llamadas perdidas que incitan a devolver la llamada a un número caro) y el SMS pumping (SMS disparados en masa a números en los que los estafadores cobran parte). Las tres funcionan igual: cada minuto o cada mensaje le da dinero al estafador.
IRSF – International Revenue Share Fraud
Los estafadores alquilan bloques de números en países con tarifas de terminación altas o a proveedores de números internacionales de tarificación especial. Después generan el máximo de llamadas largas hacia ellos – a través de centralitas hackeadas, cuentas cloud comprometidas o sistemas automatizados que marcan bajo pedido. Lo cobrado se reparte entre operadores y titular del número. Twilio deja claro que sus clientes son responsables de todo el uso de su cuenta.
Wangiri – llamadas perdidas
«Wangiri» es japonés y significa más o menos «un tono y colgar». El teléfono suena un instante y en pantalla queda un número desconocido. Quien devuelve la llamada llega a un destino caro y lo retienen con locuciones grabadas. En su página sobre llamadas ping, la Bundesnetzagentur advierte de prefijos que se parecen a los alemanes, como Madagascar (00261) y Coblenza (0261).
SMS pumping (tráfico inflado artificialmente)
Aquí los bots atacan formularios web que envían un código por SMS – registro, inicio de sesión, solicitud de demo. Introducen miles de números de rangos caros; cada SMS te cuesta dinero y el estafador se lleva su parte. La guía de Twilio sobre SMS pumping lo describe como tráfico falso generado para inflar los costes.
¿Por qué la telefonía IA es una nueva puerta de entrada al toll fraud?
La telefonía IA está expuesta al toll fraud porque un agente de voz puede marcar con un clic, a cualquier hora y sin supervisión humana – cualquier número que le llegue de un formulario, una API o una lista del CRM. Una persona dudaría si le pidieran llamar 40 veces seguidas a un número de África oriental. Un sistema sin protección, no.
Puntos de ataque típicos en telefonía IA:
- Formularios de devolución de llamada y llamadas de demo: «Deja tu número y nuestra IA te llama» es un gran argumento de venta – y una invitación para que los bots introduzcan números de destino caros.
- Códigos por SMS o llamada: confirmar el número con un código protege frente a números ajenos, pero genera costes. Sin límites, el envío de códigos se convierte en objetivo de pumping.
- API y automatizaciones: las órdenes de llamada desde un CRM, flujos de Zapier o herramientas MCP se ejecutan sin que nadie mire el número. Una clave API robada basta para cientos de llamadas.
- Desvíos de llamada: muchos agentes de voz transfieren a una persona si se les pide. Si alguien cambia el número de desvío por uno de tarificación especial, cada llamante acaba allí a tu costa.
- Llamadas largas: los estafadores mantienen la línea abierta con locuciones grabadas. Un agente IA educado y sin límite de tiempo escucha con paciencia – minuto a minuto.
La consecuencia: la telefonía IA necesita las mismas protecciones que una centralita clásica, pero aplicadas con más rigor, porque ya no hay una persona en medio.
Trampas de costes típicas: números especiales, destinos internacionales, desvíos
En Alemania estos rangos de numeración son especialmente relevantes para el toll fraud. Tienen usos legítimos, pero un agente de voz empresarial prácticamente nunca necesita llamarlos:
| Rango (Alemania) | Uso | Riesgo de toll fraud |
|---|---|---|
| 0900 | Servicios de tarificación adicional | Precios por minuto altos, pago directo al proveedor |
| 0137 / 0138 | Servicios de llamadas masivas (p. ej. televoto) | Cobro por llamada, fácil de disparar en masa |
| 0180 / 0181 | Números de servicio y redes virtuales internacionales | Más caros que una llamada fija normal |
| 019x | Servicios online y especiales | Rara vez legítimos en B2B |
| 0700 | Números personales | Pueden desviar a cualquier destino, también caro |
| 118xx | Servicios de información telefónica | Tarifas altas, a menudo con conexión posterior |
| Internacional | Sobre todo destinos con tarifas de terminación altas | Objetivo principal del IRSF |
La Bundesnetzagentur describe el patrón en su página sobre hackeo de routers: los delincuentes acceden al router o a la centralita y llaman a números extranjeros, (0)180 o (0)900. Muchas veces nadie lo nota hasta que el operador avisa de conexiones raras o llega la factura.
Tres trampas que se pasan por alto a menudo:
- Rangos móviles y especiales dentro de países permitidos: aunque un país esté activado, algunos rangos de numeración pueden tener tarificación especial.
- Números de desvío y de devolución de llamada: a menudo solo se comprueba el número que marca el agente – no el número al que transfiere.
- Prefijos que confunden: un prefijo extranjero que parece uno local supera una revisión visual.
¿Cómo te proteges del toll fraud? La checklist
La protección más eficaz contra el toll fraud es activar solo los países de destino que necesitas, bloquear por defecto los números especiales, comprobar cada número antes de marcar y limitar los costes con topes y saldo prepago. Ninguna medida basta sola; solo la combinación hace que el fraude telefónico deje de compensar.
La checklist para empresas que usan telefonía IA o formularios de devolución de llamada:
- Lista blanca de países: activa solo los países a los que llamas de verdad. En su documentación sobre Geo Permissions, Twilio recomienda expresamente activar solo los países y rangos de bajo riesgo que necesites.
- Bloqueo de números especiales: bloquea 0900, 0137/0138, 0180/0181, 019x, 0700 y 118xx, además de los rangos internacionales premium y de coste compartido. Según la Bundesnetzagentur, los operadores alemanes bloquean gratis los rangos (0)900 a nivel de red si lo pides.
- Comprobar los desvíos: cada número de desvío pasa el mismo control que los números marcados.
- Límites de frecuencia: topes por número de destino, por IP, por cuenta y por día – para llamadas y para códigos SMS.
- Protección antibots en formularios: CAPTCHA como Cloudflare Turnstile, campos honeypot y detección de patrones sospechosos.
- Doble opt-in con código: devuelve la llamada solo cuando la persona haya confirmado con un código por SMS o llamada que el número es suyo.
- Franjas horarias y duración: llamadas solo en horarios fijos y con duración máxima.
- Prepago en lugar de factura abierta: el saldo limita el daño máximo; cuando se agota, no empiezan llamadas nuevas.
- Bloqueo de cuenta ante sospecha: detén las cuentas sospechosas, automática o manualmente, antes de que crezca el daño.
- Monitorización: haz visibles los destinos raros, los picos y la actividad nocturna; revisa facturas y registros de llamadas con regularidad.
- Accesos reforzados: contraseñas fuertes y únicas, claves API con permisos limitados, actualizaciones de routers y centralitas.
Riesgo → medida: el toll fraud de un vistazo
| Riesgo | Escenario típico | Medida eficaz |
|---|---|---|
| IRSF a destinos internacionales | Una cuenta hackeada marca números extranjeros caros | Lista blanca de países, bloqueo de rangos premium |
| Números de tarificación especial | El agente debe llamar a un 0900 o 118xx | Bloqueo de números especiales en todos los países |
| Desvío manipulado | El destino del desvío pasa a ser un número premium | Comprobar los números de desvío como los marcados |
| Abuso del formulario de devolución | Bots introducen números ajenos o caros | CAPTCHA, doble opt-in con código, restricción por país |
| SMS pumping | Envío masivo de códigos de verificación | Límites por número, IP y día |
| Wangiri | Devolución de llamada a un número cebo | No devolver nunca automáticamente llamadas de números extranjeros desconocidos |
| Clave API robada | Órdenes de llamada automatizadas sin control | Permisos (scopes), aprobación humana de listas de llamadas |
| Costes ilimitados | La factura muestra el daño semanas después | Saldo prepago, monitorización, bloqueo de cuenta |
¿Qué hacer si has sido víctima de fraude telefónico?
Si has sido víctima de toll fraud, bloquea de inmediato los accesos afectados, cambia contraseñas y claves, reclama la factura y denuncia el caso ante las autoridades y la policía. Cuanto antes reacciones, menor será el daño.
Para el hackeo de routers y centralitas en Alemania, la Bundesnetzagentur recomienda en concreto:
- Reclamar la factura: oponte sin demora ante tu operador y pide un desglose detallado de llamadas.
- Revisar la domiciliación: si pagaste por domiciliación bancaria, puedes devolverla y pagar solo el importe no discutido.
- Presentar una reclamación: comunica el caso a la Bundesnetzagentur con la factura y el desglose. Puede desactivar números y prohibir la facturación y el cobro.
- Denunciar: ante la policía, porque detrás del fraude telefónico suele haber un delito.
En telefonía cloud y plataformas de IA, avisa además directamente al proveedor para que bloquee cuenta, números y claves API. Después, revisa que países, desvíos y límites estén bien configurados.
Así lo hace anicall.io
anicall.io es un asistente telefónico con IA para empresas de la región DACH (Alemania, Austria, Suiza), operado por mysoftwarelab GmbH desde Worms, Alemania. Como nuestros agentes de voz marcan por sí mismos, la protección contra el fraude de tarificación viene integrada y no es opcional:
- Protección de marcación para números especiales: los números de tarificación adicional, especiales, de servicio y de emergencia (p. ej. 0900, 0137/0138, 0180/0181, 019x, 0700, 118xx) no se llaman nunca – en ningún país. Además se bloquean todos los números clasificados como premium o de coste compartido.
- Países de destino por cuenta: por defecto Alemania, Austria y Suiza. Otros países solo se pueden activar desde una lista fija (núcleo de la UE, Reino Unido, EE. UU., Canadá).
- También se comprueban los desvíos: el número para transferir en directo a una persona pasa el mismo control que cualquier número marcado.
- Llamada de demo solo tras confirmar con código: la llamada de demo de la página principal solo se hace cuando el número se ha confirmado con un código por SMS o llamada. Las llamadas se hacen solo en horarios fijos y con topes.
- Aprobación humana: las listas de llamadas desde la API, un CRM o MCP solo arrancan cuando una persona las aprueba. También hay una lista de «no llamar» para toda la cuenta.
- Bloqueo de cuenta ante sospecha: las cuentas pueden bloquearse si hay sospecha de abuso.
- Tokens prepago en lugar de factura abierta: sin cuota fija ni suscripción. 1 token equivale a 1 céntimo neto; las llamadas entrantes cuestan 13 tokens por minuto, las salientes a fijos 16 y a móviles o al extranjero 62 tokens. Cuando se agota el saldo, no empiezan llamadas nuevas; una llamada en curso se limita al saldo restante.
Un ejemplo de cálculo de la página de precios: 300 minutos entrantes al mes más un número suman 300 × 13 + 180 = 4.080 tokens, es decir, 40,80 € netos. Sabes de antemano cuál es el peor caso posible. Sobre base de datos, cifrado y aprobaciones tienes más en Seguridad y privacidad; cómo marca legalmente el agente saliente lo explica la página del setter IA.
Preguntas frecuentes
¿Qué diferencia hay entre toll fraud e IRSF?
Toll fraud es el término general para el fraude de tarificación en telefonía. El IRSF (International Revenue Share Fraud) es su forma más común: los estafadores generan llamadas a números internacionales caros y reciben parte de lo cobrado.
¿Quién paga en un caso de toll fraud?
Normalmente el titular de la línea o de la cuenta por la que pasaron las llamadas. Proveedores de telefonía como Twilio hacen responsables a sus clientes de todo el uso. Por eso compensa poner bloqueos y límites antes de que pase nada.
¿Basta con bloquear los números 0900?
No. El 0900 es solo uno de varios rangos caros, y la mayor parte del IRSF va a destinos internacionales. Necesitas además una lista blanca de países, el control de los números de desvío y límites.
¿Cómo protejo un formulario de devolución de llamada?
Combina protección antibots (p. ej. CAPTCHA), confirmación del número con un código por SMS o llamada, restricciones por país y límites por número, IP y día. Devuelve la llamada solo cuando el número esté confirmado y limita horarios y duración.
¿El prepago protege de verdad contra el fraude telefónico?
El prepago no impide el ataque, pero limita el daño máximo al saldo disponible. Con factura abierta, el toll fraud a menudo aparece semanas después; con prepago, como tarde se acaba cuando el saldo llega a cero.
Pon a prueba la protección: prueba la demo en vivo en anicall.io: llama a la recepción IA directamente desde tu navegador o pide una llamada de demo – que solo llega tras confirmar tu número con un código. Después puedes empezar gratis en anicall.io: la prueba del agente en el navegador no cuesta nada y solo necesitas tokens para llamadas reales. Los agentes telefónicos hablan de momento alemán.