Un SMS entra en el mismo hilo donde su banco le manda de verdad los códigos: «Hemos detectado un acceso no autorizado en su cuenta. Verifique aquí su identidad», y debajo un enlace. Con el nombre de la entidad como remitente y a media tarde, entre un recado y otro, casi nadie duda. Y ahí está el problema: quien firma el mensaje no es su banco, sino alguien que se ha hecho pasar por él para que sea usted mismo quien le abra la puerta.
Es el patrón que más cruza últimamente nuestro despacho. Conviene ponerle nombre a lo que ocurre y, sobre todo, saber qué hacer en los primeros minutos.
Smishing, vishing, phishing: el mismo engaño por tres puertas
Detrás de las tres palabras hay una sola idea: hacerse pasar por una entidad de confianza para que usted entregue sus claves o autorice un movimiento creyendo que habla con quien no es.
- Smishing: el SMS —o el mensaje de WhatsApp— que suplanta a su banco, a Correos o a Hacienda y le empuja hacia un enlace.
- Vishing: la llamada de un supuesto empleado del «departamento de seguridad» que le apremia a confirmar datos o a mover el dinero «a una cuenta segura».
- Phishing: el correo con el logotipo copiado que le lleva a una web calcada a la original.
Cambia el soporte; la trampa es idéntica. Y cada vez se encadenan: primero el SMS y, minutos después, la llamada del «asesor» que da credibilidad al mensaje anterior.
Por qué cuela y por qué no baja
No es descuido de la víctima. El engaño está pensado para funcionar: el mensaje aterriza en el hilo real del banco, la web copiada es indistinguible de la auténtica y la llamada mete prisa para que no dé tiempo a pensar.
Las cifras oficiales dan la medida del fenómeno. Las Fuerzas y Cuerpos de Seguridad registraron 464.801 ciberdelitos en España en 2024, y casi nueve de cada diez —412.850— fueron fraudes informáticos, es decir, estafas; el número de víctimas superó las 350.000 (Ministerio del Interior, Informe sobre la Cibercriminalidad en España 2024). El INCIBE, por su parte, señala la suplantación de identidad como el problema más relevante del año: de las casi cien mil consultas atendidas por su Línea de Ayuda 017 —un 21,8 % más que el año anterior—, el 14 % tuvo que ver precisamente con suplantaciones (INCIBE, Balance de Ciberseguridad 2024). Traducido a la calle: le va a llegar, si no le ha llegado ya.
Las señales que comparten todas estas estafas
Cambian el remitente, la excusa y la marca suplantada, pero el esqueleto es siempre el mismo. Si reconoce varias de estas señales a la vez en un mensaje o en una llamada, no siga:
- Una urgencia con reloj. Un plazo corto, un «último aviso», algo que se pierde si no actúa ahora. No está ahí por casualidad: está para que no le dé tiempo a comprobarlo.
- Un canal que eligen ellos. El enlace del mensaje, el número que le llama, la app que le piden instalar. Nunca un canal que abra usted.
- Una petición que ninguna entidad hace. Sus claves, el PIN, el CVV o el código de un solo uso que acaba de recibir en el móvil.
- Un motivo que suena a rescate. Proteger su dinero, desbloquear la cuenta, cancelar un cargo. Le colocan del lado de quien viene a resolverle un problema.
- Un detalle cierto que da credibilidad. Su nombre, los últimos dígitos de su tarjeta, un envío que de verdad espera. Suele proceder de filtraciones ajenas a la entidad, y no acredita nada.
Por separado ninguna prueba gran cosa. Juntas describen con precisión cómo funciona el engaño.
Qué hacer ahora mismo
Si acaba de recibir el mensaje o la llamada y todavía no ha facilitado nada:
- No dé nunca sus claves, su PIN ni los códigos de un solo uso (OTP) que le llegan por SMS. Su banco jamás se los pide por teléfono ni por mensaje; quien lo hace, le está suplantando.
- No pulse el enlace ni abra los adjuntos. La dirección puede parecer legítima y no serlo.
- Cuelgue y llame usted, por el número que figura en el reverso de su tarjeta o desde la aplicación oficial. No siga la conversación que le han iniciado ni devuelva la llamada al número que le aparece.
- Denuncie ante la Policía Nacional o la Guardia Civil. Es el primer paso formal y evita que el asunto quede en nada.
- Guarde todas las pruebas: capturas del SMS o del correo, el número que llamó, la web y cualquier movimiento en la cuenta. Cuanto antes las conserve, mejor.
Si ya facilitó datos o hizo un pago
Aquí el consejo cambia, y es tajante: no lo dé por perdido y no se quede parado. Lo sensato es ponerse cuanto antes en manos de un abogado especializado en ciberdelito que examine su caso concreto y actúe con la rapidez que la situación exige.
En nuestro despacho de A Coruña llevamos este tipo de asuntos a diario. Puede ver cómo trabajamos en nuestra área de delitos informáticos y escribirnos sin esperar desde la página de contacto. Si algo importa cuando esto ocurre, es no dejar pasar el tiempo.
¿Se puede recuperar el dinero?
Es la pregunta que de verdad importa cuando ya ha ocurrido, y la respuesta honesta es que en muchos casos sí. La normativa de servicios de pago parte de una idea que juega a su favor: una operación que usted no autorizó debe reembolsarse, y no es usted quien tiene que demostrar que no la consintió, sino la entidad la que debe acreditar que se autenticó como es debido. Que un tercero le engañara para que tecleara sus claves no equivale, sin más, a que usted autorizara nada.
Lo que oirá al llamar al banco será casi siempre lo contrario, y la palabra que aparecerá será «negligencia». Ahí es donde se decide el asunto. Lo explicamos en detalle en ¿tiene el banco que devolverme el dinero tras un phishing?.
Las modalidades que más estamos viendo
Los mismos delincuentes reutilizan un puñado de guiones y los adaptan a la entidad que suplantan. Estos son los casos concretos que más consultas nos generan:
Suplantación de bancos
- El SMS que suplanta a Abanca: la cuenta «bloqueada» y el enlace que se lleva sus claves.
- «Le llaman de Abanca»: el falso departamento de seguridad que le pide mover el dinero.
Suplantación de paquetería
- El SMS que se hace pasar por Correos: el paquete «retenido» que acaba en los datos de su tarjeta.
Preguntas frecuentes
¿Cómo distingo un mensaje real de mi banco de uno falso?
Desconfíe de todo mensaje que meta prisa, que le pida claves, PIN o códigos de un solo uso, o que incluya un enlace para «verificar» o «reactivar» la cuenta. Su banco nunca le solicita esos datos por SMS, correo ni teléfono. Ante la duda, no pulse nada: cierre el mensaje o cuelgue y llame usted por el número de su tarjeta o entre por la aplicación oficial.
¿Esto que me ha pasado es delito?
Sí. Hacerse pasar por una entidad para engañarle y apoderarse de su dinero o de sus datos constituye, según el caso, un delito de estafa y otras figuras del Código Penal. Que el importe sea pequeño o que solo haya sido un intento no lo convierte en algo menor: conviene denunciarlo y dejar constancia.
Ya di mis claves o hice una transferencia, ¿está todo perdido?
No lo dé por perdido. Reúna y conserve cuanto antes todo lo que acredite lo sucedido —capturas del mensaje, el número que le llamó y los movimientos de la cuenta— y póngase en manos de un abogado especializado en ciberdelito que, con esas pruebas delante, examine su caso y decida los pasos a seguir.
¿Merece la pena acudir a un abogado?
Sí, y no conviene demorarlo. Un abogado especializado valora en términos jurídicos qué ha ocurrido exactamente, ordena las pruebas y encauza el asunto por la vía que corresponda, de modo que usted deje de moverse a ciegas y sepa con qué opciones cuenta.
¿Puedo recuperar el dinero que me han quitado?
En muchos casos sí. La normativa de servicios de pago obliga a reembolsar las operaciones que usted no autorizó, y es la entidad la que debe probar que la operación se autenticó y se consintió correctamente, no usted. Lo tratamos a fondo en ¿tiene el banco que devolverme el dinero tras un phishing?.
El banco dice que fui negligente y que no me devuelve nada, ¿se acabó?
No. Esa respuesta es la habitual y no cierra la vía. Un descuido no es una negligencia grave, y caer en un engaño bien construido no le convierte de manera automática en responsable de lo ocurrido. Antes de dar el dinero por perdido, conviene que un abogado revise su caso.