Cuando la llamada parece del banco: así funciona el fraude que suplanta a tu entidad
Recibir un SMS que alerta de un acceso sospechoso y, apenas unos segundos después, atender una llamada aparentemente procedente del banco ya no es una coincidencia. En muchos fraudes bancarios, los delincuentes coordinan ambos canales para construir una situación de urgencia y conseguir que la víctima facilite datos, autorice operaciones o instale herramientas de acceso remoto.
La novedad es que los tribunales están analizando estos casos con mayor detalle. El hecho de que el cliente haya interactuado con los estafadores o haya proporcionado un código no implica automáticamente que deba asumir las pérdidas. La entidad debe acreditar que existió una actuación fraudulenta o una negligencia grave por parte del usuario.
Una puesta en escena diseñada para parecer real
El método suele comenzar con un mensaje de texto que imita el formato habitual de una entidad financiera. El aviso informa de un supuesto intento de acceso, una transferencia pendiente o un problema con la tarjeta. El objetivo es provocar miedo y llevar al destinatario a actuar sin comprobar el contenido.
Después llega la llamada telefónica. El interlocutor se presenta como un empleado del banco, conoce algunos datos personales de la víctima y explica que está tratando de bloquear una operación. Para reforzar su credibilidad, puede mencionar los últimos movimientos de la cuenta, el nombre del titular o incluso una oficina cercana.
En realidad, los delincuentes pueden haber obtenido esa información mediante filtraciones de datos, campañas anteriores de phishing o técnicas de ingeniería social. También es habitual que utilicen números falsificados para que en la pantalla del teléfono aparezca el nombre o el número real de la entidad.
El papel del spoofing en la llamada fraudulenta
Esta técnica recibe el nombre de spoofing telefónico. Permite manipular la identificación de la llamada para hacer creer al receptor que el contacto procede de un número legítimo. Aunque el usuario compruebe visualmente que aparece el teléfono de su banco, ese dato no demuestra por sí solo quién está al otro lado.
La suplantación puede combinarse con el vishing, el fraude basado en llamadas de voz, y con mensajes SMS que conducen a páginas falsas. El criminal crea así una cadena coherente: primero genera la alerta, después ofrece una supuesta solución y, finalmente, solicita las claves, los códigos de un solo uso o la confirmación de una operación.
En ocasiones, la víctima no comparte directamente su contraseña. Puede limitarse a leer un código recibido por SMS o a pulsar una notificación de la aplicación bancaria. Sin embargo, ese código puede servir para validar una transferencia que el usuario no ha iniciado conscientemente.
Por qué no basta con decir que el cliente dio el código
Las entidades suelen argumentar que la operación fue autorizada porque se emplearon las credenciales correctas o porque el cliente confirmó una notificación. No obstante, la autenticación técnica y el consentimiento real no son exactamente lo mismo.
La normativa de servicios de pago distingue entre una operación correctamente autenticada y una operación verdaderamente autorizada por el titular. Si el cliente niega haber ordenado el pago, corresponde al banco analizar lo ocurrido y aportar pruebas suficientes sobre la autenticidad de la operación y la posible conducta negligente del usuario.
La jurisprudencia está poniendo el foco en el contexto. No se valora únicamente si se facilitó un código, sino cómo se obtuvo, qué información proporcionó el supuesto empleado, si la llamada parecía proceder del banco y qué medidas de seguridad aplicó la entidad para detectar una operación anómala.
La responsabilidad de la entidad financiera
Ante una operación no autorizada, el proveedor de servicios de pago debe actuar con rapidez. En términos generales, la regulación establece la obligación de reembolsar el importe, salvo que pueda demostrar que el cliente actuó de forma fraudulenta o incurrió en una negligencia grave.
Esto no significa que todos los casos se resuelvan automáticamente a favor del consumidor. La conducta concreta es determinante. No es igual entregar voluntariamente las claves completas y desactivar medidas de seguridad que seguir las instrucciones de una persona que suplanta al banco mediante una llamada aparentemente legítima.
También deben valorarse las circunstancias de la operación: el importe, la hora, el dispositivo utilizado, el país de destino, el historial de movimientos y la existencia de alertas internas. Una transferencia inusual puede exigir controles adicionales por parte de la entidad, especialmente cuando se produce después de un acceso sospechoso o desde un dispositivo no habitual.
Qué hacer si se produce una transferencia fraudulenta
- Contactar inmediatamente con el banco a través de un número oficial y solicitar el bloqueo de las cuentas, tarjetas y canales digitales.
- Comunicar por escrito la operación no autorizada y pedir un número de referencia o justificante de la reclamación.
- Denunciar los hechos ante la Policía Nacional, la Guardia Civil o el juzgado, aportando SMS, capturas, números de teléfono y justificantes.
- Conservar todas las pruebas, incluidos registros de llamadas, mensajes, correos, páginas visitadas y conversaciones mantenidas con los supuestos empleados.
- Revisar el dispositivo por si se instaló alguna aplicación de control remoto y cambiar las contraseñas desde un equipo seguro.
Si el banco rechaza el reembolso, el cliente puede presentar una reclamación ante el servicio de atención al cliente de la entidad y, posteriormente, acudir al supervisor competente o valorar la vía judicial. La documentación resulta esencial para demostrar que el contacto fue una suplantación y que la operación no respondía a una decisión consciente.
La prevención pasa por romper la urgencia
Ningún banco debería pedir por teléfono las claves completas, el PIN o los códigos de seguridad para cancelar una transferencia. Ante una llamada alarmante, lo más seguro es colgar y contactar con la entidad mediante la aplicación oficial, la web escrita manualmente o el número que figura en la tarjeta.
La apariencia de legitimidad ya no es una prueba suficiente. Que el SMS utilice el mismo hilo que otros mensajes del banco o que la llamada muestre el número correcto no garantiza que el contacto sea auténtico. La principal defensa consiste en detener la conversación, verificar por un canal independiente y no autorizar ninguna operación bajo presión.
