Estafa del falso aviso antifraude del banco por SMS: así vaciaban cuentas (y cómo evitarlo)

13 de noviembre de 2026. La Policía Nacional ha anunciado esta semana la detención de 43 personas acusadas de vaciar las cuentas de 130 clientes de bancos haciéndose pasar por el «departamento antifraude» de su entidad. El botín supera los 1,14 millones de euros y alguna víctima perdió más de 45.000 euros. El gancho era siempre el mismo: un SMS que avisa de un movimiento sospechoso y te pide actuar ya. En este artículo te explico cómo funcionaba el engaño, incluida una técnica más reciente que convierte tu propio móvil en un lector de tu tarjeta, y qué puedes hacer tú, tu familia o tu negocio para no caer.

Qué ha pasado: la operación en cifras

Según la información difundida el 12 de noviembre tras la rueda de prensa en el Complejo Policial de Canillas (Madrid), la investigación la ha llevado el Grupo de Fraude Financiero de la UDEF y arrancó hace aproximadamente un año. Estos son los datos publicados:

• 43 detenidos y otras 13 personas citadas como investigadas, con un total de 95 imputados por pertenencia a grupo criminal, estafa y blanqueo de capitales.
• 130 víctimas y 134 hechos delictivos, la mayoría personas mayores de 65 años y, sobre todo, mujeres.
• Más de 1.140.000 euros defraudados.
• Dos registros, en Madrid y Cádiz, y el análisis de unos 400 canales y grupos de una aplicación de mensajería privada donde se organizaban los estafadores.

La investigación sigue abierta y no se descartan más detenciones. Pero lo importante para ti no es el número de arrestos, sino entender que este tipo de fraude no desaparece con una operación: las plantillas de mensajes, las webs falsas y los métodos se reutilizan y circulan entre grupos.

Contexto: por qué la «alerta del banco» funciona tan bien

La estafa de la falsa alerta bancaria es una de las más rentables para los delincuentes porque juega con algo que todos tenemos interiorizado: si el banco detecta algo raro, hay que reaccionar rápido. Cuanto más rápido actúas, menos piensas. Y si el mensaje llega en el mismo hilo de SMS donde recibes los avisos auténticos de tu banco, cuesta mucho sospechar.

Ya vimos en este blog cómo funciona el mismo mecanismo con las multas falsas de la DGT por SMS: el remitente aparenta ser legítimo y el texto genera urgencia. En el caso bancario, el miedo a perder tus ahorros es todavía más eficaz.

Cómo funcionaba el engaño, paso a paso

1. El SMS del «departamento antifraude»

Los estafadores enviaban mensajes masivos que simulaban venir del departamento de fraude, seguridad o prevención del banco. El texto alertaba de una supuesta operación fraudulenta en curso y daba un teléfono o una web para «pararla».

2. La llamada o la web que parecen oficiales

Al llamar o entrar en la web, la víctima hablaba con un supuesto empleado que transmitía urgencia: hay que detener una transferencia ahora mismo. Según la policía, los autores eran jóvenes con buenos conocimientos informáticos y de operativa bancaria, y estudiaban el perfil de las víctimas. Conocían, por ejemplo, los límites de las cuentas.

3. «Pon tu dinero a salvo»

Con la excusa de proteger el dinero, convencían a la víctima para que hiciera una o varias transferencias a otras cuentas, o incluso para que ingresara efectivo en cajeros. Esas cuentas eran de muleros: personas captadas en redes sociales, muchas jóvenes y algunas sin hogar, que prestaban su cuenta para mover el dinero y dificultar su rastreo.

4. La técnica nueva: el ataque de retransmisión NFC

Lo más llamativo del caso es el uso de un relay attack. Haciéndose pasar por el banco o un servicio oficial, los delincuentes convencían a la víctima para que instalara una aplicación falsa en su móvil. Después le pedían que acercara la tarjeta al teléfono «para verificarla». En realidad, la app leía la tarjeta por NFC y retransmitía la señal en tiempo real a otro dispositivo de los estafadores, que podía usarla en un cajero o terminal como si tuviera la tarjeta física.

5. La intimidación posterior

Algunas víctimas que descubrieron el fraude recibieron mensajes amenazantes que mencionaban sus datos personales y su domicilio. Por miedo, muchas no llegaron a denunciar. Es un detalle importante: denunciar es lo correcto y lo que permite operaciones como esta.

Señales de alerta que debes reconocer

• Un SMS o llamada que te avisa de un cargo que no has hecho y te da un teléfono o enlace para solucionarlo.
• Prisa extrema: «si no actúa en los próximos minutos, perderá el dinero».
• Te piden transferir tu dinero a una «cuenta segura» o ingresarlo en un cajero. Ningún banco hace esto.
• Te piden instalar una aplicación que no es la oficial de tu banco, o descargarla desde un enlace.
• Te piden acercar la tarjeta al móvil, dictar códigos que te llegan por SMS o facilitar tu PIN o contraseña.
• El interlocutor conoce algunos datos tuyos. Eso no prueba nada: esos datos pueden proceder de filtraciones o de redes sociales.

Qué hacer paso a paso si recibes la «alerta»

1. No respondas ni pulses el enlace. Tampoco llames al número del mensaje.
2. Cuelga y contacta tú con el banco por un canal oficial: el teléfono que figura en el reverso de tu tarjeta, la app oficial que ya tienes instalada o tu oficina. Así sabrás si hay de verdad un problema.
3. Revisa tus movimientos en la app oficial. Si no ves nada raro, lo más probable es que fuera un intento de fraude.
4. Nunca muevas dinero «para protegerlo». Como recordaba la propia UDEF, el banco «nunca nos va a pedir una transferencia de este tipo».
5. Instala apps solo desde las tiendas oficiales y desconfía de quien te pida instalar algo por teléfono.
6. No acerques tu tarjeta al móvil porque te lo pida alguien por teléfono. Si no usas pagos con el móvil, puedes desactivar el NFC del teléfono.
7. Si tienes dudas, puedes llamar al 017, la línea de ayuda en ciberseguridad de INCIBE, gratuita y confidencial.

Si ya has caído

1. Llama de inmediato a tu banco por su teléfono oficial y pide bloquear tarjetas, accesos y cualquier transferencia pendiente. Los minutos cuentan.
2. Desinstala la aplicación sospechosa y, si te la instalaron guiándote por teléfono, considera restaurar el móvil y cambiar las contraseñas desde otro dispositivo limpio.
3. Guarda pruebas: capturas del SMS, números de teléfono, webs y justificantes de las operaciones.
4. Denuncia ante la Policía Nacional o la Guardia Civil, aunque recibas amenazas. Esa denuncia también te hará falta para reclamar al banco.
5. Presenta una reclamación formal a tu entidad pidiendo la devolución de las operaciones no autorizadas.

Y si tienes una empresa o eres autónomo

Este fraude no se dirige solo a particulares mayores. Las cuentas de empresa mueven más dinero y quien gestiona los pagos suele ir con prisa, lo que las convierte en un objetivo muy atractivo. Además, los estafadores combinan este engaño con otros, como el fraude del desvío de nómina por correo. Algunas medidas sencillas y eficaces:

• Doble verificación de pagos: ninguna transferencia urgente sin confirmación por un segundo canal y, si es posible, una segunda persona que la apruebe.
• Límites de operación ajustados en la banca de empresa y alertas de cada movimiento al móvil del responsable.
• Un protocolo escrito y conocido por todos: «si el banco llama con prisa, se cuelga y se llama al gestor de siempre».
• Móviles corporativos controlados: solo apps oficiales, sistema actualizado y, si no se usan pagos móviles, NFC desactivado.
• Revisión periódica de quién tiene acceso a la banca online y con qué permisos.

Si quieres saber cómo de expuesto está tu negocio a este tipo de engaños, una auditoría de ciberseguridad para pymes y autónomos permite revisar procedimientos de pago, accesos y dispositivos antes de que el problema llegue. Trabajo con servicio en remoto en toda España y te respondo lo antes posible en cuanto recibo tu WhatsApp o tu correo.

Preguntas frecuentes

¿Puede un SMS falso aparecer en el mismo hilo que los mensajes reales de mi banco?

Sí. Es una técnica habitual de suplantación del remitente. Por eso el remitente nunca es una garantía: lo que importa es lo que te piden. Si te piden un enlace, un código o mover dinero, desconfía.

¿Mi banco me llamará alguna vez para pedirme que haga una transferencia?

No. Los bancos pueden contactar contigo por una alerta, pero no te pedirán transferir dinero a otra cuenta, darles tus claves o instalar aplicaciones fuera de las tiendas oficiales.

¿Qué es exactamente el ataque relay por NFC?

Es una forma de «alargar» la señal de tu tarjeta sin contacto. Una app maliciosa en tu móvil lee la tarjeta cuando la acercas y envía esa comunicación en directo a otro aparato de los delincuentes, que la usa en un cajero o terminal. Para que funcione necesitan que instales su app y acerques la tarjeta, así que basta con no hacer ninguna de las dos cosas.

¿Me devolverá el banco el dinero?

Depende del caso y de cómo se autorizaron las operaciones. Lo que siempre ayuda es actuar rápido: avisar al banco de inmediato, denunciar y reclamar por escrito. Si la entidad no responde o no estás de acuerdo, puedes acudir al servicio de atención al cliente del banco y después al Banco de España.

¿Cómo protejo a mis padres o abuelos?

Habla con ellos de este caso concreto y dales una regla simple: ante cualquier aviso del banco, cuelgan y te llaman a ti o a su oficina. Revisad juntos que solo tienen la app oficial instalada y que las alertas de movimientos están activadas.

Conclusión

La operación contra esta red es una buena noticia, pero el método seguirá circulando. La defensa más eficaz cabe en una frase: ante cualquier alerta urgente del banco, cuelga y contacta tú por el canal oficial. Ni transferencias «de seguridad», ni apps enviadas por enlace, ni tarjetas pegadas al móvil. Compártelo con las personas mayores de tu entorno y con quien gestiona los pagos en tu empresa: unos segundos de pausa pueden salvar muchos miles de euros.

Fuentes: 65YMÁS; El Diario de Madrid; Infobae (EFE); INCIBE, línea de ayuda 017.

Artículo divulgativo. No constituye asesoramiento profesional para un caso concreto.

Manuel Marco Sánchez · Ciberseguridad para autónomos y pymes

¿Quieres saber si tu negocio está expuesto a ataques como este?

Auditoría de ciberseguridad con informe claro y priorizado por 297 € y 1 mes de monitorización gratis. Servicio en remoto en toda España.

Solicitar mi auditoría Consultar por WhatsApp