Mensaje falso de BBVA: cómo reconocerlo y qué hacer

Guía de Escudo · Actualizada julio 2026

Primero, cómo te escribe BBVA de verdad

Para cachar el falso ayuda tener claro cómo se ve el real. Los avisos legítimos de BBVA México casi siempre llegan de dos maneras. Como notificación dentro de la app, cuando haces una compra o te cae un depósito. O como un SMS corto que confirma un movimiento que tú acabas de hacer, con las últimas cuatro cifras de tu tarjeta y sin pedirte nada a cambio.

Fíjate en lo que ese mensaje real no hace. No trae liga. No te apura. No te pide tu NIP, tu token ni tu contraseña. BBVA ya sabe quién eres, no necesita que "verifiques tus datos". El token dinámico de la app existe justo para que nunca tengas que escribir esas claves en una página.

Ahora, cómo te escribe el estafador

Mismo nombre, intención opuesta. Aquí están los focos rojos, uno por uno.

• El dominio no es bbva.mx. Los estafadores registran parecidos como bbva-seguridad, bbva-clientes-mx o bbvamovil-mx. Con guiones, con palabras pegadas, con .xyz o .info al final. El banco real vive en bbva.mx y en la app, nada más.
• La liga te va a pedir claves. Ese es todo el objetivo. La página clonada te pedirá usuario, contraseña y, lo más grave, el número de token o el NIP dinámico. En cuanto lo escribes, el estafador entra a tu cuenta en tiempo real desde otro lado.
• Urgencia con reloj. "Hoy", "en las próximas horas", "último aviso". El miedo te quita los cinco segundos que necesitas para dudar.
• Acentos que faltan y frases raras. "sera suspendida", "valide su identidad". Los mandan en masa desde sistemas que no escriben bien el español.
• Remitente sospechoso. Llega de un celular de diez dígitos o de un número raro. Los SMS reales de BBVA llegan del remitente "BBVA" o de un número corto, no del teléfono de un particular.

Banorte y Santander: el mismo molde

Si tu mamá o tu papá tienen cuenta en Banorte o en Santander, avísales que es idéntico. Cambian el nombre y el color del logo, no el truco. "Banorte: tu Token fue bloqueado" o "Santander: confirma tu operación", con una liga que no es banorte.com ni santander.com.mx. La regla vale para los tres bancos por igual. Ninguno en México te manda a teclear tu token o tu NIP en una página que llegó por mensaje. Si alguna vez tienes una duda real, la única fuente segura es la app oficial que ya tienes instalada o el teléfono impreso en tu tarjeta, nunca un dato que venga dentro del SMS.

Qué hacer si te llega

1. No abras la liga. Ni por curiosidad. Con solo abrirla no te roban, pero es la puerta a que sí lo hagan.
2. No marques a ningún número del mensaje. Si te dejan un teléfono para "aclarar", es parte de la trampa. Marca al número impreso en el reverso de tu tarjeta.
3. Revisa tu cuenta desde la app oficial. Ábrela tú, escribiendo tu clave como siempre. Si hubiera un problema real, ahí aparecería, no en un SMS.
4. Repórtalo y bórralo. En iPhone puedes marcarlo como no deseado y borrar la conversación. No respondas ni con "BAJA".

Si ya escribiste tus datos o tu token

Pasa, y no es para avergonzarse. Estos mensajes están hechos para engañar a gente lista en un mal momento. Actúa rápido y en este orden.

• Marca ahora al reverso de tu tarjeta y pide bloquear tu banca en línea y tus tarjetas. Los minutos cuentan porque el token que diste tiene vida corta.
• Cambia tu contraseña de banca en línea desde la app oficial, nunca desde un enlace.
• Levanta un desconocimiento de cargos con tu banco por cualquier movimiento que no hiciste. Anota tu número de aclaración.
• Reporta el fraude a CONDUSEF al 55 5340 0999 y guarda capturas del mensaje. Si hubo robo, también puedes denunciar ante la Policía Cibernética de la Guardia Nacional.

Este fraude no es mexicano, es de exportación. El mismo SMS le llega a alguien en Portugal con el nombre de CGD y en Perú con el de BCP, palabra por palabra, solo cambia el banco. Así operan las mafias de SMS en el mundo.

Sigue leyendo: ya diste clic, qué hacer en los próximos minutos · por qué nunca debes dar un código por teléfono · el SMS del paquete retenido.

¿Y si le llega a mi mamá o a mi papá?

El problema de estos mensajes no eres tú, que llegaste hasta aquí. Son los que no alcanzan a dudar. Para eso existe la app Escudo. Ayuda a filtrar estos SMS en el iPhone y aparta los que siguen patrones conocidos de fraude antes de que alguien los lea. Nada se borra, solo se aparta, y tus mensajes nunca salen del teléfono. Escudo no te dice si una amenaza concreta es real o falsa, nadie puede saberlo desde un teléfono, lo que hace es que el mensaje de estafa tenga menos formas de llegar a tu familia.