Phishing

Definición

El phishing es una técnica de fraude en la que los estafadores suplantan a una entidad legítima (un banco, Hacienda, una financiera, una empresa de paquetería) por correo, SMS, WhatsApp, llamada o web clonada para que la víctima entregue datos personales, contraseñas, códigos de confirmación o datos de su tarjeta. La variante por SMS se llama smishing y la telefónica, vishing. Entre las suplantaciones habituales que recogen los avisos del INCIBE están las de bancos, la Agencia Tributaria, Correos y la Seguridad Social; el INCIBE atiende además consultas gratuitas en el teléfono 017.

¿Cómo te afecta?

Si caes en un phishing financiero, los estafadores pueden vaciar tu cuenta en minutos, hacer compras con tu tarjeta o pedir préstamos a tu nombre. La regla de oro: ninguna entidad real te pide contraseñas, códigos ni datos completos de tarjeta por SMS, correo o WhatsApp. Si lo hacen, es fraude. Entra siempre escribiendo tú la dirección oficial en el navegador o desde la app, sin pulsar enlaces de mensajes.

Ejemplo práctico

Recibes un SMS: "Tu banco: hemos bloqueado tu cuenta por seguridad. Verifícala en las próximas 2 horas en este enlace". El enlace lleva a un dominio que imita al de tu banco pero no es el oficial. Es phishing. Si introduces tu DNI y tu clave, los estafadores entran en tu banca online y transfieren tu dinero a cuentas de terceros.

Profundización editorial

Si ya has caído. Llama a tu banco para bloquear tarjetas y accesos, cambia las contraseñas y denuncia. Según el Real Decreto-ley 19/2018, ante una operación no autorizada el banco debe devolverte el importe, como tarde, al final del día hábil siguiente a que se lo comuniques, salvo que tenga motivos razonables para sospechar fraude (art. 45); tu responsabilidad máxima es de 50 €, salvo fraude o negligencia grave por tu parte (art. 46). Comunícalo sin demora: el plazo máximo es de 13 meses.

Préstamos a tu nombre. Con tu DNI y tus datos bancarios, un estafador puede intentar pedir préstamos suplantándote. Si te llega un préstamo que no pediste o un cargo de una financiera desconocida, avisa a la financiera, denuncia y comprueba si apareces en ficheros de morosidad. Tienes un caso en la alerta sobre el doble fraude al cancelar un falso préstamo.

Ayuda gratuita. La Línea de Ayuda en Ciberseguridad del INCIBE (017) te orienta sobre qué hacer. Recopilamos los fraudes activos en alertas de estafas.

Marco legal aplicable

El sector financiero español está regulado por una combinación de normativa europea (directivas) y española (leyes, reales decretos), con supervisión del Banco de España, CNMV y AEPD según el ámbito.

Ley Azcárate 1908 (Represión de la Usura) →

Permite anular contratos con intereses usurarios. Sigue plenamente vigente y aplicada por el Tribunal Supremo.

LOPDGDD 3/2018 + RGPD UE →

Protección de datos personales, especialmente relevante para inclusiones en ficheros de morosidad (ASNEF, Equifax, BADEXCUG).

Directiva 93/13/CEE sobre cláusulas abusivas →

Marco europeo de protección frente a cláusulas abusivas en contratos con consumidores. Base de múltiples sentencias TS y TJUE.

Información educativa. No constituye asesoramiento jurídico profesional.

Preguntas frecuentes sobre Phishing

El phishing es una técnica de fraude en la que los estafadores suplantan a una entidad legítima (un banco, Hacienda, una financiera, una empresa de paquetería) por correo, SMS, WhatsApp, llamada o web clonada para que la víctima entregue datos personales, contraseñas, códigos de confirmación o datos de su tarjeta. La variante por SMS se llama smishing y la telefónica, vishing. Entre las suplantaciones habituales que recogen los avisos del INCIBE están las de bancos, la Agencia Tributaria, Correos y la Seguridad Social; el INCIBE atiende además consultas gratuitas en el teléfono 017.

Si caes en un phishing financiero, los estafadores pueden vaciar tu cuenta en minutos, hacer compras con tu tarjeta o pedir préstamos a tu nombre. La regla de oro: ninguna entidad real te pide contraseñas, códigos ni datos completos de tarjeta por SMS, correo o WhatsApp. Si lo hacen, es fraude. Entra siempre escribiendo tú la dirección oficial en el navegador o desde la app, sin pulsar enlaces de mensajes.

Recibes un SMS: "Tu banco: hemos bloqueado tu cuenta por seguridad. Verifícala en las próximas 2 horas en este enlace". El enlace lleva a un dominio que imita al de tu banco pero no es el oficial. Es phishing. Si introduces tu DNI y tu clave, los estafadores entran en tu banca online y transfieren tu dinero a cuentas de terceros.

Primero, ante el Servicio de Atención al Cliente de la financiera (obligatorio por ley, 2 meses para responder). Si no responden o rechazan tu reclamación, el Banco de España la tramita gratis solo si la financiera es una entidad supervisada por él (bancos y establecimientos financieros de crédito); con las demás, acude a los servicios de consumo de tu comunidad autónoma. Si la cuestión es sobre datos personales, reclama ante la AEPD. Como último recurso, la vía judicial ante el Juzgado de Primera Instancia.