Mensaje falso de tu banco: cómo reconocerlo y qué hacer

Guía de Escudo · Actualizada julio 2026

Cómo se ve el falso, y cómo se ve el real

La mejor defensa es haber visto los dos lado a lado una vez. Este es el que quiere robarte:

Y así de distinto se comporta un aviso de verdad. Cuando Bancolombia detecta un movimiento raro, la alerta te llega dentro de la app, en la campanita de notificaciones de la Sucursal Virtual, o por correo, y nunca te manda a escribir la clave en una página. Nequi te avisa dentro de la app, con tu nombre y el monto exacto de la plata que se movió. Daviplata te escribe desde el 85888, su número corto de siempre, y jamás te pide transferir a "una cuenta segura" mientras se resuelve. La regla que nunca falla es esta. Un aviso real te informa. Un aviso falso te apura y te manda a un enlace.

Las señales del falso, una por una:

• Urgencia inventada. "Hoy", "en las próximas dos horas", "último aviso". El miedo apura y el apuro nubla. Tu banco no te pone un cronómetro.
• El dominio no es bancolombia.com ni nequi.com.co. Los estafadores usan variantes con guiones o finales raros como bancolombia-clientes.xyz o nequi-premios.xyz. Fíjate siempre en lo que va justo antes del primer "/", ahí está el nombre real del sitio, y ahí es donde te engañan.
• Ortografía floja. Acentos que faltan como en "sera", frases armadas a la carrera. Los mandan en masa desde sistemas que traducen mal el español.
• Llegó de un celular desconocido. Un número de 10 dígitos cualquiera, no un canal oficial. Tu banco no te escribe desde el celular de un particular.
• Te pide lo que ningún banco pide. La clave completa, el token, el código que te acaba de llegar por SMS, la foto de la cédula y la tarjeta. Ni Bancolombia ni Nequi lo piden así, jamás.

El mismo libreto con otras firmas

No es solo un banco. En Colombia el mismo cuento llega firmado como Davivienda, BBVA Colombia, Scotiabank Colpatria, Nequi o Daviplata. La versión de Nequi suele venir al revés, en vez de miedo promete plata: "Felicitaciones, ganaste $500.000 en Nequi, reclama en un enlace parecido a nequi-premios.xyz". Nadie regala medio millón por mensaje. Y también llega firmado como la DIAN, con una supuesta devolución de impuestos a tu favor: "Tiene una devolución pendiente, confirme su cuenta para recibirla". La DIAN real usa dian.gov.co, nunca un dominio inventado, y nunca te pide los datos de tu tarjeta por mensaje. Miedo o premio, el anzuelo cambia, la trampa es la misma: que tú mismo escribas tus datos en una página que no es de nadie que conozcas.

Qué hacer, en orden

1. No des clic al enlace. Ni "solo para ver". La página falsa está hecha para que se te olvide desconfiar.
2. No llames a ningún número del mensaje. Del otro lado contesta el mismo estafador. Si dudas, llama a la línea impresa al reverso de tu tarjeta, o a la de Bancolombia que ya conoces.
3. Revisa tu cuenta desde la app oficial. Ábrela tú mismo, desde el ícono de siempre. Si hubiera un problema de verdad, ahí aparecería.
4. Repórtalo y bórralo. En el iPhone puedes marcarlo como no deseado y borrar el remitente.

¿Ya diste clic o ya escribiste tus datos?

Respira y actúa en este orden. Los primeros minutos importan.

• Llama ya mismo a la línea del reverso de tu tarjeta y pide bloquearla. Si es Nequi o Daviplata, entra a la app y bloquéala desde ahí.
• Cambia la clave de tu banca en línea desde la app oficial, nunca desde el enlace, y activa la verificación en dos pasos.
• Vigila los movimientos de los próximos días. Un cobro pequeño que no reconoces suele ser la prueba antes del grande.
• Denuncia el fraude en el CAI Virtual de la Policía Nacional, en caivirtual.policia.gov.co, donde atiende el Centro Cibernético Policial. Si hubo consumos no reconocidos, también puedes acudir a la Superintendencia Financiera y a la SIC. Guarda capturas del mensaje como evidencia.

¿Y si le llega a mi mamá o a mi papá?

El problema de estos mensajes no eres tú, que llegaste hasta esta guía. Son los que nunca la van a buscar. A tu mamá le llega el SMS de Bancolombia un martes cualquiera, sin nadie al lado que le diga "espera, eso es falso". Para eso ayuda la app Escudo. Detecta patrones conocidos de estos mensajes en el mismo celular y ayuda a apartarlos antes de que alguien los lea. Nada se borra, solo se aparta, y tus mensajes nunca salen del celular. Escudo no te dice si un mensaje puntual es real o falso, eso nadie lo puede desde un celular, pero sí ayuda a que la mayoría de estos ni siquiera lleguen a asustar a tu familia.

Sigue leyendo: la encomienda retenida · "mamá, cambié de número" · ya diste clic, qué hacer.