Falso empleado del banco: cómo reconocer la llamada y qué hacer

Suena el teléfono, en la pantalla aparece el nombre o el número de tu banco y una voz tranquila y profesional te avisa de que se ha detectado un movimiento sospechoso en tu cuenta. En pocos minutos, la cuenta puede quedar vacía. La suplantación del banco es uno de los fraudes más extendidos en Europa porque juega a la vez con el miedo y con la confianza. Aquí tienes cómo se desarrolla, cómo reconocerla y qué hacer si ya has seguido las instrucciones del estafador.

El guion típico, paso a paso

Los detalles cambian, pero el hilo casi siempre es el mismo. El estafador te contacta, a menudo después de haber conseguido tus datos en una filtración, en un falso SMS de paquetería o en una web de phishing. Se presenta como alguien del departamento de «fraude» o «seguridad» de tu banco, conoce tu nombre, a veces tu IBAN o las últimas cifras de tu tarjeta, y te dice que acaba de detectar un pago inusual.

Para tranquilizarte, puede mandarte un SMS que parece del banco o invitarte a comprobar que el número que te llama coincide con el de tu tarjeta. Después te explica que hay que «blindar» la cuenta ahora mismo: anular la operación, bloquear la tarjeta, pasar tu dinero a una cuenta «segura» o aprobar una notificación en la app del banco. Cada una de esas peticiones es, en realidad, la operación fraudulenta.

La presión no cesa: «solo tenemos unos minutos», «no cuelgue o el pago se ejecuta». Ese ritmo es justo lo que te impide pensar.

Por qué el número de la pantalla no prueba nada

El número que aparece cuando entra una llamada es un dato que, en ciertos casos, quien llama puede falsificar. Se llama suplantación de número o «spoofing». Los estafadores muestran el número oficial de una oficina o del servicio de atención al cliente, a veces incluso el que figura en el dorso de tu tarjeta. Tranquiliza muchísimo a las víctimas, y por eso mismo se utiliza.

Recuerda: una llamada entrante nunca es una prueba. Si quien llama es de verdad tu banco, entenderá que cuelgues para devolver la llamada tú mismo: un empleado real no se ofende por eso.

Peticiones que deben ponerte en alerta al instante

• Leer un código recibido por SMS (clave de confirmación de un pago con tarjeta, código de acceso, clave de operaciones o de firma). Ese código autoriza una operación a tu nombre; nadie lo necesita para «protegerte».
• Aprobar una notificación en la app del banco para «cancelar» un pago. Aprobar es autorizar.
• Hacer una transferencia o un Bizum a una cuenta «segura», «de tránsito» o «temporal». Ningún banco mueve tu dinero así.
• Instalar una aplicación de control remoto (AnyDesk, TeamViewer o similar) para «revisar tu dispositivo». El estafador pasa a ver tu pantalla y a poder actuar como si fuera tú.
• Añadir tu tarjeta a una cartera móvil (Apple Pay, Google Pay) con un código que te dictan: la tarjeta queda dada de alta en el móvil de quien te llama.
• Dar tu usuario y contraseña, o tu clave de seguridad digital.

Con una sola de estas peticiones basta para concluir que se trata de un intento de fraude, por amable que sea el tono y por preciso que sea el vocabulario.

El reflejo correcto: colgar y llamar tú

El gesto que neutraliza casi todos estos ataques es muy sencillo. Cuelga, espera unos diez segundos para asegurarte de que la línea se ha cortado y contacta tú mismo con tu banco. Usa la app oficial o un teléfono que hayas encontrado por tus propios medios (dorso de la tarjeta, extracto, web oficial). No devuelvas nunca la llamada al número que acaba de llamarte ni respondas a un SMS que te invite a hacerlo.

Si quien llamaba era un estafador, tu banco te lo confirmará y habrás perdido dos minutos. Si era una llamada legítima, el banco podrá comprobarlo contigo en condiciones normales. En ambos casos, colgar no te cuesta nada.

Qué hacer si ya has aprobado algo o has dado un código

1. Llama a tu banco de inmediato y pide que bloqueen la tarjeta, que anulen o impugnen las operaciones y, si es posible, que intenten recuperar una transferencia que acaba de salir. Las primeras horas son decisivas.
2. Corta el acceso remoto si instalaste una aplicación: desinstálala, desconecta el dispositivo de internet y cambia tus contraseñas desde otro aparato.
3. Guarda las pruebas: capturas de pantalla, SMS, registro de llamadas, horas, importes y los IBAN de las cuentas de destino.
4. Presenta una denuncia ante la Policía Nacional o la Guardia Civil con esas pruebas. Muchos bancos piden el número de denuncia.
5. Pide orientación si la necesitas: INCIBE atiende dudas de ciberseguridad en el 017, un servicio gratuito y confidencial.

Si vives en un país latinoamericano, la secuencia es la misma (banco, denuncia, pruebas), aunque cambian las autoridades: pregunta a tu banco y a la entidad de protección del usuario financiero de tu país, por ejemplo la Condusef en México.

Tus derechos: ¿te devolverá el banco el dinero?

La normativa española sobre servicios de pago (que transpone la directiva europea PSD2) establece que, si una operación no está autorizada, tu entidad debe devolverte el importe de inmediato y, como máximo, al final del día hábil siguiente a aquel en que lo observe o se lo notifiques. La excepción es que tenga motivos razonables para sospechar un fraude y lo comunique por escrito al Banco de España. Para comunicar una operación no autorizada dispones en general de 13 meses desde el adeudo, pero cuanto antes avises, mejores son tus opciones.

La dificultad aparece cuando has aprobado tú mismo la operación, por ejemplo confirmando una transferencia en la app. La entidad puede alegar entonces negligencia grave por tu parte. Cada caso se analiza por separado, y el hecho de que se usara una autenticación reforzada no basta por sí solo para demostrar que fuiste negligente. El reembolso, por tanto, ni es automático ni queda descartado.

Si tu banco rechaza la devolución, presenta primero una reclamación por escrito ante su Servicio de Atención al Cliente o su Defensor del Cliente. Si no te responde en plazo o no estás conforme, puedes acudir al Banco de España; sus informes no son vinculantes, pero pueden servir de apoyo. También puedes consultar a una asociación de consumidores o a un abogado. Este texto es información general, no asesoramiento jurídico.

Costumbres que reducen el riesgo

• Activa las notificaciones de pago y lee bien el concepto antes de aprobar nada.
• Fija límites de pago y de transferencia acordes con tu uso: puedes cambiarlos cuando quieras desde la app.
• Desconfía de los falsos SMS de paquetería, reembolsos o Agencia Tributaria: sirven para reunir los datos que harán creíble la siguiente llamada. Consulta nuestra guía sobre los SMS falsos de paquetes.
• Explica a tu familia, sobre todo a los mayores, que un banco nunca pide un código ni una transferencia por teléfono. Esa frase evita la mayoría de los casos.
• Desde octubre de 2025, los bancos de la zona euro deben ofrecer una verificación del beneficiario (nombre e IBAN) antes de una transferencia. Si aparece un aviso, léelo con calma.

Para comprobar un mensaje o un número concreto, puedes usar la herramienta de verificación de correos y teléfonos.