"Tu paquete está retenido en aduanas, paga 1,99 € para recibirlo." "Tienes una multa pendiente de la DGT." "Hemos detectado un acceso no autorizado a tu cuenta, verifica tus datos." Son mensajes que casi todo el mundo ha recibido alguna vez.
Se llama phishing (de fishing, pescar): los estafadores lanzan miles de mensajes haciéndose pasar por empresas o instituciones de confianza esperando que alguien "pique". Cuando llega por SMS se llama smishing y por llamada, vishing. El objetivo siempre es el mismo: que entregues tus datos bancarios, tus contraseñas o un código, o que instales algo en tu móvil.
Los fraudes más comunes
| Se hacen pasar por… | El mensaje típico | Lo que buscan |
|---|---|---|
| Empresas de paquetería (Correos, SEUR, DHL…) | "Tu envío está retenido, paga las tasas" | Datos de tu tarjeta |
| DGT | "Tienes una multa pendiente de pago" | Datos de tarjeta |
| Agencia Tributaria | "Tienes una devolución pendiente" | Datos bancarios y personales |
| Tu banco | "Acceso sospechoso, verifica tu identidad" | Claves de banca online y códigos |
| Seguridad Social, SEPE | Ayudas o trámites pendientes | Datos personales |
| Compañías de luz, gas o teléfono | Descuentos, reembolsos o cortes de suministro | Datos bancarios |
| Plataformas (Netflix, Amazon) | "Tu suscripción se ha suspendido" | Datos de tarjeta |
| Empresas tecnológicas (Microsoft) | Llamada: "su ordenador tiene un virus" | Acceso remoto a tu ordenador |
Las señales que delatan el engaño
1. Urgencia y amenazas
"Últimas 24 horas", "su cuenta será bloqueada", "evite el recargo". La prisa busca que actúes sin pensar.
2. Te piden datos que ya deberían tener
Tu banco no necesita que le "confirmes" tu número de tarjeta ni tus claves. Hacienda no te pide los datos de la tarjeta para hacerte una devolución.
3. El enlace no lleva a la web oficial
Fíjate en el dominio, la parte justo antes del primer "/" de la dirección:
www.agenciatributaria.gob.es/...→ oficial.agenciatributaria-devolucion.com/...→ falso.correos.es-envio.info→ falso: el dominio real eses-envio.info.
Los estafadores usan dominios que se parecen al real, guiones, palabras añadidas o terminaciones extrañas. En el móvil, mantén pulsado el enlace (sin abrirlo) para ver la dirección completa.
4. Remitentes raros
Correos de direcciones que no corresponden a la empresa o números de teléfono normales enviando SMS "del banco". Ojo: los SMS falsos a veces aparecen en el mismo hilo que los mensajes reales de tu banco, porque falsifican el nombre del remitente. Que esté en el mismo hilo no lo hace legítimo.
5. Saludos genéricos y errores
"Estimado cliente" en lugar de tu nombre, faltas de ortografía o traducciones extrañas. Aunque con la IA los mensajes fraudulentos cada vez están mejor escritos, así que no te fíes solo de esto.
6. Importes pequeños
Pagar 1,99 € de "tasas" parece inofensivo. Pero lo que quieren es tu tarjeta completa, que luego usarán para cargos mucho mayores o para darte de alta en suscripciones.
Las llamadas: el vishing
Por teléfono, los estafadores suelen hacerse pasar por:
- Tu banco: "Hemos detectado una compra sospechosa. Para anularla, le enviaremos un código que debe leernos." Ese código autoriza la operación, no la anula.
- Soporte técnico de Microsoft o tu operador: "Su ordenador tiene un virus", y te piden instalar un programa de acceso remoto (AnyDesk, TeamViewer…). Nunca instales nada a petición de alguien que te llama.
- Un familiar en apuros, a veces con la voz clonada por IA. Lo explicamos en estafas con voz clonada.
Pueden incluso falsificar el número que aparece en tu pantalla para que parezca el del banco. Ante la duda, cuelga y llama tú al número oficial que aparece en tu tarjeta o en la app.
Qué hacer cuando recibes un mensaje sospechoso
- No hagas clic en el enlace ni descargues archivos adjuntos.
- No respondas ni llames a los números del mensaje.
- Comprueba por tu cuenta: abre tú la app oficial o escribe la web de la empresa en el navegador. Si había algo pendiente de verdad, aparecerá ahí.
- Bórralo y bloquea al remitente. Puedes reportarlo como spam en tu correo o en la app de mensajes.
Si ya has picado
No te culpes: estos engaños están diseñados por profesionales. Lo importante es actuar rápido:
- Si diste los datos de la tarjeta: llama inmediatamente a tu banco para bloquearla. Revisa los movimientos.
- Si diste las claves de la banca online: llama al banco y cambia las claves.
- Si diste una contraseña: cámbiala en ese servicio y en cualquier otro donde la usaras. Activa la verificación en dos pasos.
- Si instalaste un programa o app a petición del estafador: desconecta el dispositivo de internet, desinstálalo y analiza el equipo. Si es el móvil y no sabes qué instalaste, pide ayuda en un servicio técnico.
- Denuncia ante la Policía Nacional o la Guardia Civil, con capturas del mensaje.
- Llama al 017, la línea gratuita y confidencial de INCIBE, para recibir orientación.
Cómo protegerte de antemano
- Usa un gestor de contraseñas: solo rellena tus datos en la web auténtica, así que si no los rellena automáticamente, sospecha. Lo explicamos en contraseñas seguras.
- Activa las llaves de acceso donde puedas: no funcionan en webs falsas.
- Activa las notificaciones de tu banco para cada pago con tarjeta.
- Mantén actualizado el móvil y el navegador: bloquean muchas webs fraudulentas conocidas.
- Habla de esto con tu familia, especialmente con los mayores.
En resumen
Desconfía de la urgencia, de las peticiones de datos y de los enlaces en mensajes. Ningún banco, Hacienda, la DGT ni Correos te pedirá tu tarjeta o tus claves por SMS o llamada. Ante la duda, no pulses: entra tú por la app o la web oficial. Y si has picado, llama al banco y al 017 cuanto antes.
