Cómo reconocer una estafa de suplantación bancaria

Una estafa, tres canales

La suplantación bancaria no es una sola estafa; es la misma mentira entregada por mensaje de texto, teléfono o correo, a menudo combinados. Un mensaje dice que hay un cargo inusual. Un minuto después entra una llamada de lo que parece el número de su banco. Llega un correo para «confirmar» todo. Cada canal hace que los demás parezcan más reales, y ese refuerzo es precisamente el objetivo.

La suplantación puede ser de su banco, del emisor de su tarjeta o de una aplicación de pago, como un servicio de transferencias entre particulares. La historia siempre se plantea como protección: alguien ha intentado mover su dinero, y quien llama está aquí para ayudarle a detenerlos. Ese planteamiento baja su guardia, porque siente que está en el mismo equipo que la persona que le contacta.

Ayuda recordar lo que su banco real ya sabe y ya hace. Conoce su nombre y los datos de su cuenta, así que no le pedirá que los «confirme» desde cero. Puede congelar una tarjeta o bloquear un pago por su cuenta, así que no necesita que usted autorice nada con urgencia para mantenerle a salvo. Y esperará con gusto mientras usted cuelga y vuelve a llamar, porque un banco real no tiene nada que perder con su cautela, mientras que un estafador lo tiene todo que perder con ella.

Si quiere el manual completo para detectar mensajes falsos que dicen proceder de un banco o de un organismo oficial, nuestro centro de mensajes oficiales reúne los indicios en un solo lugar.

• Cómo detectar mensajes oficiales falsos

El truco de «¿realizó usted este cargo?»

El inicio más común es un mensaje o una llamada que le pide confirmar una transacción: «¿Ha intentado enviar 850 $ a un destinatario desconocido? Responda SÍ o NO». Usted responde NO, que es cierto, no lo hizo, y ahora ya ha entrado en el juego. Un momento después, alguien «del departamento de fraude» le guía para «revertir» el cargo, lo que de algún modo requiere que lea en voz alta un código, mueva dinero a una «cuenta segura» o confirme su inicio de sesión.

Ese es el juego de manos. No hay ningún cargo. Su NO simplemente confirmó que usted es una persona real, activa y preocupada, y el resto de la llamada es teatro diseñado para que autorice una transferencia o entregue una credencial. Los departamentos de fraude reales bloquean un cargo sospechoso y le dejan resolverlo; no le piden que mueva dinero para protegerlo.

La versión de la aplicación de pago funciona igual: una alerta falsa pregunta si usted envió dinero por Zelle o un servicio similar, y el «agente» que le llama a continuación usa su negativa para convencerle de enviar un pago real y «cancelar» el falso. La dirección del dinero es siempre el indicio.

• Suplantación de alerta de fraude bancario
• Estafa de alerta de fraude de Zelle «¿Envió usted esto?»

Por qué el identificador de llamadas y el código resultan convincentes

Dos detalles hacen que estas llamadas sean difíciles de descartar. El primero es la suplantación: los estafadores pueden hacer que su teléfono muestre el nombre o el número real de su banco, así que «apareció como mi banco» no prueba nada sobre quién llama en realidad. El segundo es el código de verificación. Quien llama dice que el banco le está enviando un código para «confirmar su identidad» y le pide que lo lea en voz alta. Ese código no confirma nada para ellos; es el código que les permite entrar en su cuenta o autorizar su transacción.

Ningún empleado legítimo de un banco le pedirá jamás que lea en voz alta un código de un solo uso, un PIN o una contraseña completa. Si alguien en una llamada le pide un código que acaba de llegar por mensaje de texto, la llamada es una estafa, diga lo que diga la pantalla. Cuelgue.

La misma lógica se aplica a quien le dice que no cuelgue, o que mantenga la llamada mientras va a su sucursal o al cajero. La presión para que siga en la línea es una táctica de control, no una medida de seguridad. Una interacción genuina con un banco siempre puede pausarse y reanudarse; una estafa depende de no dejarle nunca salir del teléfono el tiempo suficiente para pensar o para llamar a alguien que le disuada.

Los correos funcionan igual con distintos recursos. Un correo bancario falso se apoya en un asunto urgente, un botón de inicio de sesión que lleva a un dominio imitado y la justa cantidad de imagen de marca real para pasar un vistazo. Lo más seguro con cualquier correo bancario es no hacer clic nunca en el botón: abra una pestaña nueva y escriba usted mismo la dirección, o use su aplicación. Si el mensaje es real, verá la misma alerta esperándole dentro de su cuenta.

• La suplantación (spoofing), explicada
• Vishing (phishing por voz)

La única regla que lo vence: llame al número de su tarjeta

Este es el hábito que neutraliza casi todas las versiones de esta estafa. Si recibe cualquier mensaje o llamada sobre su cuenta, no use el número, el enlace ni el teléfono de devolución de llamada de ese mensaje. Cuelgue o déjelo a un lado, dé la vuelta a su tarjeta o abra su aplicación bancaria oficial, y contacte con el número que figura ahí. Llegará al banco real y podrá preguntarle directamente si ocurre algo.

Esto funciona porque toda la estafa depende de mantenerle dentro de un canal que el estafador controla. En el momento en que sale de él y llega al banco en sus propios términos, su historia se desmorona: no había ningún cargo, ningún departamento de fraude llamando, nada que revertir. Le cuesta dos minutos y derrota a la vez a un número suplantado, a un guion convincente y a un correo falso.

Cree el reflejo ahora, antes de ser la persona nerviosa al teléfono. Cualquier contacto inesperado sobre su dinero recibe la misma respuesta: llamaré al número de mi tarjeta y lo comprobaré.

• Cuando una llamada de un «banco» le sacó un código de verificación

Smishing, suplantadores y a qué estar atento

La suplantación bancaria por mensaje de texto tiene su propio nombre, smishing, y se apoya en enlaces a páginas de inicio de sesión falsas. Si un mensaje bancario contiene un enlace que le pide iniciar sesión o verificar, no lo toque; inicie sesión de la forma en que lo hace normalmente. La categoría más amplia son las estafas de suplantación de identidad, en las que alguien se atribuye una autoridad que no tiene para que usted actúe en contra de sus propios intereses.

Esté atento a los indicios recurrentes: urgencia («actúe ahora o su cuenta se congelará»), una solicitud de un código o una contraseña, presión para mover dinero y cualquier empujón para alejarle de los canales oficiales de su banco. Cualquiera de estos debería detenerle; dos juntos significan que es una estafa.

Si un mensaje sobre su cuenta también toca las compras, las entregas o un inicio de sesión sospechoso en otro servicio, nuestras guías hermanas sobre mensajes fraudulentos y correos de phishing cubren esos ángulos con más profundidad.

• Smishing (phishing por SMS)
• Estafas de suplantación de identidad, explicadas
• Cómo detectar un mensaje de texto fraudulento
• Cómo detectar un correo de phishing

FAQ