«ABANCA: se ha detectado un acceso no autorizado en su cuenta. Verifique su identidad para evitar el bloqueo», y justo debajo un enlace. Llega un sábado por la tarde, con la oficina cerrada, y a menudo aparece en el mismo hilo donde el banco le avisa de verdad de los recibos. El pulso se acelera y el dedo va solo hacia el enlace. Pare justo ahí: ese mensaje no lo ha enviado Abanca. Es un delincuente haciéndose pasar por su banco.
Se llama smishing, la versión por SMS del phishing de siempre. No es un problema menor ni marginal: según el Ministerio del Interior, casi nueve de cada diez ciberdelitos que se cometen en España son fraudes informáticos —412.850 estafas en 2024, el 89% del total—, y la suplantación de entidades bancarias es una de las palancas favoritas de quienes están detrás.
Cómo reconocer el SMS falso
El guion se repite con pequeñas variaciones. El mensaje inventa una urgencia y le pone delante un enlace para «resolverla» en el acto:
- Un cargo que usted no reconoce: «Se ha realizado un cargo de 105,00 EUR en su cuenta. Si no lo reconoce, cancélelo aquí».
- Un acceso o inicio de sesión desde un dispositivo nuevo que le piden «verificar inmediatamente».
- La cuenta o la tarjeta «bloqueada» que solo se «desbloquea» pulsando el enlace.
La pista más fiable está en ese enlace. No lleva a abanca.com, sino a un dominio que se le parece pero no lo es: cosas del tipo es-abanca-dispositivo.com/app. Ahí es donde el fraude vive. Fíjese siempre en lo que hay justo antes del último punto: tiene que ser exactamente abanca.com y nada más.
Por qué parece tan real
Porque está diseñado para eso. El nombre del remitente puede mostrarse como «ABANCA», y mediante spoofing el mensaje llega a colarse en el mismo hilo de conversación donde tiene los avisos legítimos del banco, de modo que baja usted la guardia. Si pulsa, la web falsa clona la pantalla de acceso a la banca online y le va pidiendo, en orden, el DNI, la clave, el teléfono asociado y el código que acaba de recibir por SMS. Mientras usted mira una pantalla que se queda «cargando», al otro lado ya están usando sus datos. A veces la cosa se remata con una llamada del supuesto «departamento de seguridad» que le mete prisa para que confirme un código o mueva su dinero a una «cuenta segura». Esa prisa —el miedo a perder el dinero ya mismo— es la herramienta, no un descuido.
Lo que Abanca no hace nunca
Esta es la parte que conviene tener grabada, porque separa lo verdadero de lo falso sin margen de duda. La postura oficial del banco, recogida en su propia página de seguridad y confirmada por INCIBE y por Maldita.es, es tajante: «Nunca te pediremos tus claves». En concreto, Abanca jamás:
- Le pide por SMS, teléfono o correo sus claves de acceso, el PIN, el número o el CVV de la tarjeta, ni los códigos de verificación (OTP) que le llegan al móvil.
- Le manda un enlace para «verificar», «desbloquear» o «confirmar» la cuenta.
- Le pide que mueva o transfiera su dinero a otra cuenta «para protegerlo», ni que instale aplicaciones siguiendo instrucciones por teléfono.
La autenticación de verdad ocurre dentro de la app oficial —la que se descarga solo desde App Store o Google Play— o tecleando usted mismo la dirección en el navegador. Nunca a través de un enlace que le llega en un mensaje. Así que la regla es sencilla: si un mensaje que dice ser de Abanca le pide cualquiera de esas cosas, no es Abanca.
Qué hacer ahora mismo
- No pulse el enlace y no escriba nada en la página a la que lleve.
- No facilite por teléfono ni por mensaje sus claves, el PIN, los datos de la tarjeta ni ningún código que reciba por SMS.
- Si quiere comprobar si de verdad pasa algo en su cuenta, entre solo por la app oficial o tecleando usted mismo
abanca.comen el navegador; nunca desde el enlace del SMS. - Ante la duda, cuelgue y llame usted: al número del reverso de su tarjeta o al de seguridad de Abanca (900 815 525, o +34 981 910 525 desde el extranjero). Si le llaman diciendo ser del banco, cuelgue y devuelva la llamada por el número oficial.
- Si solo ha recibido el SMS y no ha rellenado nada, guarde una captura, márquelo como spam y bórrelo. Puede reportarlo también a INCIBE en la línea gratuita 017 y en
tuseguridad@abanca.com. - Si ya introdujo sus datos en la página falsa, cambie cuanto antes la clave de su banca online, llame al número oficial de Abanca para que bloqueen el acceso y la tarjeta, guarde las capturas del mensaje y de la web, y denuncie ante la Policía Nacional o la Guardia Civil.
Si ya pulsó, dio sus claves o hizo un pago
Aquí es donde más cuenta el tiempo. No se quede paralizado ni dé el dinero por perdido: cada hora que pasa importa. Lo sensato es ponerse cuanto antes en manos de un abogado especializado en ciberdelito, que valore su caso concreto y le diga qué pasos dar. Cuanto antes lo haga, mejor.
Y si lo que se está preguntando es si ese dinero se puede recuperar, la respuesta en muchos casos es que sí. Lo explicamos en ¿tiene el banco que devolverme el dinero tras un phishing?.
En el despacho llevamos precisamente este tipo de asuntos desde nuestra área de delitos informáticos; si quiere que revisemos lo que le ha pasado, puede escribirnos desde la página de contacto. Y si quiere entender el panorama completo de estas suplantaciones bancarias, lo hemos reunido en nuestra guía sobre la estafa por suplantación de su banco.
Preguntas frecuentes
¿Cómo sé si el SMS es de Abanca o es una estafa?
Por lo que le pide. Abanca no solicita sus claves, su PIN ni los códigos que le llegan por SMS, y no manda enlaces para «desbloquear» o «verificar» la cuenta. Si el mensaje pide algo de eso, mete prisa o incluye un enlace, es una suplantación. Compruébelo siempre entrando por la app oficial o tecleando usted mismo abanca.com, nunca desde el enlace.
El SMS aparece en el mismo hilo que los mensajes reales de Abanca, ¿no significa que es auténtico?
No. Los estafadores falsean el nombre del remitente y consiguen que el mensaje se cuele en el hilo donde tiene los avisos legítimos. Que aparezca ahí no garantiza nada. Fíjese en el contenido —si pide claves, códigos o le manda a un enlace—, no en el nombre que muestra el remitente.
He pulsado el enlace pero no he metido ningún dato, ¿debo preocuparme?
Si no llegó a introducir el DNI, la clave ni ningún código, el riesgo es mucho menor. Aun así, no rellene nada en esa página, ciérrela y revise su cuenta solo desde la app oficial. Si le queda cualquier duda, cambie la clave de su banca online y llame al número oficial de Abanca.
Ya di mis claves o hice un pago, ¿qué hago?
No lo dé por perdido y no espere a ver qué pasa: el tiempo corre en su contra. Póngase cuanto antes en manos de un abogado especializado en ciberdelito para que estudie su caso. Puede contactar con nosotros a través de la página de contacto.