«Código de verificación: 748 219. No comparta este código con nadie, ni siquiera con un asesor.»
Usted no ha pedido nada. Sin embargo, el SMS procede de un remitente que reconoce: el nombre de su banco, de un marketplace, de un servicio de pagos. Lo lee dos veces, se encoge de hombros. Y veinticinco segundos más tarde suena el teléfono.
Al otro lado, una voz serena, un ligero murmullo de centralita de fondo, su nombre pronunciado correctamente. «Buenos días, servicio de seguridad. Hemos detectado un intento de pago de 847 euros en su cuenta desde un dispositivo desconocido. Acaba de recibir un código por SMS: es el código de anulación. ¿Puede dictármelo para que bloquee la operación?»
Ese código no anula nada. Autoriza. Y el SMS que le advertía decía exactamente la verdad, solo que usted ya estaba dentro del guion de otra persona.
El código de un solo uso, el último cerrojo antes del vacío
Desde la entrada en vigor de la directiva europea sobre servicios de pago (PSD2), que impone la autenticación reforzada del cliente, casi todas las operaciones sensibles pasan por un segundo factor: un código enviado por SMS, una notificación que validar en la aplicación bancaria, a veces una huella dactilar.
Ese código —se habla de OTP, one-time password, contraseña de un solo uso— se ha convertido en el paso obligado de cualquier fraude. Un estafador que dispone de su usuario y su contraseña, obtenidos en una filtración de datos o a través de una web falsa, ya no puede hacer nada por sí solo. Le falta una cosa: los seis dígitos que solo usted recibe.
De ahí un vuelco completo de la estrategia criminal. Ya no se trata de piratear un sistema, sino de convencer a un ser humano de que lea seis cifras en voz alta. Resulta infinitamente más barato y, por desgracia, más eficaz.
El Banco de España y los observatorios europeos de seguridad de los medios de pago lo constatan año tras año: el fraude «con manipulación de la víctima» avanza mientras el fraude puramente técnico retrocede. El atacante ya no necesita ser informático. Necesita ser actor, o tener un robot que lo sea por él.
Los «bots OTP»: cuando la estafa se convierte en una suscripción mensual
Este es el verdadero cambio de los dos últimos años, y es poco conocido por el gran público. El robo de códigos de verificación se ha industrializado en forma de servicios llave en mano, vendidos en canales de mensajería privados a tarifas mensuales.
El principio es de una simplicidad deprimente. El estafador dispone de sus credenciales (compradas en un lote de datos robados). Se conecta a su área de cliente, lo que desencadena el envío automático del SMS auténtico por parte del servicio auténtico. En ese mismo instante, introduce su número en el robot y elige un guion: «banco», «entrega de paquetes», «plataforma de criptomonedas», «operador de telefonía».
El robot marca su número, reproduce una voz sintética —a menudo excelente, en un español sin acento, con el ambiente sonoro de un centro de llamadas— y le pide que teclee o dicte el código que acaba de recibir. En cuanto lo hace, el código llega al estafador en tiempo real, que lo introduce antes de que caduque. Toda la operación dura menos de noventa segundos.
Tres detalles hacen que este dispositivo sea temible:
- La sincronización es perfecta. El SMS legítimo y la llamada llegan en el orden correcto, con unos segundos de diferencia. El cerebro relaciona automáticamente ambos acontecimientos.
- El SMS es auténtico. Procede realmente de su banco, del remitente correcto, con el formato correcto. Nada que detectar, ningún enlace sospechoso sobre el que pasar el cursor: no hay ningún enlace en absoluto.
- El número que aparece está falsificado. Gracias al spoofing, la llamada parece proceder del número impreso en el reverso de su tarjeta bancaria.
Dicho de otro modo, todos los reflejos que nos enseñan desde hace diez años —comprobar el enlace, comprobar el remitente, comprobar el número— quedan neutralizados de golpe.
Los cinco guiones más frecuentes
1. El falso asesor de «seguridad»
El clásico. Se habría detectado un pago sospechoso y hay que anularlo. El código serviría supuestamente para «bloquear», «rechazar», «asegurar». Un banco nunca pide un código para anular algo: la anulación se hace desde su lado, sin intervención suya.
2. La confirmación de entrega
Un paquete estaría retenido, hay que confirmar una franja horaria. El código serviría, en teoría, para «validar la dirección». En la práctica, suele validar la creación de una cuenta o el alta de una tarjeta bancaria en un monedero móvil.
3. La compraventa entre particulares
Usted vende un objeto. El comprador le envía un código «para comprobar que no es un robot» antes de desplazarse. Se trata de un código de registro en un servicio de terceros, vinculado a su número, que servirá después para montar otros fraudes en su nombre.
4. El falso servicio de atención al cliente del operador
Le ofrecen un descuento, un gesto comercial, un cambio de tarifa. El código solicitado es en realidad el que autoriza el traspaso de su línea a otra tarjeta SIM. Esta variante conduce directamente al secuestro completo de su número.
5. La «reactivación» de una cuenta bloqueada
Una cuenta de correo, una plataforma de anuncios clasificados, un servicio de pago móvil: le anuncian un bloqueo y le «ayudan» a desbloquearlo. El código desbloquea, efectivamente, algo: el acceso del estafador.
Por qué caen también personas prudentes
Hay que abandonar la idea de que estas estafas solo apuntan a quienes no se manejan bien con la tecnología. Los guiones explotan mecanismos cognitivos universales, perfectamente documentados.
La urgencia elimina la verificación. Una cantidad importante, una cuenta en peligro, un plazo de dos minutos: el cerebro pasa a modo reacción. Los estudios sobre la toma de decisiones bajo estrés muestran una caída clara de la capacidad de contemplar hipótesis alternativas.
La coherencia tranquiliza más que la autenticidad. Usted recibe un SMS y le llaman a propósito de ese SMS: ambos elementos se confirman mutuamente. Es lo que se llama la ilusión de corroboración. Ahora bien, los dos proceden de la misma fuente: el estafador simplemente ha desencadenado el primero.
La autoridad desarma la contradicción. Una voz tranquila, un vocabulario técnico («oposición», «rechazo de operación», «nivel 2»), un número conocido. Interrumpir a alguien que parece estar ayudándole exige un esfuerzo social real.
La advertencia del código se sortea. «No comparta este código con nadie» es presentado por el estafador como una instrucción destinada a las otras llamadas: «Por supuesto, hace bien en desconfiar. Precisamente por eso soy yo quien le llama desde el número oficial». La duda se absorbe, se le da la vuelta y se convierte en prueba de seriedad.
La regla única que basta para bloquearlo todo
Puede olvidarse de las listas de diez consejos. Una sola frase protege frente a todos estos guiones:
Un código recibido por SMS no se dice nunca, no se teclea nunca en un teclado telefónico, no se reenvía nunca. Solo lo introduce usted, en una pantalla, en una aplicación o un sitio web que haya abierto usted mismo.
Sin excepciones. Ni para un asesor bancario, ni para un policía, ni para un técnico, ni para un repartidor, ni para un comprador. Ningún profesional legítimo necesita ese código, porque ningún profesional legítimo está actuando en su lugar sobre su cuenta.
Corolario igual de importante: un código recibido sin motivo es una señal de alarma, no un error. Si llega sin que usted haya hecho nada, significa que alguien ya posee sus credenciales e intenta entrar. La reacción correcta no es ignorar el SMS, sino cambiar de inmediato la contraseña del servicio afectado, desde la aplicación oficial.
Recuperar el control: los gestos concretos
Colgar y llamar uno mismo
Es el gesto más eficaz y el más difícil de dar. Se corta, se espera un minuto completo (algunos estafadores mantienen la línea abierta) y después se marca uno mismo el número que figura en el reverso de la tarjeta bancaria o en la aplicación. Si el incidente fuera real, seguirá ahí dentro de cinco minutos.
Para quienes reciben muchas llamadas no deseadas, un teléfono fijo con filtrado de llamadas —que bloquea los números no registrados o impone un mensaje previo— elimina buena parte del ruido. Es una inversión modesta para un familiar mayor que no se atreve a colgarle el teléfono a un interlocutor educado.
Salir del SMS como método de autenticación cuando sea posible
El SMS sigue siendo el factor de autenticación más débil: es interceptable mediante el secuestro de la línea, legible en una pantalla bloqueada y vulnerable a la manipulación aquí descrita. Cuando un servicio lo permita, opte por una aplicación de autenticación (validación en la app bancaria, generador de códigos) o, para las cuentas más sensibles, por una llave de seguridad física FIDO2, que tiene el mérito de no mostrar nada que se pueda dictar a un desconocido.
Bloquear la vista previa de los mensajes
Por defecto, muchos teléfonos muestran el contenido de los SMS en la pantalla de bloqueo. Un código visible sin desbloquear es un código expuesto a cualquiera que pose la vista en el aparato: en un tren, en una oficina diáfana, en una sala de espera. El ajuste está en las notificaciones: elija «ocultar el contenido». Un filtro de privacidad para pantalla de smartphone completa útilmente la medida para quienes consultan el móvil en el transporte público.
Proteger la propia línea
Puesto que el SMS llega a su tarjeta SIM, la tarjeta SIM se convierte en objetivo. Dos precauciones: activar el código PIN de la tarjeta (desactivado por defecto en muchos usuarios) y solicitar al operador el bloqueo de la portabilidad, una opción que impide el traspaso de la línea sin una validación reforzada. Quienes separan sus usos apreciarán un teléfono con doble SIM, que permite reservar un número exclusivo para los servicios bancarios, nunca facilitado en anuncios ni formularios.
Escribir la regla en un soporte físico
Parece ingenuo y, sin embargo, es lo que mejor funciona con las personas vulnerables. Una tarjeta impresa junto al teléfono fijo con tres líneas: «Nunca dicto un código. Cuelgo. Llamo yo mismo a mi banco». Varias asociaciones de prevención distribuyen este tipo de recordatorio. Una guía práctica de ciberseguridad cotidiana, dejada sobre la mesa de centro, suele hacer más por la vigilancia familiar que un largo discurso.
Si ha facilitado el código
No hay motivo para avergonzarse: estos guiones los diseñan profesionales que se dedican a ello a tiempo completo. Lo que sí hay es urgencia.
| Plazo | Acción |
|---|---|
| Inmediatamente | Llamar al servicio de bloqueo de su banco (número en el reverso de la tarjeta) y hacer bloquear la tarjeta y el acceso en línea |
| En la primera hora | Cambiar la contraseña del servicio afectado y del correo electrónico asociado, desde otro dispositivo si es posible |
| En las 24 h | Denunciar en la plataforma oficial de comunicación de fraudes y presentar denuncia ante la policía o la guardia civil |
| En los 13 meses | Reclamar por escrito al banco las operaciones no autorizadas |
Algunas referencias útiles:
- El 3018 (llamada y servicio gratuitos) acompaña a las víctimas de violencia digital; Info Escroqueries, en el 0 805 805 817, informa sobre los trámites.
- Los SMS fraudulentos se pueden denunciar al 33700, servicio común a los operadores franceses.
- El sitio cybermalveillance.gouv.fr, dispositivo nacional de asistencia, ofrece fichas de actuación y un directorio de proveedores homologados.
- El Code monétaire et financier prevé el reembolso de las operaciones de pago no autorizadas, salvo negligencia grave del cliente. La noción de negligencia grave se valora caso por caso: el hecho de haber sido víctima de una manipulación elaborada, con suplantación del número del banco, ya ha sido apreciado a favor del cliente por la Cour de cassation. Conserve todo: capturas de pantalla, horas de llamada, número mostrado, contenido de los SMS.
Lo que esta estafa anuncia para el futuro
El código de un solo uso por SMS vive sus últimos años como estándar de seguridad. Las autoridades europeas de supervisión bancaria ya fomentan la migración hacia métodos que vinculan la autenticación al dispositivo y a la propia operación: una validación en la aplicación que muestra el importe y el beneficiario, mucho más difícil de desviar por teléfono.
Mientras tanto, la vulnerabilidad no está ni en el teléfono ni en la red: está en la conversación. Un estafador no roba un código, lo obtiene. Lo que significa que una sola decisión —negarse educadamente, colgar, llamar uno mismo— basta para hacer fracasar toda una cadena de ataque, robots de voz incluidos.
El SMS que le avisa tiene razón. Es la llamada que viene después la que miente.
