Falso mensaje del banco: cómo reconocerlo y qué hacer

Guía de Escudo · Actualizada julio 2026

Este mensaje llega un martes cualquiera, mientras estás haciendo otra cosa, y por eso funciona. Te pilla con la guardia baja y te habla de dinero, que es la palabra que más nos acelera el pulso. La buena noticia es que un aviso de verdad de tu banco y un timo no se parecen tanto como crees, en cuanto sabes dónde mirar.

Cómo habla tu banco de verdad y cómo habla el timo

Un aviso real de CaixaBank, del BBVA o del Santander te llega dentro de su aplicación, en el buzón de avisos, con tu nombre y sin pedirte que pinches en ningún sitio para "salvar" la cuenta. Como mucho te dicen que entres en la app, y tú entras por tu cuenta, tecleando la contraseña que ya conoces. Nunca te mandan a una dirección rara a escribir tus claves. El timo hace justo lo contrario. Te mete prisa, te asusta y te pone un enlace delante para que corras.

Fíjate en tres cosas de ese mensaje. La primera, el "sera" sin acento y el tono de aviso urgente, porque lo mandan a miles de móviles a la vez desde sistemas que no escriben bien español. Esto en España se llama smishing, un SMS que se hace pasar por una marca de confianza. La segunda, la prisa fabricada, ese "hoy" que existe solo para que no te pares a pensar. Y la tercera, la más clara de todas, la dirección.

Tu banco vive en caixabank.es, en bbva.es, en bancosantander.es y en ningún otro sitio. Los timadores usan calcos como caixabank-clientes.xyz, bbva-seguridad.xyz o banco-clientes.xyz. Parecido no es igual, y esa palabra pegada con un guion delante del punto es la firma del timo. Si la dirección no es la de siempre, ya sabes todo lo que necesitas saber.

Por qué ese enlace es la trampa entera

La página a la que te lleva es una fotocopia de la web de tu banco, clavada, con el logo y los colores. Si ahí escribes tu usuario, tu contraseña o el código que te llega por SMS, se lo estás entregando en mano a quien montó la copia. Con eso entran en tu cuenta o te cuelan un pago. Grábate esta frase para toda la vida: tu banco jamás te pide la contraseña entera ni un código por SMS ni por teléfono. Jamás.

El falso Bizum, el que engaña hasta al listo

Hay una versión que cuela incluso a quien ya reconoce el SMS del banco, y va por Bizum. Apúntate la regla, porque es la que lo desmonta todo. En Bizum, quien va a recibir dinero no tiene que aceptar ni confirmar nada, el dinero le entra solo. Solo quien paga aprueba una solicitud. Así que cuando alguien te manda una solicitud de dinero por Bizum y te dice que la aceptes "para que te entre el pago", no te está pagando, te está cobrando a ti.

Se ve sobre todo en la segunda mano, en Wallapop y en los grupos de compraventa. Vendes un sofá o un móvil, aparece un comprador con muchísima prisa y te manda una solicitud de Bizum que en realidad te vacía a ti. Y vale para las dos direcciones: cada vez que la palabra "aceptar" o "confirmar" cae del lado de quien tendría que estar cobrando, es un timo. Este Bizum falso es primo hermano del timo del MB Way en Portugal y del Pix en Brasil, pagos al instante que, una vez salen, ya casi no vuelven.

Lo que tu banco no te va a pedir nunca

Si os quedáis en casa con esta lista corta, reconocéis casi todos estos timos de un vistazo. Un banco serio nunca:

• Te pide la contraseña entera por SMS, correo o teléfono.
• Te manda un enlace para que "confirmes" o "valides" tus datos.
• Te pide el código que te acaba de llegar por SMS para "desbloquear" la cuenta.
• Te amenaza con cerrarte la cuenta en unas horas si no pinchas ya.

Qué hacer, paso a paso

1. No pinches el enlace. Ni "solo para ver qué es".
2. No llames a ningún número del mensaje. Si dudas, llama al que viene detrás de tu tarjeta.
3. Entra en tu cuenta desde la app oficial del banco. Si hubiera un problema de verdad, lo verías ahí.
4. Borra el SMS. En el iPhone además puedes marcarlo como no deseado para denunciarlo.

El hermano de este timo, la falsa devolución de Hacienda

La misma jugada llega en nombre de la Agencia Tributaria: "tiene una devolución de la declaración pendiente, confirme su cuenta en agenciatributaria-devolucion.xyz". El dinero que aparece de la nada es siempre el cebo. La Agencia vive en agenciatributaria.gob.es y las devoluciones de la renta se gestionan ahí dentro, nunca por un enlace de SMS que te pide la cuenta.

Ya he pinchado o ya he puesto mis datos, ¿ahora qué?

• Llama ahora mismo al número de detrás de tu tarjeta y pide que bloqueen los accesos.
• Cambia la contraseña de la banca online desde la app oficial, nunca desde el enlace del mensaje.
• Si has autorizado un pago o ves movimientos raros, denúncialo a la Policía Nacional (091) o a la Guardia Civil (062). De los fraudes por internet se ocupa el Grupo de Delitos Telemáticos de la Guardia Civil.
• ¿Quieres que alguien te lo explique con calma? INCIBE tiene una línea de ayuda gratuita en ciberseguridad, el 017. La OCU también echa una mano a quien ha caído.

¿Y si le llega a mi madre o a mi padre?

El problema de estos mensajes no eres tú, que has buscado y has llegado hasta aquí. Son los que no buscan, los que reciben el SMS un martes y pinchan porque el banco "los ha avisado". Para eso está la app Escudo. Ayuda a filtrar estos SMS en el propio móvil y aparta los que siguen patrones conocidos, antes de que nadie los lea. Nada se borra, solo se aparta, los mensajes van a un lado como el spam del correo. Y tus mensajes nunca salen del móvil. Escudo no te dice si una amenaza concreta es real o falsa, eso no puede hacerlo nadie desde un móvil, ni te dice quién manda el mensaje. Lo que hace es que el timo ni siquiera aparezca.

Sigue leyendo: el paquete retenido de Correos, qué hacer si ya has pinchado, el familiar que dice tener número nuevo y cómo corre el mismo guion por el mundo. Este falso mensaje del banco es el mismo timo que en México llega en nombre del BBVA y que en el Reino Unido se disfraza del HMRC.