Falso mensaje del banco: cómo reconocerlo y qué hacer

Guía de Escudo · Actualizada julio 2026

Así se ve la estafa

Llega igual en nombre de CaixaBank, BBVA, Santander, ING o Sabadell. Cambia el nombre. El guion es siempre el mismo. Las señales, una por una:

• Urgencia inventada. "Hoy", "de inmediato", "último aviso". El miedo mete prisa y la prisa toma malas decisiones.
• El dominio no es el del banco. El banco de verdad usa caixabank.es, bbva.es, santander.es y nada más. Los estafadores usan variantes como caixabank-clientes.xyz, bbva-seguridad.xyz o banco-clientes.xyz. Parecido no es igual.
• Faltas y acentos que faltan. "sera", "confirme sus datos". Los envían en masa desde sistemas que no escriben bien español. Esto en España se llama smishing, mensajes de texto que suplantan a una marca de confianza.
• Te llega de un número desconocido. Los avisos reales del banco aparecen dentro de su app, no en un enlace que te pide la contraseña.

Por qué el enlace es el peligro

La página a la que apunta el enlace es una copia del sitio del banco. Si ahí escribes tu usuario, la contraseña o los códigos, se los estás entregando a quien montó la copia. A partir de ahí intentan entrar en tu cuenta o que autorices pagos. Un banco nunca te pide la contraseña completa ni códigos por SMS ni por teléfono.

El falso Bizum: te piden confirmar para "recibir"

Hay una versión que engaña incluso a quien reconoce el SMS del banco. En Bizum, quien va a recibir dinero no tiene que confirmar ni aceptar nada. Recibir es automático. Solo quien paga aprueba una solicitud. Por eso, cuando alguien te manda una "solicitud de dinero" por Bizum y te dice que la aceptes para que te entre un pago, no te está pagando, te está cobrando.

Aparece sobre todo en las ventas de segunda mano. Vendes un mueble o un móvil, aparece un "comprador" con mucha prisa y te manda una solicitud de Bizum que en realidad te saca el dinero a ti. La regla que lo desmonta todo es corta. Para recibir un Bizum no se acepta nada, solo se recibe. Cada vez que la palabra "aceptar" o "confirmar" aparece del lado de quien debería cobrar, es un timo. Esta solicitud falsa de Bizum es la gemela de la estafa del MB Way en Portugal y del Pix en Brasil, pagos instantáneos que, una vez enviados, casi no vuelven atrás.

Lo que el banco nunca te pide

Memorizar esta lista corta te sirve para reconocer casi todos estos timos. Un banco serio nunca:

• Pide la contraseña completa por SMS, correo o teléfono.
• Manda un enlace para que "confirmes" o "valides" tus datos.
• Te pide el código que te ha llegado por SMS para "desbloquear" la cuenta.
• Amenaza con bloquear la cuenta en unas horas si no haces clic ya.

Qué hacer, en orden

1. No hagas clic en el enlace. Ni "solo para ver".
2. No llames a ningún número del mensaje. Si dudas, llama al número del reverso de tu tarjeta.
3. Mira tu cuenta desde la app oficial del banco. Si hubiera un problema real, aparecería ahí.
4. Borra el SMS. En el iPhone también puedes denunciarlo como no deseado.

El primo de esta estafa: la falsa devolución de Hacienda

La misma técnica aparece en nombre de la Agencia Tributaria: "tiene una devolución de la declaración pendiente, confirme su cuenta en agenciatributaria-devolucion.xyz". El dinero que aparece de la nada es siempre el anzuelo. El portal de verdad es agenciatributaria.gob.es y las devoluciones de la renta se gestionan ahí dentro, nunca por un enlace de SMS que pide datos.

Ya he hecho clic o ya he puesto mis datos, ¿ahora qué?

• Llama ahora al número del reverso de tu tarjeta y pide bloquear los accesos.
• Cambia la contraseña de la banca en línea desde la app oficial, no desde ningún enlace.
• Si has autorizado un pago o ves movimientos raros, denúncialo a la Policía Nacional (091) o a la Guardia Civil (062). De los delitos por internet se ocupa el Grupo de Delitos Telemáticos de la Guardia Civil.
• ¿Necesitas orientación con calma? INCIBE tiene una línea de ayuda en ciberseguridad, el 017, gratuita. La OCU también orienta a quien ha sufrido un fraude.

¿Y si le llega a mi madre o a mi padre?

El problema de estos mensajes no eres tú, que has llegado a esta guía. Son los que no buscan. Para eso existe la app Escudo: ayuda a filtrar estos SMS en el propio móvil y aparta los que siguen patrones conocidos antes de que alguien los lea. Nada se borra, solo se aparta, los mensajes van a un lado como el spam del correo. Y tus mensajes nunca salen del móvil. Escudo no te dice si una amenaza concreta es real o falsa, eso nadie puede hacerlo desde un móvil. Ayuda a que el mensaje de estafa ni siquiera aparezca.

Sigue leyendo: el paquete retenido de Correos, qué hacer si ya has hecho clic y cómo corre el mismo guion por el mundo. Este falso mensaje del banco es la gemela del SMS del BBVA en México, del falso aviso del banco en Brasil y del smishing del HMRC en el Reino Unido.