SMS falsos del banco: 43 detenidos y 1,14 M€ estafados

La Policía Nacional ha detenido a 43 personas en Madrid y Cádiz por formar parte de una organización que enviaba SMS falsos del banco para estafar a personas mayores. El botín supera los 1.140.000 euros. Los mensajes suplantaban a entidades como CaixaBank y alertaban de una supuesta incidencia de seguridad.

Smishing es el nombre que recibe el fraude por SMS, y el vishing es el mismo engaño por llamada. Esta red combinaba ambos, y por eso interesa a cualquier usuario en España que tenga cuenta bancaria. Repasamos qué ha pasado, cómo funcionaba la trampa y qué detalles te permiten reconocerla a tiempo.

Qué ha pasado: la operación policial en Madrid y Cádiz

La operación se ha saldado con 43 detenidos y 13 personas más investigadas, dentro de un total de 95 imputados. La Policía Nacional ha esclarecido 134 hechos delictivos que afectaron a unas 130 víctimas.

Te puede interesarDefendnot: la nueva ciberamenaza que desactiva Microsoft Defender

• Botín total: más de 1.140.000 euros.
• Mayor estafa a una sola víctima: más de 45.000 euros.
• Zonas de actuación: Madrid y Cádiz.

La red la formaban jóvenes veinteañeros con conocimientos informáticos. Contaban además con «muleros», personas captadas en redes sociales para abrir cuentas bancarias y mover el dinero robado.

Cómo funcionaban los SMS falsos del banco

El método empezaba con un mensaje de texto masivo que imitaba a una entidad bancaria. El texto hablaba de una incidencia de seguridad, de la suspensión de la operativa o de una transacción sospechosa. Siempre pedía actuar con urgencia, llamando a un número de teléfono o entrando en una página web.

La llamada del falso gestor

Quien llamaba o contactaba se encontraba con un supuesto empleado del departamento de seguridad o antifraude. Con ese papel de gestor, el estafador pedía datos confidenciales: el DNI, las claves de acceso y los códigos de verificación (OTP) que el banco envía al móvil para autorizar operaciones.

Con esos códigos, los delincuentes autorizaban ellos mismos las transferencias desde la cuenta de la víctima. Es la parte clave del engaño, porque el usuario cree que está protegiendo su dinero cuando en realidad está dando permiso para sacarlo.

A quién afecta en España

Las víctimas elegidas eran generalmente personas mayores de 65 años, un perfil menos habituado a detectar mensajes fraudulentos y más propenso a fiarse de una voz que habla en nombre del banco. Pero el patrón sirve contra cualquiera. Un SMS con aspecto oficial, que llega en un momento de prisa, puede engañar a usuarios de todas las edades.

Conviene avisar a familiares mayores, ya que la urgencia es precisamente lo que buscan los estafadores. Un minuto de calma antes de llamar a un número desconocido evita la mayoría de estos fraudes.

Cómo identificar un SMS falso del banco

Estas son las señales más claras para reconocer el engaño:

• Urgencia: amenazan con bloquear la cuenta o con perder dinero si no actúas ya.
• Número o enlace desconocido: te piden llamar a un teléfono que no es el que figura en tu tarjeta o en la web oficial de tu banco.
• Petición de claves o códigos: los códigos OTP sirven para autorizar operaciones, y ningún gestor legítimo debería pedirte que se los dictes.
• Tono de «departamento de seguridad»: el estafador intenta darte confianza con términos técnicos y una supuesta autoridad.

Nuestra recomendación

No contestes ni llames al número del SMS. Cuelga si ya has llamado y contacta con tu banco usando el teléfono que aparece en tu tarjeta o en su aplicación oficial. Si dudas, entra tú mismo en la app del banco, sin pulsar ningún enlace, y comprueba si hay algún aviso real.

Como refuerzo, puedes bloquear llamadas de spam y comerciales en tu móvil y activar passkeys, que protegen tus cuentas sin depender de contraseñas. Si sospechas que ya han tocado tu teléfono, repasa cómo saber si espían tu móvil. También tienes una guía para detectar un CAPTCHA falso, otro engaño habitual. Estas buenas prácticas de Seguridad Informática reducen mucho el riesgo.

Qué hacer si ya has dado tus datos

Si has facilitado claves o códigos, actúa de inmediato:

• Llama a tu banco y pide que bloqueen tus tarjetas y el acceso a la banca online.
• Cambia las contraseñas de tu cuenta y de cualquier servicio que use la misma clave.
• Denuncia los hechos ante la Policía Nacional o la Guardia Civil y guarda el SMS, el número de teléfono y las capturas como prueba.

Cuanto antes avises a la entidad, más opciones hay de frenar movimientos pendientes.

Preguntas frecuentes

¿Qué es el smishing?

Es una estafa que se hace mediante SMS. El mensaje suplanta a una entidad, como un banco, para que la víctima pulse un enlace o llame a un número y entregue sus datos.

¿Puede mi banco pedirme por teléfono el código que me llega al móvil?

No debería. Esos códigos sirven para autorizar operaciones y solo los debes introducir tú, en tu app o en la web oficial. Si alguien te los pide por teléfono, es una señal de estafa.

¿A quién suplantaban en esta campaña?

A entidades bancarias, entre ellas CaixaBank. Los mensajes hablaban de incidencias de seguridad, suspensión de la operativa o transacciones fraudulentas.

¿Cuánto dinero se estafó en total?

Más de 1.140.000 euros en 134 hechos delictivos, con unas 130 víctimas. En un caso concreto se superaron los 45.000 euros.