Una de las más comunes es el phishing bancario, un fraude con el que suplantan a una entidad para engañar al cliente y conseguir sus contraseñas, claves, números de tarjeta o códigos de verificación. Se lleva a cabo con correos, SMS, llamadas o códigos QR. En EBN Banco te explicamos qué es el phishing, en qué se diferencia de otros fraudes y cómo evitarlo.  

¿Qué es el phishing bancario?

El phishing es una técnica de ingeniería social que manipula psicológicamente a una persona y consigue que facilite datos confidenciales voluntariamente. A diferencia de otros ciberataques, no depende tanto de vulnerabilidades tecnológicas como del factor humano. 

Los delincuentes aprovechan la confianza, la urgencia o el miedo para inducir a la víctima a realizar una acción determinada. Detectar las señales de alerta y actuar rápido es vital para evitar el engaño, no sufrir pérdidas económicas y proteger el patrimonio.

Aunque el sector financiero es uno de los principales objetivos, estas campañas también se pueden ver en plataformas de inversión, servicios de pago, organismos públicos o grandes compañías tecnológicas.

¿Cómo se lleva a cabo el phishing bancario?

Un ataque phishing bancario suele seguir una secuencia bastante definida.

1. Suplantación de la entidad financiera. El delincuente crea un correo electrónico, mensaje o web que imita la identidad visual de un banco: logotipos oficiales, colores corporativos, firmas aparentemente auténticas y direcciones como las originales.
2. Generación de urgencia. Se envían mensajes que dan sensación de inmediatez como «Su cuenta será bloqueada», «Se ha detectado un acceso sospechoso» o «Debe verificar sus datos en las próximas 24 horas» para reducir la capacidad crítica del usuario.
3. Captura de credenciales. La víctima es redirigida a una página falsa donde introduce sus claves de usuario, contraseña, datos de tarjetas, claves de firma o códigos OTP enviados por SMS.
4. Acceso a las cuentas. Tras obtener los datos, los ciberdelincuentes pueden intentar realizar transferencias, contratar productos, pedir créditos o acceder a plataformas de inversión.

Ejemplo de phishing bancario

• Imagina que recibes un correo aparentemente enviado por tu banco indicando que se ha detectado una transferencia sospechosa. 
• Al pulsar sobre el enlace, llegas a una página prácticamente idéntica a la oficial e introduces tus credenciales porque así te lo piden en el mensaje. 
• Minutos después, los estafadores usan esos datos para acceder a tu cuenta y realizar operaciones fraudulentas.

¿Cómo detectar un correo o mensaje de phishing?

Aunque los ataques son cada vez más sofisticados, hay señales que ayudan a identificar muchas tentativas de fraude.

Ningún banco solicita contraseñas completas, códigos de firma o claves de acceso por correo electrónico, SMS o llamada telefónica. Por eso, ante cualquier duda, accede siempre a la web oficial escribiendo la dirección manualmente en el navegador.

Variantes del phishing

Con el paso del tiempo, los delincuentes han adaptado sus métodos a los diversos canales digitales que existen.

Spear phishing

El spear phishing es una versión más sofisticada y personalizada. En vez de enviar miles de mensajes genéricos, el atacante recopila información previa sobre la víctima (nombre y apellidos, empresa donde trabaja, redes sociales…). Con ello, el mensaje parece mucho más legítimo. Por eso, suele ser más eficaz que las campañas masivas.

• Ejemplo: un directivo puede recibir un correo aparentemente enviado por su entidad bancaria habitual mencionando operaciones reales o datos corporativos conocidos.

Smishing

El smishing combina los conceptos de SMS y phishing. La víctima recibe un mensaje de texto que aparenta proceder de una entidad legítima con supuestos bloqueos de cuenta, problemas con una transferencia, verificaciones de seguridad urgentes, confirmaciones falsas de pago… El mensaje incluye un enlace que conduce a una web fraudulenta.

• La diferencia entre phishing y smishing radica en el canal: correo electrónico en un caso y SMS en el otro.

Vishing

El vishing utiliza llamadas telefónicas para engañar al usuario. En la conversación, el delincuente suplanta empleados bancarios, servicios antifraude u organismos oficiales para obtener contraseñas, códigos de autenticación o confirmación de operaciones.

QRishing

Aparte, hay que citar el QRishing, que es una modalidad más reciente. Consiste en distribuir códigos QR fraudulentos que redirigen al usuario hacia páginas falsas. Estos códigos pueden verse en correos electrónicos, carteles físicos, mensajes instantáneos o documentos digitales.

¿Cómo protegerse del phishing bancario?

Para saber cómo evitar el phishing, hay que combinar tecnología, prudencia y formación financiera. En concreto:

• Verificar siempre el remitente. Antes de abrir cualquier enlace, comprueba la dirección completa y el dominio, y desconfía de variantes extrañas.
• Activar la autenticación multifactor. La autenticación en dos pasos añade una capa adicional de seguridad en la web. Aunque un atacante obtenga la contraseña, necesitará un segundo factor de verificación.
• Mantener dispositivos actualizados. Las actualizaciones corrigen vulnerabilidades que pueden ser explotadas por ciberdelincuentes.
• Utilizar soluciones anti phishing. Los sistemas anti phishing incluidos en navegadores, antivirus y plataformas de correo permiten bloquear muchas amenazas antes de que lleguen al usuario.
• No actuar bajo presión. La urgencia es una de las principales herramientas de los estafadores. Si recibes una comunicación alarmante, no hagas clic inmediatamente, verifica la información por canales oficiales y contacta directamente con tu entidad.
• Formarse en ciberseguridad financiera. La prevención sigue siendo la medida más eficaz y la base de la ciberseguridad. 

Conocer las distintas técnicas de fraude digital ayuda a proteger el patrimonio a largo plazo. En este sentido, también es útil complementar estos consejos con información sobre seguridad financiera.

¿Qué hacer si has sido víctima de phishing bancario?

En caso de caer, saber cómo solucionar el phishing rápidamente también marca la diferencia entre sufrir una incidencia menor o una pérdida económica grave. Para eso, aquí dejamos cinco medidas clave:

1. Contacta inmediatamente con tu banco. Solicita el bloqueo de accesos, la cancelación de tarjetas y la supervisión de movimientos sospechosos.
2. Cambia todas las contraseñas. Modifica sobre todo las que estén vinculadas a la banca online, el correo electrónico y las aplicaciones financieras.
3. Revisa movimientos recientes. Analiza cualquier operación no autorizada y notifícala cuanto antes.
4. Denuncia los hechos. Puedes acudir a la Policía Nacional o Guardia Civil, o a unidades especializadas en ciberdelincuencia.
5. Conserva las pruebas. Guarda capturas de pantalla, correos electrónicos, SMS y registros de llamadas, ya que esta documentación puede ser crucial durante una investigación o en un juicio.

Jurisprudencia sobre phishing bancario: ¿quién responde ante el fraude?

Precisamente, en la parte legal, la jurisprudencia sobre phishing bancario ha evolucionado mucho durante los últimos años. Los tribunales suelen analizar dos cuestiones básicas:

• Si la entidad financiera adoptó las medidas de seguridad exigibles.

• Si el cliente actuó con negligencia grave.

La normativa europea de servicios de pago (PSD2), incorporada al ordenamiento español en el Real Decreto-ley 19/2018, señala que las entidades deben aplicar mecanismos reforzados de autenticación y asumir ciertas responsabilidades si las operaciones no han sido autorizadas por el cliente. No obstante, cada caso se estudia individualmente.

Lo peor es que a día de hoy el phishing sigue siendo una amenaza para particulares y empresas. Su éxito depende de la sofisticación tecnológica de los atacantes y del desconocimiento de las víctimas. Pero, por ello, saber identificar las señales, diferenciar cada fraude y actuar rápido ante cualquier sospecha es vital para proteger el patrimonio.

Preguntas frecuentes sobre phishing bancario

¿Puede producirse phishing aunque tenga antivirus?

Sí. El phishing se basa en la manipulación psicológica. Un antivirus ayuda, pero no elimina completamente el riesgo.

¿Los bancos solicitan contraseñas por teléfono?

No. Las entidades financieras no solicitan claves completas ni códigos de autenticación mediante llamadas, SMS o correos electrónicos.

¿Es posible recuperar el dinero perdido?

Dependerá de las circunstancias concretas del fraude, de la rapidez con la que se comunique la incidencia y de la valoración jurídica de cada caso.

¿Qué debo hacer si he pulsado un enlace sospechoso?

Si no has introducido datos, ejecuta un análisis de seguridad del dispositivo y elimina cualquier archivo descargado. Si has facilitado credenciales, contacta inmediatamente con tu entidad financiera.