Detectar estafas y fraudes – protege tu dinero

Más a fondo

La devolución no es una red de seguridad

Mucha gente cree que el banco simplemente recupera el dinero si algo sale mal: eso solo es cierto en parte. Un adeudo SEPA puede devolverse en un plazo de ocho semanas sin justificación, pero una transferencia que tú mismo has autorizado casi nunca, porque cuenta como aprobada. Los estafadores se aprovechan precisamente de esto: te empujan a transferir tú mismo, a ser posible por transferencia inmediata, que es irreversible en el destinatario en cuestión de segundos. Con las tarjetas de crédito suele existir el chargeback (retrocesión), por ejemplo cuando la mercancía no llega, pero exige plazos de en torno a 120 días y pruebas. Quien „confirma“ un pago con un TAN en la banca online ha dado su consentimiento legal, aunque el aviso autorizara en realidad el vaciado de la cuenta. La lección del siguiente nivel: antes de cada autorización, comprueba el importe y el IBAN del destinatario dentro del propio mensaje del TAN, no lo que afirma una web o quien llama.

Cuando la autenticidad es el arma

Las estafas avanzadas no recurren a correos cebo torpes, sino al realismo y a la velocidad. En el llamado spoofing aparece en la pantalla un número real del banco o de la policía porque el identificador de llamada está falsificado: un número visiblemente correcto no es, por tanto, ninguna prueba. En la llamada de shock alguien se hace pasar por un hijo desesperado o por un funcionario y presiona para la entrega inmediata de efectivo o joyas; la supuesta ventana de tiempo es la verdadera palanca. Una comprobación tranquila desactiva casi todas estas tramas: cuelga y vuelve a llamar a la entidad por un número que ya conoces tú mismo, nunca por el indicado durante la conversación. Los bancos y las autoridades reales nunca te someten a la presión de unos segundos ni piden un TAN, el PIN de la tarjeta o el contenido de un SMS de confirmación. La sola frase „tiene que actuar ahora mismo, o si no …“ ya es la señal de alarma, por muy profesional que suene el resto.

Las primeras horas después

Si finalmente ocurre algo, la velocidad decide ante todo la magnitud del daño. Bloquea la tarjeta a través de la línea de bloqueo alemana 116 116 (disponible las 24 horas, accesible desde el extranjero con el prefijo +49) y bloquea el acceso online directamente con tu banco. Presenta denuncia ante la policía sin demora, ya que la denuncia suele ser requisito para que el banco estudie un gesto de buena voluntad. Pide al banco por escrito la retirada de la transferencia (recall); con las transferencias inmediatas la posibilidad es escasa, pero con las normales el intento merece la pena en las primeras horas. Documéntalo todo con capturas, horas e IBAN: un registro sin lagunas ayuda tanto a la investigación como a una posible devolución. Si revelaste datos de acceso, cambia después la contraseña en todos los sitios donde usaras la misma combinación, porque los delincuentes prueban los datos robados sitio por sitio. Y no subestimes las secuelas: las víctimas acaban con frecuencia desproporcionada en listas para estafas de seguimiento, como supuestos „servicios de recuperación“ que ofrecen recobrar el dinero perdido a cambio de un pago por adelantado.

El guion de urgencia que te desarma

Los estafadores no improvisan: siguen un guion diseñado para bloquear tu pensamiento crítico. Reconoce la secuencia típica. Primero, un gancho creíble: un SMS de "movimiento sospechoso en tu cuenta" o una llamada del supuesto "departamento de fraude". Segundo, la urgencia: "si no confirmas en dos minutos, perderás el dinero". Tercero, el aislamiento: te piden que no cuelgues, que no llames a nadie, que no mires la app. Cuarto, la petición: un código, una contraseña o que muevas el dinero a una "cuenta segura". Ese último paso nunca es legítimo. Un ejemplo ilustrativo: recibes un SMS que parece de tu banco a las 22:30 y, minutos después, una llamada que "confirma" el aviso. La coincidencia no es casual; el atacante manda el SMS y llama enseguida para dar realismo. Tu regla práctica: cuando alguien combina miedo y prisa, esa combinación es la señal de alarma, no el contenido del mensaje. Cuelga siempre y verifica por tu cuenta antes de tocar nada, con calma. Ningún banco real te penaliza por tomarte cinco minutos para comprobarlo; esos cinco minutos son precisamente lo que el estafador no puede permitirse, porque su ventaja depende de que actúes sin pensar.

Verifica por un canal que tú eliges

El error caro más común no es caer en un mensaje falso, sino verificarlo por el mismo canal que te contactó. Si respondes al SMS, pulsas el enlace del correo o marcas el número que aparece en pantalla, sigues dentro del circuito del atacante. La regla de oro es el canal fuera de banda: para comprobar cualquier aviso, usa una vía que hayas elegido tú de forma independiente. En la práctica: cierra el mensaje, abre la app oficial de tu banco tecleándola tú mismo (no desde el enlace) o llama al número impreso en el dorso de tu tarjeta física. Un caso ilustrativo de lo fácil que es equivocarse: el identificador de llamada puede falsificarse (spoofing), así que ver el nombre de tu banco en la pantalla no prueba nada. Igualmente, un enlace puede mostrar "tubanco.es" a la vista y llevar a otro dominio. Marco de decisión sencillo: si un mensaje te pide actuar, no actúes desde ese mensaje. Sal, verifica por tu canal propio y solo entonces decide. Aplica esto también a supuestas llamadas de "soporte técnico", paquetería o Hacienda; el patrón es idéntico y la defensa, la misma.

El código que llega a tu móvil

El código de un solo uso que recibes por SMS o en tu app existe para autorizar UNA operación concreta que estás haciendo tú en ese instante. No es una contraseña que confirmar, ni un dato que leer en voz alta a nadie. El fraude más habitual funciona así: el estafador ya tiene tus datos de acceso (por una web falsa previa), inicia sesión o un pago en tu nombre y el banco te envía el código real a tu móvil. Entonces te llama fingiendo ser el banco y te pide "el código de seguridad que acabas de recibir para cancelar el fraude". Si lo dictas, eres tú quien firma la operación del atacante. Detalle que casi nadie lee: los SMS de código suelen incluir el importe y el destinatario. Ejemplo ilustrativo: el mensaje dice "Autorizas un pago de unos 400 € a un comercio que no reconoces" mientras la persona al teléfono jura que es para "protegerte". La contradicción entre lo que lees y lo que te cuentan es la prueba del engaño. Regla firme: lee siempre el texto completo del código antes de introducirlo y nunca lo compartas con nadie, ni siquiera con quien dice ser de tu banco.

Blinda tu correo y tu número

La estafa que vacía cuentas rara vez empieza en el banco: empieza en tu correo electrónico y en tu número de teléfono, porque son las llaves para recuperar todo lo demás. Si un atacante entra en tu email, puede pedir restablecer contraseñas de la banca, ver tus facturas y saber en qué entidades operas. Por eso conviene tratar el correo principal como una caja fuerte. Medidas concretas y de alto impacto: activa la verificación en dos pasos en el email y usa una contraseña larga y única solo para esa cuenta. Un riesgo menos conocido es el SIM swapping: alguien convence a tu operadora de pasar tu número a otra tarjeta SIM y así recibe tus códigos por SMS. Señal de alerta ilustrativa: tu móvil pierde cobertura de repente y sin motivo, sobre todo si coincide con correos de "restablece tu contraseña" que no pediste. En ese caso, llama a tu operadora desde otro teléfono cuanto antes. Marco práctico: prioriza apps de autenticación o llaves físicas frente al SMS cuando el servicio lo permita, y revisa cada cierto tiempo qué dispositivos tienen sesión abierta en tu correo. Cerrar sesiones que no reconoces cuesta un minuto y cierra una puerta principal.