Post actualizado el día octubre 31, 2026 by DeiviSanzPlay
Cuando alguien pregunta por la seguridad en llamadas VoIP, casi siempre aparece la misma respuesta: «tranquilo, va cifrado de extremo a extremo». Es una frase que se repite en foros, en blogs de proveedores y hasta en conversaciones de sobremesa entre informáticos. Y es, en la mayoría de los casos, falsa o, como mínimo, incompleta.
El cifrado de extremo a extremo (E2EE) existe en VoIP, sí. Pero no es el modo por defecto en la telefonía IP empresarial ni en la mayoría de los servicios domésticos de fibra con voz. Lo que hay habitualmente es cifrado por tramos: del teléfono al router, del router al proveedor, y del proveedor a la red telefónica pública. Cada salto puede ir cifrado, pero el contenido se descifra y se vuelve a cifrar en los puntos intermedios. Eso significa que el operador puede escuchar la llamada, y también cualquiera que comprometa su infraestructura.
Qué se cifra de verdad en una llamada VoIP
El protocolo SIP, que gestiona el establecimiento de la llamada, viaja en claro salvo que se use SIP sobre TLS. Y el audio, transportado en RTP, solo va cifrado si se activa SRTP. Son dos configuraciones independientes. Un proveedor puede tener SRTP activo para el audio y dejar la señalización SIP sin cifrar, lo que ya expone metadatos valiosos: quién llama a quién, cuándo y desde qué IP.
He visto instalaciones de centralitas virtuales en pymes donde el técnico activó SRTP porque lo pedía el comercial, pero dejó el puerto 5060 abierto a internet sin filtrado. El resultado: audio cifrado, pero cualquiera podía intentar registrar extensiones o lanzar llamadas salientes fraudulentas. El cifrado del audio no protege contra el fraude telefónico, que es el riesgo económico más común en VoIP.
El fraude que nadie menciona: llamadas internacionales no autorizadas
El vector de ataque más rentable en telefonía IP no es espiar conversaciones. Es tomar el control de una extensión y cursar llamadas a números de tarificación especial o destinos internacionales caros. El atacante gana comisión por interconexión; la víctima recibe una factura de cuatro cifras. Esto ocurre incluso con proveedores que presumen de seguridad en llamadas VoIP, porque el fallo suele estar en una contraseña débil de la extensión o en un router con UPnP activado.
Las herramientas de seguridad de los operadores rara vez detectan este patrón hasta que el gasto ya es alto. Los sistemas de detección suelen basarse en umbrales de consumo, y un atacante cuidadoso puede repartir las llamadas en varios días para no disparar la alarma. La lección práctica: la seguridad en llamadas VoIP depende tanto de la configuración del cliente como de la del proveedor.
Lo que el cifrado de extremo a extremo sí resuelve (y lo que no)
Las apps de mensajería con llamadas integradas, como Signal o WhatsApp, sí aplican E2EE real. Ahí el audio no se descifra en ningún punto intermedio. Pero eso no las convierte en invulnerables: el dispositivo del interlocutor sigue siendo el eslabón débil. Un móvil comprometido con un troyano puede grabar la llamada antes de que se cifre. La seguridad en llamadas VoIP de extremo a extremo protege el trayecto, no los extremos.
Esto no funciona para quien necesita grabar llamadas por motivos legales o de calidad. El E2EE impide la grabación en el servidor, y la grabación local en el dispositivo exige permisos que muchos entornos corporativos no conceden. Es una limitación real que los defensores del cifrado total suelen obviar.
Un caso concreto de configuración defendible
En una oficina pequeña con una centralita en la nube, una configuración razonable incluye: SIP sobre TLS en el puerto 5061, SRTP obligatorio, contraseñas de extensión largas y rotadas, bloqueo geográfico de IPs en el firewall del proveedor y límite de gasto diario en llamadas salientes. Con eso, el riesgo de fraude baja mucho, aunque no desaparece. Un empleado que conecta la extensión desde una red pública sin VPN sigue exponiendo credenciales.
La seguridad en llamadas VoIP no es un interruptor que se activa. Es un conjunto de decisiones sobre quién puede hablar, desde dónde y con qué límites. Desconfía de cualquier proveedor que responda al mito del cifrado total sin matices. La pregunta correcta no es «¿está cifrado?», sino «¿qué se descifra, dónde y quién puede acceder a ello?».
Perfiles verificables: Sitio web
Publicado el 31 de October de 2026. Última revisión: 31 de October de 2026.
