El SMS que suplanta a la Seguridad Social le da unas horas para renovar la tarjeta sanitaria antes de que quede anulada, y ese plazo es falso. El que sí corre empezó a contar el día en que apareció en su cuenta el primer cargo que usted no ordenó, y es el que la normativa de servicios de pago le concede para comunicar al banco que esa operación no fue suya. Se cuenta desde el cargo, no desde el día en que usted comprende que le han estafado, y cuando vence el banco deja de estar obligado a devolverle nada, aunque el fraude sea evidente. Quien tecleó su tarjeta en la web falsa hace semanas y no ha vuelto a mirar el extracto tiene ese plazo consumiéndose sin saberlo. A eso se suma el plazo del delito, que se mide en años y no es el que apura, y el margen práctico para que el banco intente retroceder el cargo con tarjeta, que es más corto y que fijan las reglas del propio sistema de tarjetas.
Cómo es el mensaje y cómo se produce el engaño
El patrón se repite con pocas variaciones. Llega un SMS, a veces en el mismo hilo en el que usted recibe mensajes legítimos porque el remitente aparece con un nombre y no con un número, en el que se le comunica que su tarjeta sanitaria ha caducado o va a caducar y que debe renovarla en un enlace. El enlace lleva a una página que copia la apariencia del portal oficial, con su logotipo y sus colores, y que pide nombre, DNI, número de afiliación y domicilio. Después aparece un cobro pequeño, de uno o dos euros, presentado como gastos de emisión o de envío de la nueva tarjeta, para el que hay que introducir número de tarjeta bancaria, fecha de caducidad y código de seguridad. En algunas versiones una última pantalla pide el código que el banco acaba de enviarle para «confirmar la renovación».
El importe pequeño es la parte pensada. Nadie discute dos euros, y esos dos euros sirven para comprobar que la tarjeta está viva y para quedarse con todos sus datos. El dinero llega después, con compras y cargos hechos por los estafadores con esa tarjeta, a veces el mismo día y a veces semanas más tarde, cuando el mensaje ya se ha olvidado. Si además tecleó el código de confirmación, les ha dado la llave para autorizar uno de esos cargos.
Hay variantes del mismo mecanismo que sustituyen la tarjeta caducada por una prestación pendiente de cobro, una devolución de cotizaciones o una deuda con recargo. El destinatario preferente es quien más usa la tarjeta sanitaria y quien más trato tiene con la Seguridad Social, pensionistas y autónomos, aunque los envíos son masivos y llegan a cualquiera. El INCIBE y la propia Tesorería General de la Seguridad Social han publicado avisos sobre estas campañas.
Por qué parece verdadero
La tarjeta sanitaria física lleva fecha de caducidad y mucha gente la tiene vencida en la cartera, así que el mensaje encaja con algo que el destinatario ya sospechaba. La página imita bien el portal oficial. El cobro es pequeño, como lo sería una tasa. El remitente falseado hace que el SMS se coloque junto a los mensajes auténticos que usted ha recibido de organismos públicos. Ninguna de esas señales prueba nada, y la comprobación fiable está en lo que la Seguridad Social hace y no hace.
Lo que la Seguridad Social no hace nunca
La Seguridad Social, que aquí es el organismo suplantado, no envía SMS con un enlace para pagar. No pide datos de tarjeta bancaria para renovar ningún documento. No notifica deudas, recargos, devoluciones ni prestaciones por mensaje de texto con un botón de pago. Las notificaciones de la Administración llegan por los canales legales, la sede electrónica, el correo postal o la comparecencia, y una devolución de ingresos se abona en la cuenta que consta en el expediente sin que nadie tenga que teclear una tarjeta.
Hay un dato añadido que desmonta el mensaje. La tarjeta sanitaria que usted enseña en el centro de salud la expide el servicio de salud de su comunidad autónoma, en Galicia el Sergas, y la Seguridad Social ni la renueva ni cobra por ello. Si tiene dudas sobre una prestación o una deuda, escriba usted mismo la dirección de la sede electrónica oficial en el navegador, sin pasar por el enlace del SMS, e identifíquese allí. Lo que no aparezca en su expediente no existe.
Qué delito es y qué pena tiene
Quien envía este SMS comete un delito de estafa del artículo 248 del Código Penal. Hay un engaño bastante, la tarjeta caducada, que provoca un error en la víctima y un acto de disposición patrimonial, el pago y la entrega de los datos, con perjuicio para ella. La pena es de prisión de seis meses a tres años. Si lo defraudado no excede de 400 euros, se trata de un delito leve castigado con multa.
Esa frontera de los 400 euros engaña si se mira solo el cobro inicial. Los dos euros de la supuesta renovación no son todo el perjuicio. Los cargos posteriores hechos con sus datos son también estafa y se suman, y el hecho de que los autores lancen la misma campaña sobre miles de personas pesa en la calificación. Al banco, además, le da igual la cuantía a efectos de su obligación de devolver una operación no autorizada.
Sobre dónde denunciar, puede hacerlo en cualquier comisaría de Policía Nacional o puesto de la Guardia Civil, en A Coruña o donde resida, y también ante el juzgado de guardia. En estafas por internet la investigación tiende a concentrarse en el juzgado del lugar donde usted recibió el engaño y donde tiene la cuenta, con independencia de dónde estén los autores. El delito prescribe, pero ese plazo se mide en años y no es el que debe preocuparle esta semana.
Qué hacer ahora mismo
Si solo ha recibido el mensaje, no pulse el enlace, no conteste y no lo borre. Haga una captura en la que se vea el remitente, la fecha y el texto completo. Ese SMS es prueba y sirve para la denuncia y para el aviso al INCIBE, que tiene un canal de atención al ciudadano para estos casos.
Si ha entrado en la página y ha metido la tarjeta, llame al banco por el número que figura en el reverso de la tarjeta o en la aplicación oficial, nunca por uno que aparezca en el SMS o en una llamada posterior, y pida el bloqueo inmediato. Repase los movimientos de ese día y de los siguientes, incluidos los cargos pendientes de liquidar, y anote cada uno que no reconozca. Guarde la captura del SMS, la dirección de la página falsa si aún la tiene en el historial, las capturas de la página si las hizo y el extracto con los cargos. Denuncie con todo eso. Cambie la contraseña de la banca electrónica si utilizó la misma en algún momento.
Dos cosas que no debe hacer. No atienda a nadie que le llame en los días siguientes diciendo ser del banco o de la Seguridad Social para «ayudarle» con el fraude, porque con los datos que ya tienen esa segunda llamada resulta muy convincente y es donde se pierde el dinero grande. Y no firme en la sucursal ningún documento en el que reconozca haber facilitado sus datos de forma voluntaria o negligente sin que antes lo lea alguien que sepa lo que ese papel supone para su reclamación.
Si dio el DNI y el número de afiliación pero no llegó a la pantalla del pago, no le han sacado dinero, pero tienen su identidad. Con ella pueden intentar contratar a su nombre o preparar una llamada de suplantación bancaria. Denuncie de todos modos, para que quede constancia con fecha, y vigile el correo postal y la cuenta durante los meses siguientes.
Recuperar el dinero, dos cargos que no son iguales
En su extracto hay dos clases de cargos y no se reclaman igual. El pago de la supuesta renovación lo ordenó usted, con su tarjeta, en una web que creía oficial. Jurídicamente es un pago autorizado bajo engaño, y la obligación legal de devolución que la normativa de servicios de pago impone al banco no cubre ese cargo, porque el banco ejecutó lo que usted ordenó. Lo que cabe frente a él es la retrocesión del cargo con tarjeta, un mecanismo que depende de las reglas del sistema de tarjetas y que hay que pedir bien y a tiempo. Frente a los autores, la vía es la penal.
Los cargos posteriores, los que los estafadores hicieron con sus datos, son otra cosa. Usted no los ordenó, así que son operaciones no autorizadas y el banco tiene la obligación legal de devolverlos, con el plazo de comunicación que ya corre desde que aparecieron en su cuenta. Si uno de esos cargos se confirmó con el código que usted tecleó en la web falsa, el banco alegará negligencia grave para no devolverlo, y ese es el terreno en el que la reclamación se gana o se pierde según cómo se plantee. Lo he desarrollado en qué está obligado a devolverle el banco tras una ciberestafa y en cuándo el banco debe devolver el dinero del phishing.
| Cargo | Quién lo ordenó | Qué cabe |
|---|---|---|
| Pago pequeño de la supuesta renovación en la web falsa | Usted, engañado | Pago autorizado bajo engaño. Retrocesión del cargo con tarjeta y reclamación penal contra los autores |
| Cargos posteriores con los datos capturados | Los estafadores | Operación no autorizada. Obligación legal de devolución del banco, con un plazo de comunicación que corre desde el cargo |
| Cargo confirmado con el código que usted tecleó en la web falsa | Los estafadores, con un código suyo | Operación no autorizada, pero el banco opondrá negligencia grave y la reclamación exige plantearse con cuidado |
Cómo se plantea esa reclamación al banco, con qué documentos, en qué orden y con qué argumentos, es trabajo del abogado. En el despacho, cuando alguien llega en este punto, separamos cargo por cargo, fijamos qué se pide a la entidad y qué se lleva a la denuncia, y lo tramitamos dentro de lo que hacemos en delitos informáticos.
Qué pasa si la causa penal se archiva
Es frecuente. Los autores operan desde el extranjero, con números y páginas que duran horas, y el juzgado acaba dictando un sobreseimiento provisional por falta de autor conocido. Eso no cierra nada de lo que le interesa. La reclamación al banco es independiente del proceso penal y sigue viva. La denuncia queda en el sistema y, si más adelante se identifica a los autores en otra investigación, su asunto se reabre y se acumula. El archivo provisional tampoco le impide ejercer la acusación si aparecen responsables.
Hacerlo por su cuenta tiene un riesgo concreto. El banco suele responder con un formulario y una negativa estándar por negligencia, y quien la acepta o deja pasar el plazo de comunicación pierde la devolución de unos cargos que la ley le reconocía. En el despacho revisamos los movimientos, distinguimos qué cargos son reclamables al banco y cuáles van a la vía penal, presentamos la reclamación y la denuncia y, si hace falta, llevamos su caso al juzgado, dentro del área de delitos informáticos. Puede llamar al +34 677 841 007 o escribir desde contacto. Cuando llame, tenga a mano la captura del SMS con remitente y fecha, el extracto con los cargos señalados, la fecha y hora en que bloqueó la tarjeta y la respuesta escrita del banco si ya la tiene.
Preguntas frecuentes
¿Puedo recuperar el dinero si fui yo quien pagó en la web falsa?
El pago que usted ordenó es un pago autorizado bajo engaño y el banco no está obligado por la normativa de servicios de pago a devolverlo, pero existe la retrocesión del cargo con tarjeta y puede reclamarse a los autores en la vía penal. Los cargos que hicieron después los estafadores con sus datos sí son operaciones no autorizadas y el banco tiene obligación legal de devolverlos si se comunican en plazo.
Di mi DNI y mi número de afiliación pero no la tarjeta, ¿qué hago?
No le han sacado dinero, pero tienen su identidad y pueden usarla para contratar a su nombre o para una llamada de suplantación bancaria muy convincente. Denuncie para que conste con fecha, vigile la cuenta y el correo durante meses y desconfíe de cualquier llamada posterior que conozca esos datos.
¿Cómo sé si de verdad tengo una deuda o una prestación pendiente con la Seguridad Social?
Entrando usted mismo en la sede electrónica oficial, escribiendo la dirección en el navegador sin usar el enlace del SMS. Lo que no aparezca en su expediente no existe. La Seguridad Social no notifica deudas ni devoluciones por SMS con enlace de pago y la tarjeta sanitaria la renueva el servicio de salud autonómico.
¿Merece la pena contratar un abogado por una estafa de dos euros?
Si el perjuicio se quedó en el pago inicial y el banco bloqueó la tarjeta antes de que hubiera más cargos, no compensa, basta con denunciar y guardar la documentación. Compensa cuando hay cargos posteriores que el banco se niega a devolver alegando negligencia, porque ahí el importe suele ser mayor y la reclamación bien planteada tiene recorrido.