Recibes un SMS que parece enviado por tu banco. “Hemos bloqueado temporalmente su cuenta. Verifique sus datos en las próximas dos horas”. El mensaje aparece incluso dentro de la misma conversación donde has recibido códigos auténticos.
Pulsar el enlace parece la forma más rápida de recuperar el acceso.
Ese es precisamente el objetivo del phishing financiero: conseguir que actúes antes de comprobar quién está realmente detrás del mensaje. El delincuente no necesita vulnerar directamente los sistemas del banco si logra que seas tú quien le facilite una contraseña, el número de la tarjeta o un código de autorización.
La amenaza no es anecdótica. El Ministerio del Interior registró 488.426 ciberdelitos en España durante 2025. Casi nueve de cada diez fueron fraudes informáticos, con 429.677 casos conocidos por las fuerzas de seguridad.
INCIBE gestionó ese mismo año 122.223 incidentes de ciberseguridad, un 26 % más que en 2024. El fraude online representó cuatro de cada diez incidentes y un 28 % de los usuarios declaró haber recibido algún intento de phishing, smishing o vishing.
No hace falta ser una persona especialmente confiada para caer. Estos fraudes están diseñados para aprovechar una situación creíble, una preocupación económica y un momento de prisa.
El phishing no siempre llega por correo electrónico
El phishing consiste en suplantar a una entidad legítima para robar información, provocar un pago o instalar un programa malicioso. El mensaje puede imitar a un banco, una empresa de mensajería, una administración pública, una plataforma de compraventa o un servicio que utilizas habitualmente.
El correo electrónico es solo uno de sus canales.
Cuando el engaño llega por SMS o mensajería instantánea se suele hablar de smishing. Si se realiza mediante una llamada telefónica, se denomina vishing. También existen códigos QR fraudulentos, anuncios que conducen a webs falsas y llamadas en las que el número mostrado parece pertenecer al banco.
El formato cambia, pero la estrategia se repite: crear una razón para que tomes una decisión rápida.
Pueden decirte que se ha detectado una transferencia sospechosa, que tu tarjeta será cancelada, que debes confirmar una devolución o que tienes pendiente un pago pequeño. También pueden ofrecerte una inversión extraordinaria o fingir que un familiar necesita dinero de manera urgente.
En marzo de 2026, por ejemplo, INCIBE alertó de una campaña que suplantaba a Mi Carpeta Ciudadana y prometía un supuesto ingreso de 552,97 euros. El objetivo era atraer al usuario hacia una comunicación fraudulenta utilizando como gancho un cobro inesperado.
La excusa puede ser positiva o negativa. Lo relevante es que te empuja a actuar sin salir del recorrido preparado por el estafador.
Primero recibes el aviso. Después pulsas su enlace. A continuación introduces tus datos en una página que imita a la entidad. Finalmente, puedes recibir un código real del banco y entregarlo pensando que estás anulando una operación, cuando en realidad estás autorizándola.
El diseño de la web puede parecer impecable. También el logotipo, los colores o el lenguaje.
Por eso, detectar el phishing únicamente por las faltas de ortografía ya no es suficiente. Un mensaje bien escrito también puede ser falso. Resulta más útil analizar qué te pide, por qué necesita tanta rapidez y qué canal quiere que utilices.
Las señales que deberían hacerte parar
La urgencia es una de las señales más claras. Frases como “actúa ahora”, “tu cuenta será bloqueada” o “confirma el pago inmediatamente” intentan reducir el tiempo disponible para pensar. El Banco de España advierte de que el miedo y la presión son herramientas habituales para provocar decisiones rápidas sin verificación.
También debes desconfiar cuando el mensaje pide información que una entidad ya debería conocer.
Tu banco no necesita que respondas a un correo con el PIN, la contraseña completa de la banca online o el código de seguridad de la tarjeta. El Banco de España recuerda que las entidades no solicitan por correo electrónico o SMS las claves de acceso ni los datos completos de las tarjetas.
Un código temporal merece una precaución especial. Que llegue desde el canal habitual del banco no significa que debas compartirlo. Ese código puede haber sido generado porque alguien está intentando acceder a tu cuenta o confirmar una operación.
Lee siempre el texto completo del aviso. Si indica “autorizar transferencia” o “añadir dispositivo”, no lo introduzcas para supuestamente cancelar algo.
La dirección también puede revelar el engaño, aunque no siempre resulte evidente. Un dominio puede cambiar una sola letra, añadir un guion o utilizar el nombre del banco como subdominio de otra web.
Por ejemplo, banco-seguridad.ejemplo.com pertenece realmente a ejemplo.com, no al banco mencionado al principio.
El candado del navegador tampoco demuestra que una web sea legítima. Solo indica que la conexión está cifrada. Una página fraudulenta también puede utilizar HTTPS.
En los SMS existe otra trampa: la suplantación del identificador puede hacer que un mensaje falso aparezca dentro del mismo hilo que los avisos reales del banco. El Banco de España ha advertido de que tanto el remitente de los SMS como el número mostrado en una llamada pueden manipularse.
La confianza no debe basarse únicamente en lo que aparece en la pantalla.
Si alguien te llama diciendo que pertenece al departamento de fraude, no sigas las instrucciones mientras mantienes la conversación. Cuelga y contacta tú con la entidad mediante el número de la tarjeta, de la aplicación oficial o de su web escrita directamente en el navegador.
Un empleado legítimo no debería pedirte que transfieras el dinero a una “cuenta segura”, que instales un programa de control remoto o que le comuniques claves privadas.
Una rutina sencilla para no decidir bajo presión
La defensa más eficaz empieza por salir del canal que inició el contacto.
No pulses el enlace del mensaje. Abre la aplicación oficial del banco o escribe tú mismo su dirección. Si existe realmente un bloqueo, una operación pendiente o una comunicación importante, normalmente podrás comprobarlo allí.
La AEPD recomienda no responder a mensajes inesperados que soliciten datos personales o bancarios y contrastar la información directamente con la organización supuestamente implicada.
Antes de autorizar cualquier operación, revisa cuatro datos: el importe, el destinatario, el motivo y la acción exacta descrita por el código de confirmación.
No introduzcas una clave solo porque alguien te la esté esperando al teléfono.
También ayuda activar las notificaciones de movimientos. Detectar un cargo o una transferencia pocos minutos después aumenta las posibilidades de reaccionar antes de que el dinero continúe moviéndose.
Las contraseñas de la banca online y del correo electrónico deben ser diferentes. El correo suele utilizarse para recuperar accesos, por lo que una misma clave reutilizada permite que una sola filtración abra varias puertas.
Utiliza contraseñas largas, activa la verificación en dos pasos y mantén actualizados el móvil, el navegador y las aplicaciones. Descarga las apps bancarias únicamente desde las tiendas oficiales.
Los límites de transferencias y pagos pueden ofrecer una barrera adicional. No evitan el engaño, pero reducen el importe que puede movilizarse inmediatamente. Algunas entidades permiten además desactivar temporalmente las compras online, los pagos en el extranjero o las tarjetas desde la aplicación.
Revisar la cuenta con frecuencia también forma parte de la protección. No esperes al extracto mensual para comprobar los movimientos.
Ninguna de estas medidas sustituye la pausa.
Cuando una comunicación bancaria te asuste, espera un minuto antes de tocar nada. Un problema real seguirá pudiendo verificarse desde la aplicación oficial. Una estafa depende de que no hagas esa comprobación.
Qué hacer si ya has pulsado o facilitado datos
Haber abierto el mensaje no significa necesariamente que hayan robado tu dinero. El siguiente paso depende de lo que hayas hecho.
Si solo has abierto una página y no has introducido información ni descargado archivos, ciérrala y elimina el mensaje. Puedes reportar la campaña a INCIBE para ayudar a identificarla y bloquearla.
Si has facilitado una contraseña, cámbiala inmediatamente desde un dispositivo fiable. Modifica también cualquier otra cuenta donde utilizaras la misma clave.
Si has compartido datos bancarios, códigos de firma o información de la tarjeta, contacta con tu entidad lo antes posible. Solicita el bloqueo de los accesos o medios de pago afectados y revisa todas las operaciones recientes. INCIBE recomienda informar al banco inmediatamente cuando se hayan entregado datos financieros.
No utilices el teléfono incluido en el mensaje fraudulento. Busca el número oficial por tu cuenta.
Cuando ya exista una transferencia o un cargo, comunica que no reconoces la operación y pide que se intente detener o recuperar el dinero. No todas las situaciones se resuelven del mismo modo: una operación ejecutada con credenciales robadas no se analiza igual que una transferencia que la propia víctima autorizó engañada.
En los pagos con tarjeta considerados no autorizados, la entidad debe responder y, con carácter general, devolver el importe como máximo al final del siguiente día hábil tras la comunicación, salvo que aprecie fraude del titular o negligencia grave. Cada caso requiere revisar cómo se produjo la operación y qué medidas de seguridad se utilizaron.
Conserva pruebas antes de borrar nada: capturas, número de teléfono, dirección de la web, correo completo, justificantes y conversaciones. INCIBE y la AEPD aconsejan recopilar la información disponible y denunciar la suplantación ante la Policía Nacional, la Guardia Civil o el juzgado.
También puedes contactar con el 017, la línea gratuita y confidencial de ayuda en ciberseguridad de INCIBE.
Si el banco rechaza tu reclamación, presenta un escrito ante su Servicio de Atención al Cliente. En las reclamaciones relacionadas con servicios de pago, si no recibes respuesta en quince días hábiles o no estás conforme, puedes acudir posteriormente al Banco de España.
Caer en un phishing no significa que hayas sido ingenuo. Significa que alguien ha diseñado una situación para aprovechar tu confianza y tu preocupación. Lo útil después del incidente no es ocultarlo por vergüenza, sino cortar accesos, avisar al banco y conservar las pruebas cuanto antes.
Antes del próximo mensaje alarmante, recuerda una regla: ninguna urgencia bancaria debería obligarte a utilizar el enlace, el teléfono o las instrucciones que te proporciona el propio aviso. Sal del mensaje y verifica por tu cuenta. Ese pequeño cambio de canal puede marcar la diferencia entre comprobar una incidencia y entregar el control de tu dinero.
¿Qué diferencia existe entre phishing, smishing y vishing?
El phishing suele realizarse mediante correo electrónico. El smishing utiliza SMS o aplicaciones de mensajería, mientras que el vishing se desarrolla mediante llamadas telefónicas. Los tres buscan obtener información, provocar pagos o conseguir acceso a cuentas.
¿Puede un SMS falso aparecer en el mismo hilo que los mensajes reales del banco?
Sí. Los delincuentes pueden manipular el identificador del remitente, haciendo que el mensaje se agrupe con comunicaciones auténticas. Por eso no debe considerarse legítimo únicamente por su posición en la conversación.
¿El banco puede pedirme un código de seguridad por teléfono?
No deberías facilitar códigos de firma, claves completas ni contraseñas durante una llamada recibida. Cuelga y llama tú al teléfono oficial de la entidad para verificar la situación.
¿Qué hago si he introducido mis datos en una página falsa?
Cambia las contraseñas afectadas, contacta inmediatamente con el banco, bloquea las tarjetas o accesos comprometidos y revisa los movimientos. Conserva las pruebas y denuncia si se han utilizado tus datos o se ha producido una pérdida económica.
¿El banco devolverá siempre el dinero perdido por phishing?
No puede garantizarse. La respuesta depende de si la operación fue autorizada, de cómo se obtuvieron o utilizaron las credenciales y de las circunstancias concretas. Comunicar el fraude inmediatamente y presentar una reclamación documentada resulta decisivo.
