“ En estos momentos no te puedo atender, por favor deja tu mensaje”, es la frase mas común utilizada en los casilleros de voz, y es que desde que esta útil herramienta existe, uno puede tranquilamente apagar su celular cuando necesita esos minutos de paz, o cuando estamos en una reunión importante (aunque algunos lo ponen en vibrador), y en muchas otras ocasiones en que no podemos atender el teléfono.
Tabla de Contenido
También tenemos la opción de ver quien llama y derivarlo a nuestro correo de voz (para la gente pesada), total sabemos que el mensaje está ahí y está seguro.<>
¿¿Estas seguro que «está seguro»???
Hoy en día, todos y me incluyo “TODOS” hacemos hincapié en los modelitos de celulares nuevos que salieron, que traen camarita, que leen RFID, que tienen GPS, que son los mas pequeños del mundo y millones de boludeces que uno piensa, tengo “the best mobile phone”!!!
Y nos olvidamos de algo tan obvio, como lo es de configurar la contraseña por “DEFAULT” que viene en nuestra casilla de voz (que por lo general son los últimos cuatro dígitos del numero telefónico o simplemente claves como 1234#), después de ponerme en la tarea de realizar un test sobre líneas de teléfonos, de una empresa “muy importante española”, y he escuchar muchos casilleros (y créanme, BASTANTES), la mayoría de veces son mensajes del tipo «hola soy X, te estoy buscando llámame cuando escuches el mensaje», pero en otras ocasiones son mensajes mas comprometedores como «amor no se te olvide que las llaves del garaje están en el jardín, nos vemos a la cena»… si sacamos un porcentaje de los buzones escuchados, he logrado determinar que aproximadamente un 10% de los mensajes de voz contienen información critica y sensible, que no debería estar a la mano de cualquier persona que conozca tu numero y la clave por defecto.
A veces, por comodidad o por olvido, no lo tomamos en cuenta, pero es algo que es importante y debemos darle la relevancia que amerita, recuerda que la contraseña por default utilizada es “1234#” , así que espero que todos la cambien, al menos sacar la default.
Articulo escrito por Oscar Banchiero (@banchiero) para La Comunidad DragonJAR
Actualización 2026 — Del buzón por defecto al robo de cuentas
Más de una década después de este artículo, la recomendación central de Oscar Banchiero sigue vigente al pie de la letra: cambiar el PIN por defecto del buzón de voz es una de las acciones más baratas y olvidadas de la higiene digital. Lo que cambió es el motivo. En 2012 la amenaza era la curiosidad ajena sobre tus mensajes personales; hoy, ese mismo PIN sin cambiar (los 0000 o 1234 que aún traen de fábrica muchos operadores) es una vía documentada de secuestro de cuentas.
El mecanismo está descrito y alertado desde 2017: un atacante intenta registrar tu número en WhatsApp en su propio teléfono, espera a que el SMS de verificación no te llegue, y provoca que el servicio llame a tu número y dicte el código en voz alta. Si no contestas, ese código queda en tu buzón de voz… y el atacante lo escucha con el PIN por defecto, tomando tu cuenta sin interactuar contigo. La Agencia Nacional Cibernética de Israel emitió alertas públicas sobre esta técnica y campañas como la australiana Stay Smart Online mantienen la misma advertencia año tras año, porque la gente sigue cayendo.
El vector no es exclusivo de WhatsApp: los ataques por voz/SMS contra la autenticación en dos pasos (SIM swapping, intercepción SS7, suplantación de la línea) están tan bien documentados que el NIST declaró obsoletas (deprecated) las verificaciones fuera de banda por PSTN —SMS o llamadas— en su guía de identidad digital SP 800-63B, advirtiendo explícitamente del riesgo de interceptación y redirección. En 2026 la lección del artículo se invierte en términos de impacto: ya no se trata solo de que «otros te escuchen el mensaje», sino de que un buzón sin PIN fuerte puede ser la llave que abre tus cuentas.
El «10% de mensajes con información sensible» del test original fue una medición anecdótica del autor sobre una muestra propia, no una estadística verificada; pero el punto de fondo que ilustraba es el mismo que señalan los incidentes modernos: la información que la gente deja en buzones de voz suele ser más sensible de lo que creen.
Actualización 2026 — Cómo cerrar este hueco hoy
Si este artículo te hizo mirar tu buzón de voz con otros ojos, hay medidas prácticas y verificadas que cierran el ataque de 2012 y sus variantes modernas:
– Cambia el PIN del buzón hoy mismo. No uses 1234, 0000, tu fecha de nacimiento ni los últimos dígitos de tu línea: llama a tu operador o usa la app para definir un PIN largo y único. – Si no usas el buzón, desactívalo. Menos superficie de ataque: varias campañas de concienciación lo recomiendan explícitamente para quienes no lo necesitan. – No confíes en llamadas o SMS como segundo factor para cuentas críticas. Migra a aplicaciones de autenticación, llaves de seguridad FIDO2 o passkeys, que resisten la intercepción del canal telefónico (así lo recomienda el NIST en sus guías de autenticación). – Activa la verificación en dos pasos de WhatsApp y guarda el correo de recuperación en una cuenta que sí controles.
A nivel de empresa, este tipo de vector se combina con ingeniería social sobre operadores y sobre usuarios para escalar de una línea vulnerable a la red corporativa completa. Si tu organización quiere auditar su exposición real —desde líneas móviles y buzones de voz hasta la postura de autenticación de sus cuentas críticas—, los servicios de seguridad informática de DragonJAR incluyen pruebas de intrusión y evaluaciones de ingeniería social que cubren exactamente estos puntos ciegos que nadie revisa.
