Phishing bancario: cómo reconocerlo y protegerte
Cómo detectar los correos que imitan a tu banco para robar tus claves, cómo protegerte y qué hacer si ya has caído.
El phishing bancario es un engaño para que entregues tus claves o datos de pago.
Llega sobre todo por correo electrónico y suele imitar el aspecto de tu entidad.
Tu banco no te pedirá nunca contraseñas ni códigos de confirmación por correo, SMS o teléfono.
Si dudas, no pulses ningún enlace: entra en la web o la app oficial escribiendo tú la dirección.
Qué es el phishing bancario
El phishing es una técnica de fraude en la que alguien se hace pasar por una entidad de confianza para conseguir tus datos. En el caso bancario, el objetivo suele ser tu usuario y contraseña de la banca online, los datos de tu tarjeta o los códigos que recibes para confirmar operaciones.
Con esa información, el estafador puede entrar en tu cuenta, hacer transferencias o compras y, en algunos casos, dar de alta tu tarjeta en otro dispositivo. Por eso es importante aprender a detectar estos mensajes antes de que hagan daño.
Cómo suele llegar
El canal más habitual es el correo electrónico, aunque la misma idea se repite por SMS (smishing) o por llamada (vishing). Te lo explicamos en detalle en nuestra guía sobre smishing y vishing.
Un correo de phishing típico:
Usa el logotipo, los colores y el tono de una entidad conocida.
Habla de un problema urgente: un cargo sospechoso, una cuenta bloqueada o una actualización obligatoria.
Incluye un enlace o un archivo adjunto para "solucionarlo".
Lleva a una web que imita la de tu banco y te pide tus claves.
Señales para reconocerlo
Ningún detalle por sí solo confirma un fraude, pero varias señales juntas deberían ponerte en alerta.
En el remitente y el enlace
La dirección del remitente no coincide con el dominio oficial de la entidad o tiene letras cambiadas.
Al pasar el ratón por el enlace (sin pulsar), la dirección real es distinta de la que esperas.
La web a la que lleva tiene un nombre parecido pero no idéntico al oficial.
En el contenido
Te meten prisa: "si no actúas en 24 horas, bloquearemos tu cuenta".
Te piden datos que tu entidad ya tiene o que nunca solicita por ese canal.
El saludo es genérico ("Estimado cliente") o hay faltas de ortografía y frases extrañas.
Te ofrecen un premio, un reembolso o una devolución que no esperabas.
En lo que te piden
Esta es la señal más clara. Si un mensaje te pide tu contraseña completa, el PIN de la tarjeta o el código que te llega por SMS para autorizar una operación, es un intento de fraude. Ese código sirve precisamente para confirmar pagos: quien lo tiene puede usarlo en tu nombre.
Cómo protegerte
Unos hábitos sencillos reducen mucho el riesgo:
No accedas a tu banca desde enlaces. Escribe la dirección de la web oficial o usa la app que descargaste de la tienda oficial.
Activa las notificaciones de movimientos y pagos para detectar cualquier operación rara al momento.
Usa contraseñas únicas y no las guardes en notas del móvil sin protección.
Mantén actualizados el sistema operativo, el navegador y la app de tu banco.
Desconfía de los adjuntos inesperados, aunque parezcan facturas o justificantes.
Revisa tus movimientos con frecuencia, aunque no hayas recibido ningún aviso.
Qué hacer si has caído
Si has introducido tus datos en una web sospechosa o has facilitado un código, actúa rápido:
Llama a tu entidad por el teléfono que aparece en su web oficial o en el reverso de tu tarjeta y explica lo ocurrido. Pide que bloqueen el acceso y la tarjeta si es necesario.
Cambia tus contraseñas de la banca online y de cualquier servicio en el que uses la misma clave.
Revisa los movimientos y anota cualquier cargo que no reconozcas. En nuestra guía sobre qué hacer ante un cargo que no reconoces tienes los pasos.
Guarda las pruebas: el correo, capturas de pantalla, la dirección de la web falsa.
Denuncia ante la Policía Nacional o la Guardia Civil. La denuncia suele ser necesaria para tramitar reclamaciones.
Pide ayuda: el 017 es la línea gratuita de ayuda en ciberseguridad del INCIBE, donde te orientan sobre cómo actuar.
Cuanto antes avises a tu entidad, más fácil será frenar nuevas operaciones.
Errores habituales
Pensar que un mensaje es real porque incluye tu nombre o parte de tu número de tarjeta: esos datos pueden haberse filtrado antes.
Confiar en que una web es segura solo porque muestra un candado. El candado indica que la conexión está cifrada, no que la web sea de quien dice ser.
Reenviar el mensaje a contactos para "avisarles" con el enlace activo.
Resumen y preguntas frecuentes
¿Mi banco puede pedirme las claves por correo? No. Ninguna entidad legítima te pedirá contraseñas, el PIN ni códigos de confirmación por correo, SMS o teléfono.
¿Qué hago con un correo sospechoso que no he abierto? No pulses enlaces ni abras adjuntos. Puedes reenviarlo al canal de avisos de fraude de tu entidad, si lo tiene, y después borrarlo.
¿Sirve de algo denunciar si no he perdido dinero? Sí. Avisar a tu entidad y, si quieres, consultar al 017 ayuda a proteger tus cuentas y a detectar campañas de fraude activas.