Qué hacer si
ya has picado

Dos cosas, y en este orden. Si la conversación con el estafador sigue abierta, sea una llamada, un chat o una sesión de control remoto, córtala: cuelga, cierra el chat y, si te hicieron instalar un programa para ver tu pantalla, desconecta ese equipo de internet quitando el cable y el wifi. Después, llama a tu banco al número que aparece en el dorso de la tarjeta o en su aplicación oficial y di que has sido víctima de un fraude: pide que bloqueen la tarjeta y que intenten frenar cualquier transferencia o pago que no reconozcas. Todo lo demás, cambiar contraseñas, denunciar, avisar a tus contactos, es importante pero admite unos minutos de retraso. El dinero, no: una transferencia que sale ahora puede estar fuera de la cuenta de destino poco después, y el margen para pararla se mide en horas, no en días. Si solo haces una llamada hoy, que sea al banco.

Al que ya tenías antes de todo esto: el que aparece impreso en el dorso de la tarjeta, en la aplicación oficial del banco que ya usabas o en su web, escribiendo tú la dirección en el navegador. Nunca al número que te dio la persona que te engañó, al que venía en el SMS o al que aparece en la pantalla de la llamada que recibiste, porque ese número puede estar controlado por el estafador o estar suplantado para que parezca el del banco. Es un detalle que se olvida con los nervios, y hay estafas que cuentan precisamente con eso: te llaman «del departamento de seguridad» justo después del primer engaño para rematarlo. Si mientras hablas con tu banco te entra otra llamada que dice ser del banco, no la cojas. Y si la oficina está abierta y cerca, ir en persona también sirve, pero la llamada es más rápida y en estas horas la rapidez es lo que cuenta.

Depende de para qué fuera ese código, y por eso conviene leer el SMS entero, no solo los números. Los códigos que envía el banco suelen servir para confirmar una operación concreta: un pago con tarjeta, una transferencia, el alta de un móvil nuevo en la aplicación o el cambio de algún dato de seguridad. Si lo leíste en voz alta a alguien, lo más probable es que ese alguien lo usara para autorizar justo eso, aunque te dijera que era para «cancelar un cargo» o «verificar tu identidad». Díselo al banco con esas palabras cuando llames: que diste un código y a qué hora, para que revisen qué se autorizó con él y si hay algún dispositivo nuevo vinculado a tu cuenta o a tu tarjeta. Si el código era de WhatsApp o de otra aplicación de mensajería, es probable que hayan registrado tu cuenta en otro teléfono, y eso pide recuperar la cuenta y avisar a tus contactos cuanto antes.

Desinstalarlo es necesario, pero no suficiente. Primero desconecta el equipo de internet para cortar la sesión; luego desinstala el programa desde la configuración del sistema. El problema es que, mientras la otra persona tuvo el control, pudo hacer cosas que no se ven: ver contraseñas guardadas en el navegador, abrir tu banca online, descargar documentos o dejar instalado otro programa que le permita volver a entrar más adelante sin pedirte permiso. Por eso ese equipo no debe usarse para entrar en el banco ni en el correo hasta que alguien lo revise, y las contraseñas se cambian desde otro dispositivo que no haya estado en esa sesión, como el móvil. Si en el equipo había datos de clientes o de la empresa, la revisión no es opcional. A veces basta con una limpieza cuidadosa y otras veces lo prudente es reinstalar el sistema; se decide mirando el equipo, no por teléfono, y es de lo que nos ocupamos en soporte informático.

Depende sobre todo de cómo salió el dinero, y nadie puede garantizarlo de antemano. La normativa de servicios de pago distingue entre operaciones que tú no autorizaste, como un cargo con tu tarjeta hecho por otra persona con los datos que le diste, y operaciones que hiciste tú mismo creyendo que eran legítimas, como una transferencia a la cuenta de una factura falsa. En el primer caso la ley prevé, en principio, que el banco devuelva el importe, aunque hay excepciones, por ejemplo si el banco considera que hubo negligencia grave, y conviene comunicarlo sin demora. En el segundo, al haber ordenado tú el pago, recuperarlo es bastante más difícil y depende de que el banco consiga retener el dinero en la cuenta de destino. En ambos casos, lo que más ayuda es haber avisado rápido, tener la denuncia y guardar todas las pruebas. Si el banco rechaza la devolución y no estás de acuerdo, puedes reclamar por escrito y pedir asesoramiento.

En la Policía Nacional o la Guardia Civil, según dónde vivas, o en los Mossos d'Esquadra si estás en Cataluña. La denuncia no devuelve el dinero por sí sola, pero el banco suele pedirla para tramitar la reclamación, y deja constancia oficial de lo que pasó por si más adelante alguien usa tus datos para otra cosa. Lleva todo lo que tengas, ordenado: capturas de los mensajes o del chat, el número desde el que te llamaron o escribieron y la hora, los correos con sus adjuntos, los justificantes de pagos o transferencias y los movimientos que no reconoces en la cuenta. Apunta también, mientras lo tienes fresco, qué te dijeron y qué hiciste tú en cada momento. Si no sabes bien qué pasos te tocan, el 017 de INCIBE atiende consultas de ciberseguridad de forma gratuita y confidencial, y te puede orientar sobre qué hacer según lo que entregaste.

Casi con seguridad es una segunda estafa, y es muy habitual justo después de la primera. Quien ya ha picado una vez está en la lista de personas que responden, está nervioso y quiere recuperar lo perdido, así que es el objetivo perfecto. El guion cambia poco: una supuesta empresa, un abogado o incluso alguien que dice ser de la policía te ofrece rastrear el dinero y devolvértelo a cambio de un pago por adelantado, unas «tasas», o de que instales un programa para «revisar tu cuenta». Ni la policía ni el banco cobran por recuperar dinero de un fraude, y nadie serio puede prometer que lo va a conseguir. Si alguien se pone en contacto contigo sin que tú lo hayas buscado y te pide dinero o acceso a tu equipo para devolverte lo robado, cuelga. La recuperación, si es posible, pasa por tu banco y por la denuncia, no por intermediarios que te encuentran a ti.

Por otro canal que siga siendo tuyo, y cuanto antes, porque el objetivo habitual de quedarse con una cuenta así es escribir a tus contactos haciéndose pasar por ti para pedirles dinero, un código o que pinchen un enlace. Si perdiste el WhatsApp, avisa por SMS, por llamada o desde otra red social a la familia y a las personas con las que más hablas: «si os escribo pidiendo dinero o un código, no soy yo». Si fue el correo, lo mismo con tus clientes y proveedores habituales, sobre todo si hablas con ellos de pagos, porque desde tu buzón se puede enviar una factura con otra cuenta bancaria. Mientras tanto, intenta recuperar la cuenta con el proceso oficial de cada servicio y, en cuanto vuelva a ser tuya, activa la verificación en dos pasos. No hace falta dar detalles del engaño a todo el mundo: basta con que sepan que, durante unos días, cualquier petición rara que llegue a tu nombre no es tuya.