Suplantación del banco
por SMS y WhatsApp

Porque el móvil agrupa los SMS por el nombre del remitente, y ese nombre no se comprueba. Cuando un banco te manda un mensaje, en la pantalla no ves un número de teléfono sino un texto, el nombre del banco. Ese texto lo escribe quien envía el mensaje, y el sistema de SMS no verifica que tenga derecho a usarlo. Así que quien suplanta a tu banco escribe exactamente el mismo nombre, y tu teléfono, que no tiene forma de distinguirlos, coloca su mensaje en la misma conversación que los códigos de verdad que llevas años recibiendo. Es lo que desarma a casi todo el mundo: el hilo es auténtico, el historial es auténtico, y el último mensaje parece uno más. Por eso el lugar donde aparece un SMS no demuestra nada. Lo que importa es lo que te pide: si te manda a un enlace, a un teléfono o a hacer algo con prisa, no es el banco.

No. El número que aparece en la pantalla cuando alguien te llama también se puede falsificar, con herramientas que no requieren ningún conocimiento especial. Ver el teléfono de atención al cliente de tu banco, incluso con el nombre que tienes guardado en la agenda, solo significa que alguien ha elegido mostrar ese número, no que la llamada salga del banco. Es la segunda pieza del mismo engaño: primero el SMS en el hilo de siempre, luego una llamada desde el número de siempre, y las dos cosas juntas parecen una confirmación mutua. No lo son, porque las dos se falsifican igual. Tampoco sirve preguntar «¿cómo sé que eres del banco?», porque tienen respuesta preparada, a veces con tus datos reales. Lo único que funciona es cortar ese canal: cuelga y llama tú al número impreso en el dorso de tu tarjeta o al que aparece dentro de la aplicación del banco. Si era de verdad, te lo confirmarán ahí.

Es la parte final del guion y la que convierte el engaño en dinero perdido. Te dicen que tu cuenta está comprometida, que alguien está intentando vaciarla, y que para protegerla hay que mover el saldo a una cuenta «segura», «puente» o «de custodia» mientras se resuelve. A veces te dan un IBAN, a veces te guían para hacer un Bizum o una transferencia desde tu propia aplicación, y a veces te piden que retires efectivo. Esa cuenta es de quien te está llamando. Ningún banco protege tu dinero pidiéndote que lo saques tú de tu cuenta: si de verdad detecta un problema, bloquea operaciones o tarjetas desde dentro, sin que muevas nada. La transferencia la haces tú, con tus claves, desde tu móvil, y eso es precisamente lo que buscan, porque así la operación consta como autorizada por el titular. La regla es absoluta: si alguien te pide mover dinero para protegerlo, es fraude, sin excepción.

Ese código es tu firma. El banco lo envía para que confirmes una operación concreta: un pago, una transferencia, un cambio de datos o dar de alta tu tarjeta en otro móvil para pagar con él. Quien te llama ya ha iniciado esa operación por su lado, con datos que te ha sacado antes o que ha conseguido en una página falsa, y solo le falta el código que acaba de llegarte a ti. Por eso te lo pide con una excusa: «para anular el cargo sospechoso», «para verificar que eres tú», «para cancelar la transferencia». Lee el texto completo del SMS antes de nada: muchas veces dice exactamente qué estás autorizando y añade que no lo compartas con nadie, tampoco con el banco. Ningún empleado de tu banco necesita que le dictes un código para anular nada. Si alguien te lo pide por teléfono, por WhatsApp o por cualquier otra vía, cuelga. Dictarlo equivale a firmar la operación.

Trátalo como falso. Poner el logo de un banco en la foto de perfil de WhatsApp y su nombre en el perfil está al alcance de cualquiera: basta con un número de móvil nuevo. El mensaje suele seguir el mismo guion que el SMS, con una operación sospechosa, un bloqueo inminente o una verificación pendiente, y te propone seguir la conversación por ahí, mandar una foto de la tarjeta o del DNI, pulsar un enlace o recibir una llamada. Que el perfil parezca oficial no dice nada: lo que dice mucho es que tu banco te escriba desde un número que no conoces para pedirte datos con prisa. Si tu banco usa algún canal de mensajería, lo encontrarás explicado dentro de su aplicación o en su web oficial, a la que llegas escribiendo tú la dirección. Ante la duda, no respondas en ese chat: abre la aplicación del banco o llama al número del dorso de la tarjeta y pregunta si existe esa incidencia.

Llama a tu banco inmediatamente, al número del dorso de la tarjeta o al de la aplicación, nunca al que te dieron en la llamada. Explica que has sido víctima de una suplantación, qué operación has autorizado y cuándo, y pide que bloqueen tarjetas y accesos y que intenten detener o recuperar la transferencia. No hay garantía de recuperarla, pero cuanto antes llames, más opciones hay. Después, desde un dispositivo de confianza, cambia la contraseña de la banca en línea y la del correo si también la diste o la escribiste en una página falsa. Guarda los SMS, los mensajes de WhatsApp y el registro de llamadas: no borres nada, porque es la prueba. Con eso, presenta denuncia ante la Policía Nacional, la Guardia Civil o los Mossos d'Esquadra. El 017 de INCIBE orienta gratis sobre los pasos a seguir. Si además instalaste alguna aplicación que te pidieron, ese móvil necesita revisarse antes de volver a usarlo para el banco.

Algunos sí. Existen normas que obligan a las operadoras a filtrar parte de las llamadas y los SMS que suplantan números o remitentes, y los propios bancos avisan cada vez más de estos engaños. Pero no cuentes con que el filtro lo pare todo: los atacantes cambian de método en cuanto uno deja de funcionar, usan números nacionales reales, pasan a WhatsApp o combinan canales. Un filtro reduce cuántos mensajes llegan, pero no cambia lo que tienes que hacer con el que sí llega. Además, el engaño no depende de la tecnología sino de la conversación: el paso decisivo siempre lo das tú, al dictar un código, pulsar un enlace o hacer una transferencia. Por eso las reglas son las mismas que hace años y siguen funcionando: el banco no te pide códigos ni contraseñas ni que muevas dinero; tú cuelgas y llamas al número que ya tenías; los enlaces de los SMS no se tocan.

Con tres frases cortas, escritas en un papel junto al teléfono o en la nevera, porque en el momento de la llamada nadie recuerda un discurso largo. Primera: «el banco nunca pide códigos, contraseñas ni que muevas dinero». Segunda: «si llaman del banco, cuelgo y llamo yo al número de la tarjeta». Tercera: «los enlaces de los SMS no se tocan». Explica también por qué el mensaje estará en el hilo de siempre y la llamada vendrá del número de siempre, porque es justo lo que hace dudar a la gente precavida. Y quita la vergüenza de en medio: diles que prefieres diez llamadas preguntando si algo es normal antes que una transferencia a una cuenta desconocida. En una empresa, lo mismo aplica a quien gestiona pagos y a quien tiene el móvil de empresa: nadie autoriza operaciones por una llamada entrante, y ante cualquier duda se consulta antes de hacer nada.