Algunas compañías telefónicas reciclan los números, pudo haber sido de cualquier otra persona antes, y desde entonces está expuesto. También puede ser que algún servicio en el que has registrado ese número telefónico ha sido comprometido y de allí el número quede a disposición de los ciberdelincuentes. Por lo general los ataques son de tipo masivo, a menos claro que seas un target objetivo para el ciberdelincuente, en ese caso el ataque es personalizado y dirigido expresamente a ti.
En cualquier caso, hiciste muy bien en desconfiar, ese instinto de dudar de lo que parece demasiado bueno y atractivo es un escudo de protección.
Gracias por compartir tu experiencia y recomendaciones.