Por qué el verano es la temporada favorita de los estafadores bancarios
En verano confluyen varias cosas que favorecen a los estafadores: más pagos online (vuelos, hoteles, actividades), más redes wifi públicas en aeropuertos o terrazas y más distracción. Un aviso de «cargo sospechoso» en plena escapada resulta creíble y empuja a actuar deprisa.
A esto se suma que en verano muchos usuarios activan servicios nuevos: apps de alquiler de coches, plataformas de reservas, servicios de streaming para el viaje. Cada vez que introduces tus datos en un sitio nuevo, amplías la superficie de ataque. Y si además usas la misma contraseña en varios sitios, un solo fallo puede encadenar varios robos.
El perfil de víctima no es solo el de una persona mayor con poca experiencia digital. Quien gestiona su banco desde el móvil a diario también cae, precisamente porque confía en lo que le resulta familiar. La familiaridad con los mensajes bancarios se convierte, paradójicamente, en una vulnerabilidad.
Las tres técnicas más habituales y cómo funcionan por dentro
La primera y más extendida es el 'smishing con hilo de conversación'. Tu banco real te ha mandado mensajes anteriores y aparecen en tu móvil agrupados. Los estafadores consiguen que su SMS falso aparezca en ese mismo hilo, porque el nombre del remitente se puede suplantar fácilmente. El mensaje dice algo como: 'Hemos detectado un acceso no autorizado. Pulsa aquí para verificar tu identidad.' El enlace lleva a una web que es un calco exacto de la de tu banco. Introduces usuario y contraseña, recibes un código por SMS que también introduces, y en ese momento los atacantes acceden a tu cuenta en tiempo real. Todo el proceso puede durar menos de tres minutos.
La segunda técnica es el 'vishing mejorado': una llamada de teléfono en la que el número que aparece en pantalla es el del servicio de atención al cliente de tu banco real. Lo consiguen mediante una técnica llamada spoofing de número. La persona al otro lado suena profesional, te da algunos datos reales sobre tu cuenta (conseguidos previamente en filtraciones de datos) y te pide que confirmes una operación o que instales una 'app de seguridad' que en realidad es un troyano. Si recibes una llamada así, cuelga y llama tú directamente al número oficial del banco desde otro dispositivo. Puedes consultar más casos similares en nuestra sección de alertas de estafas financieras.
La tercera técnica, más reciente y más sofisticada, es el phishing por email con QR. Te llega un correo aparentemente de tu entidad diciendo que hay una actualización de seguridad obligatoria. En lugar de un enlace clicable (que muchos filtros antiphishing ya detectan), incluyen un código QR. El usuario lo escanea con el móvil, que casi nunca tiene las mismas protecciones que el ordenador, y aterriza en la web falsa. La barrera del sentido crítico baja porque el QR se percibe como algo 'moderno y seguro'. No lo es.
¿Qué opinas tú sobre esta noticia? Comenta más abajo →
Señales concretas que delatan un mensaje falso (aunque parezca perfecto)
Aunque las falsificaciones son cada vez mejores, siguen teniendo fallos que puedes detectar si sabes dónde mirar. Lo primero es la URL: aunque el diseño de la web sea impecable, la dirección del navegador nunca será exactamente la del banco real. Puede ser 'banco-seguro.es' o 'bankinteronline.com' en vez del dominio oficial. Antes de introducir cualquier dato, mira siempre la barra de direcciones. En el móvil tienes que tocar en ella para que se muestre completa.
Lo segundo es la urgencia artificial. Los mensajes legítimos de los bancos no te ponen un plazo de '24 horas o se bloqueará tu cuenta'. Ese tipo de presión es una técnica de manipulación psicológica deliberada para que actúes antes de pensar. Si un mensaje te genera ansiedad y te empuja a hacer algo inmediatamente, para. Respira. Cierra el mensaje y accede a tu banca online escribiendo tú mismo la dirección en el navegador.
Lo tercero es que tu banco nunca te pedirá el PIN completo, la contraseña completa ni el código CVV de tu tarjeta por ningún canal. Ni por SMS, ni por llamada, ni por email, ni por chat. Si algo o alguien te pide eso, es una estafa sin excepción. Guarda esta regla como si fuera la más importante de tus finanzas personales, porque puede serlo. Y si sospechas que ya has caído, actúa en los siguientes pasos.
Qué hacer en los próximos diez minutos si crees que te han estafado
La velocidad lo es todo. Si has introducido tus credenciales en un sitio sospechoso o has dado información por teléfono, llama inmediatamente al número de atención al cliente de tu banco (el que aparece en el reverso de tu tarjeta, no el que te han dado ellos) y pide el bloqueo preventivo de la cuenta y las tarjetas. Muchos bancos tienen equipos de fraude disponibles las 24 horas. Cada minuto cuenta porque los atacantes operan de forma automatizada en tiempo real.
Después, cambia la contraseña desde un dispositivo seguro, activa la verificación en dos pasos si no la tenías y revisa los últimos movimientos. Si hay cargos que tú no autorizaste, el Real Decreto-ley 19/2018 de servicios de pago obliga al banco a devolverlos de inmediato y, como tarde, al final del día hábil siguiente a que se lo comuniques (art. 45), salvo que tenga motivos razonables para sospechar fraude por tu parte; y es el banco quien tiene que probar que actuaste con negligencia grave (art. 44). Avisa sin demora y nunca más tarde de 13 meses desde el cargo (art. 43). Un matiz importante: si fuiste tú quien hizo la transferencia o el Bizum, aunque fuera engañado, el banco puede tratarlo como una operación autorizada y la devolución deja de ser automática. Aun así, reclama por escrito y denuncia. Documentar todo (capturas, números de llamada, correos recibidos) te ayudará en esa reclamación. También puedes leer cómo proceder si tu banco te ha cobrado de forma indebida, porque el proceso de reclamación tiene muchos puntos en común.
Por último, denuncia. Denuncia en comisaría de la Policía Nacional (091), en un puesto de la Guardia Civil (062) o ante la policía autonómica, con capturas, números y justificantes. Y si dudas sobre qué hacer, llama al 017, la Línea de Ayuda en Ciberseguridad de INCIBE, gratuita y confidencial (también por WhatsApp en el 900 116 117). No es inútil: esas denuncias ayudan a identificar a las redes y a alertar a otras víctimas. Además, la denuncia puede ser necesaria si el banco te pide acreditar que has sufrido un fraude para tramitar la devolución del dinero. Y si la situación te ha dejado sin liquidez en pleno verano, existen opciones como los préstamos sin intereses para primeros solicitantes que pueden ser un puente mientras resuelves la situación, aunque antes conviene explorar todas las alternativas. También recuerda que si el incidente ha afectado tu historial crediticio, puedes informarte sobre cómo saber si estás en ASNEF para actuar cuanto antes. Y ten en cuenta que los estafadores no solo operan por SMS o email: como puedes ver en este reportaje, también llegan por WhatsApp haciéndose pasar por prestamistas legítimos, así que el radar tiene que estar encendido en todos los canales.
Actualización octubre 2026: lo que ha cambiado y la variante que más daño hace
Desde el 15 de septiembre de 2026 los operadores deben bloquear los SMS que usan como remitente un nombre (alias) no inscrito en el Registro de Alias de la CNMC, una medida de la Orden TDF/149/2025 contra la suplantación. Reduce los mensajes que se cuelan con el nombre de tu banco, pero no los elimina: siguen llegando desde números de teléfono corrientes, por WhatsApp o por llamada. Que el remitente parezca legítimo nunca es prueba de nada.
Desde el 9 de octubre de 2025, antes de cada transferencia en euros tu banco comprueba gratis si el nombre del beneficiario coincide con el titular del IBAN (verificación del beneficiario). Si la app te avisa de que el nombre no coincide o coincide solo en parte, no envíes el dinero: es justo la señal que buscan ocultar quienes te piden mover fondos a una «cuenta segura».
La variante más dañina combina SMS y llamada: primero llega el aviso de un cargo y después te llama un supuesto «departamento de seguridad» que te pide trasladar el dinero a otra cuenta para protegerlo. Lo explicamos paso a paso en la alerta sobre la falsa «cuenta segura» y en la de la llamada del banco para confirmar una operación. Tu banco nunca te pide mover tu dinero para ponerlo a salvo.