Cómo detectar una estafa por WhatsApp, SMS o correo electrónico
Aprende a reconocer las estafas más habituales por WhatsApp, SMS y correo electrónico. Descubre ejemplos prácticos, señales de alerta y qué hacer si has sido víctima de un fraude.
Imagina que recibes un SMS de tu banco informándote de que alguien está intentando acceder a tu cuenta. El mensaje incluye un enlace para bloquear la operación inmediatamente.
Parece urgente. El nombre del banco es correcto. Incluso puede aparecer en la misma conversación donde recibes habitualmente sus notificaciones.
¿Pulsarías el enlace?
Este tipo de situaciones son cada vez más habituales. Los ciberdelincuentes utilizan mensajes que imitan las comunicaciones de bancos, empresas de mensajería, administraciones públicas e incluso familiares para conseguir que facilitemos información o realicemos pagos.
La buena noticia es que muchas de estas estafas pueden evitarse si sabemos reconocer sus señales y aprendemos a verificar los mensajes antes de actuar.
En esta guía descubrirás cómo funcionan estos engaños, aprenderás a identificar ejemplos sospechosos y sabrás qué hacer si alguna vez caes en uno.
1. ¿Qué son el phishing y el smishing?
Aunque los nombres puedan resultar desconocidos, probablemente ya te hayas encontrado con alguno de estos intentos de fraude.
Los ciberdelincuentes utilizan diferentes canales para suplantar la identidad de personas o entidades de confianza.
Phishing: el fraude que llega por correo electrónico
Consiste en enviar correos que aparentan proceder de una empresa, un banco o una institución legítima.
Por ejemplo, podrías recibir un correo que parece enviado por una plataforma de compras y que te pide actualizar los datos de tu tarjeta para evitar la suspensión de tu cuenta.
El objetivo puede ser robar tus contraseñas, conseguir información personal, obtener datos bancarios o lograr que descargues un archivo malicioso.
Smishing: el fraude mediante mensajes
Es una técnica similar, pero utiliza SMS y, en un sentido amplio, aplicaciones de mensajería.
Un ejemplo habitual es un mensaje que dice que tienes un paquete pendiente de entrega y que debes pagar una pequeña cantidad para recibirlo.
Suplantación de identidad en WhatsApp
Los estafadores también pueden hacerse pasar por familiares, amistades o servicios de soporte.
En ocasiones utilizan números desconocidos; en otras, cuentas de WhatsApp que han conseguido comprometer previamente.
La característica común de estos fraudes es que intentan aprovechar nuestra confianza para conseguir que hagamos algo que normalmente no haríamos.
Idea importante: no necesitas conocer todos los tipos de fraude para protegerte. Lo fundamental es aprender a identificar las peticiones sospechosas.
2. Las siete señales que deberían hacerte desconfiar
Los mensajes fraudulentos pueden ser muy diferentes, pero suelen compartir algunas características.
1. Te meten prisa
«Tu cuenta será bloqueada en 30 minutos».
«Último aviso antes de devolver el paquete».
«Necesito que me hagas la transferencia ahora mismo».
Los delincuentes utilizan la urgencia para evitar que compruebes la información.
Qué hacer: detente y verifica. Una petición urgente no demuestra que sea auténtica.
2. Te piden contraseñas o códigos de verificación
Un código de verificación enviado a tu teléfono puede permitir completar un inicio de sesión o registrar una cuenta en otro dispositivo.
Si alguien te pide que se lo envíes, aunque diga ser un familiar o un empleado de soporte, sospecha.
Qué hacer: nunca compartas contraseñas, códigos de acceso ni códigos de verificación recibidos inesperadamente.
3. El mensaje incluye un enlace sospechoso
Algunos enlaces fraudulentos utilizan palabras parecidas a las direcciones oficiales de empresas conocidas.
Por ejemplo, una dirección como:
https://banco.ejemplo.com
podría parecer relacionada con un banco, pero el dominio utilizado pertenece a ejemplo.com, no necesariamente al banco que menciona.
La dirección anterior es únicamente un ejemplo didáctico.
Además, que una página utilice HTTPS o muestre el símbolo de un candado no significa que sea legítima. También existen páginas fraudulentas con conexiones cifradas.
Qué hacer: entra desde la aplicación oficial o desde una dirección que ya conozcas. No utilices el enlace del mensaje sospechoso.
4. Solicitan datos personales o bancarios
Desconfía especialmente cuando un mensaje inesperado te pide:
Contraseñas o códigos de seguridad.
Número completo de tarjeta, fecha de caducidad o CVV.
Fotografías de documentos de identidad.
Datos bancarios para recibir un supuesto premio.
Información personal que no tiene relación con la gestión anunciada.
Una empresa puede necesitar datos para prestar sus servicios, pero una petición inesperada de información sensible exige una comprobación independiente.
5. El remitente parece conocido, pero la petición es extraña
Los nombres, fotografías y logotipos pueden falsificarse.
Incluso un mensaje que parece proceder de una conversación habitual puede resultar engañoso en determinadas circunstancias.
Por tanto, el nombre que aparece en la pantalla no demuestra por sí solo quién está enviando el mensaje.
6. La oferta parece demasiado buena
Un sorteo en el que nunca participaste, un premio inesperado o un producto de gran valor por un precio insignificante pueden ser reclamos.
Pregúntate qué gana realmente la otra parte al ofrecerte ese supuesto beneficio.
7. Algo no encaja
Puede que el mensaje contenga errores ortográficos, un saludo demasiado genérico o una expresión poco habitual.
Sin embargo, ten cuidado: un mensaje perfectamente escrito también puede ser fraudulento.
Las faltas de ortografía son una posible señal de alerta, pero su ausencia no garantiza autenticidad.
3. Tres ejemplos prácticos de estafas digitales
Veamos cómo se presentan algunos de los engaños más habituales.
Los siguientes mensajes son ejemplos ficticios creados con fines educativos. No contienen enlaces reales a páginas fraudulentas.
Ejemplo 1. El SMS de un supuesto banco
BANCO: Hemos detectado un acceso no autorizado a su cuenta. Para evitar el bloqueo, verifique su identidad inmediatamente en el enlace adjunto.
¿Qué debería hacernos sospechar?
El mensaje crea una sensación de peligro inmediato.
Solicita verificar información mediante un enlace.
No ofrece una forma independiente de confirmar la alerta.
Utiliza el miedo a perder el acceso al dinero.
¿Qué deberías hacer?
No pulses el enlace.
Abre directamente la aplicación oficial de tu banco.
Comprueba si tienes avisos o movimientos desconocidos.
Si persiste la duda, llama al banco utilizando el número que aparece en su web oficial o en tu documentación bancaria.
No utilices números de teléfono incluidos en el propio mensaje sospechoso.
Ejemplo 2. El falso mensaje de un hijo o familiar
Hola, mamá. Soy yo. Se me ha roto el móvil y este es mi nuevo número. Tengo un problema y necesito que me hagas una transferencia de 450 euros. Luego te lo explico.
Este fraude resulta especialmente peligroso porque utiliza una relación de confianza.
El delincuente intenta que actúes movido por la preocupación y evites hacer preguntas.
Señales de alerta:
El mensaje llega desde un número desconocido.
La persona afirma haber perdido su teléfono habitual.
Solicita dinero urgentemente.
Da excusas para evitar una conversación telefónica.
Cómo comprobarlo:
Llama al número que ya tenías guardado de tu familiar.
Si no contesta, intenta contactar con otra persona de confianza.
Haz preguntas que permitan verificar su identidad, sin proporcionar tú previamente la respuesta.
No transfieras dinero hasta haber confirmado quién lo solicita.
Si se trata de un familiar de verdad, entenderá que quieras comprobarlo.
Ejemplo 3. El paquete pendiente de entrega
EMPRESA DE REPARTO: No hemos podido entregar su envío. Debe abonar 1,95 € para programar una nueva entrega.
El importe parece pequeño, lo que puede reducir nuestra desconfianza.
Pero el objetivo no siempre es cobrar esa cantidad.
En muchos casos, el enlace conduce a una página falsa donde se solicitan los datos completos de una tarjeta.
Cómo actuar:
Piensa si realmente esperas un paquete.
Entra en la aplicación o página oficial de la empresa de transporte.
Comprueba el seguimiento utilizando el número de envío facilitado por el comercio donde compraste.
Nunca introduzcas los datos de tu tarjeta desde un enlace inesperado.
Recuerda: que el importe solicitado sea pequeño no significa que el riesgo también lo sea.
4. Cómo comprobar un mensaje sospechoso en menos de dos minutos
Ante una comunicación inesperada, utiliza este sencillo procedimiento.
Paso 1. Identifica qué te están pidiendo
Antes de hacer nada, responde mentalmente a estas preguntas:
¿Me piden dinero?
¿Quieren que abra un enlace?
¿Me solicitan información personal?
¿Quieren que instale una aplicación?
¿Me están presionando para actuar inmediatamente?
Si la respuesta es afirmativa, merece la pena comprobar la solicitud.
Paso 2. No utilices los datos de contacto del mensaje
Un mensaje fraudulento puede incluir tanto un enlace falso como un número de atención al cliente controlado por el estafador.
La forma más segura de verificarlo es buscar la entidad por un canal independiente y conocido.
Por ejemplo, si el mensaje dice proceder de tu banco, abre su aplicación oficial sin utilizar ningún enlace de la comunicación recibida.
Paso 3. Comprueba la dirección real
En un ordenador, puedes situar el cursor sobre un enlace para examinar su destino sin abrirlo.
Comprueba el dominio completo, no solo las primeras palabras.
En un móvil, donde esta comprobación puede resultar menos clara, es preferible abrir directamente la aplicación oficial o escribir una dirección conocida.
Desconfía de direcciones con palabras añadidas, dominios desconocidos o nombres que simplemente se parecen a los originales.
Paso 4. Verifica la identidad del remitente
Si alguien afirma ser un familiar o conocido, compruébalo mediante una llamada a su número habitual.
Si dice representar a una empresa, utiliza sus canales oficiales.
No des por auténtica una comunicación únicamente porque aparezca el logotipo correcto.
Paso 5. Decide con calma
Si no puedes confirmar la autenticidad, no realices pagos, no compartas información y no instales nada.
Puedes conservar el mensaje para revisarlo más tarde o consultar con alguien de confianza.
En seguridad digital, actuar unos minutos después suele ser mucho mejor que actuar precipitadamente.
5. La estafa que puede hacerte perder tu cuenta de WhatsApp
Existe un fraude especialmente importante que merece una explicación propia: el robo de cuentas mediante códigos de verificación.
Imagina que recibes este mensaje:
Hola, te he enviado por error un código a tu teléfono. ¿Puedes pasármelo? Es muy urgente.
Poco después recibes un SMS auténtico con un código de WhatsApp.
El código puede ser real, pero la solicitud de compartirlo es fraudulenta.
¿Qué está ocurriendo?
El delincuente puede estar intentando registrar tu número de WhatsApp en otro dispositivo.
Para completar ese registro, necesita el código que WhatsApp envía a tu teléfono.
Si se lo facilitas, podrías perder el acceso a tu cuenta.
Una vez dentro, el atacante podría utilizar tu identidad para solicitar dinero a tus contactos o continuar con otros fraudes.
Cómo proteger tu cuenta
Activa la verificación en dos pasos de WhatsApp.
En las versiones habituales de la aplicación puedes encontrarla siguiendo esta ruta:
WhatsApp → Ajustes → Cuenta → Verificación en dos pasos
Activa un PIN y configura un correo electrónico de recuperación al que tengas acceso.
También puedes revisar los dispositivos vinculados a tu cuenta y cerrar las sesiones que no reconozcas.
Las opciones y los nombres de los menús pueden cambiar con las actualizaciones de la aplicación.
Y, por encima de todo, recuerda una regla:
Nunca compartas el código de registro de WhatsApp con otra persona.
6. ¿Qué hacer si has caído en una estafa?
No todas las situaciones requieren las mismas medidas.
La respuesta dependerá de lo que hayas hecho y de la información que hayas compartido.
Caso A. Has abierto un enlace, pero no has introducido datos
Abrir una página sospechosa no significa automáticamente que hayan robado tus contraseñas o infectado tu dispositivo.
Sin embargo, conviene actuar con precaución:
Cierra la página.
No descargues ni instales archivos.
Comprueba que tu navegador y sistema operativo estén actualizados.
Revisa si se ha descargado algún archivo inesperado.
Si detectas comportamientos extraños, realiza un análisis de seguridad con una herramienta fiable.
Si has instalado una aplicación o concedido permisos, la situación requiere una revisión más profunda.
Caso B. Has facilitado una contraseña
Cambia inmediatamente la contraseña desde la web o aplicación oficial.
Después:
Cierra las sesiones abiertas en otros dispositivos, si el servicio lo permite.
Activa la verificación en dos pasos.
Revisa las opciones de recuperación y los datos de contacto de la cuenta.
Si reutilizabas esa contraseña en otros servicios, cámbiala también allí.
Si has comprometido tu correo electrónico, dale prioridad: puede utilizarse para recuperar el acceso a muchas de tus otras cuentas.
Caso C. Has facilitado datos de tu tarjeta o cuenta bancaria
Contacta cuanto antes con tu banco utilizando sus canales oficiales.
Explícale qué información has proporcionado y sigue sus instrucciones.
Puede ser necesario bloquear la tarjeta, revisar movimientos, cambiar credenciales o solicitar que se investiguen operaciones sospechosas.
La rapidez es importante. Cuanto antes informes, antes podrá la entidad valorar las medidas disponibles para limitar el daño.
Caso D. Has realizado una transferencia
Contacta inmediatamente con tu entidad financiera para comunicar el fraude y solicitar que intente recuperar los fondos.
Conserva los justificantes y presenta una denuncia ante las autoridades competentes.
Es importante saber que recuperar una transferencia puede resultar difícil y no está garantizado. Las posibilidades dependen, entre otros factores, del estado de la operación y de las circunstancias del caso.
Caso E. Has perdido el acceso a WhatsApp
Intenta recuperar tu cuenta mediante el procedimiento oficial de WhatsApp.
Si conservas el control de tu número telefónico, sigue las instrucciones de registro y recuperación de la aplicación.
Avisa a familiares y amigos por otros canales para que no confíen en mensajes sospechosos enviados desde tu cuenta.
Revisa después la verificación en dos pasos y los dispositivos vinculados.
Si no puedes recuperarla, consulta los canales oficiales de ayuda de WhatsApp y solicita asesoramiento especializado.
En todos los casos: conserva las pruebas
Antes de borrar mensajes, guarda cuando sea posible:
Capturas de pantalla.
Números de teléfono y direcciones de correo.
Fechas y horas.
Enlaces recibidos, sin volver a abrirlos.
Justificantes de pagos y movimientos.
Conversaciones relacionadas con el fraude.
Estas pruebas pueden resultar útiles para una denuncia o una reclamación bancaria.
Y desconfía de quienes te prometan recuperar el dinero robado a cambio de un nuevo pago: también existen estafas dirigidas específicamente a víctimas de fraudes anteriores.
7. Cinco hábitos que te ayudarán a prevenir futuras estafas
No existe una medida que elimine todos los riesgos, pero combinar buenos hábitos reduce significativamente las oportunidades de engaño.
1. Utiliza contraseñas únicas. Evita usar la misma contraseña para el correo electrónico, el banco y las redes sociales. Un gestor de contraseñas puede ayudarte a mantener claves diferentes.
2. Activa la autenticación en dos pasos. Especialmente en el correo electrónico, la banca digital y las cuentas de mensajería. Siempre que sea posible, utiliza métodos resistentes al phishing, como claves de acceso.
3. Mantén los dispositivos actualizados. Las actualizaciones de seguridad corrigen vulnerabilidades y mejoran la protección de aplicaciones y sistemas operativos.
4. Descarga aplicaciones desde fuentes oficiales. Desconfía de mensajes que te invitan a instalar aplicaciones mediante archivos o enlaces desconocidos.
5. Habla de seguridad digital con tu entorno. Compartir ejemplos de fraude con familiares, amistades y personas mayores puede ayudarles a reconocer situaciones similares.
La prevención es más eficaz cuando se convierte en una costumbre cotidiana y no en algo que únicamente recordamos después de sufrir un problema.
8. Checklist: qué revisar antes de confiar en un mensaje
Guarda esta lista y utilízala cuando recibas una comunicación inesperada.
¿Esperaba recibir este mensaje?
¿Conozco realmente al remitente?
¿Me está pidiendo actuar con urgencia?
¿Incluye un enlace que no reconozco?
¿Solicita contraseñas, códigos o datos bancarios?
¿La petición resulta extraña o poco habitual?
¿Puedo verificarla desde una aplicación o web oficial?
¿He comprobado la identidad de quien solicita dinero?
¿Estoy tomando la decisión con calma?
Si alguna respuesta te genera dudas, no realices la operación hasta verificar la información.
Puedes imprimir esta checklist o compartirla con una persona que esté empezando a utilizar Internet.
9. Dónde pedir ayuda si sospechas de una estafa
En España existe un servicio público especializado en resolver dudas e incidentes relacionados con la seguridad digital.
INCIBE — Tu Ayuda en Ciberseguridad
El Instituto Nacional de Ciberseguridad (INCIBE) ofrece orientación gratuita y confidencial para ciudadanos, menores y su entorno, así como empresas.
Teléfono: 017
También dispone de atención mediante WhatsApp, Telegram y formularios web.
Puedes consultar los canales oficiales y sus horarios actualizados en:
Tu Ayuda en Ciberseguridad — INCIBE
Si has sufrido un posible delito, puedes acudir a la Policía Nacional o a la Guardia Civil para informarte sobre cómo presentar una denuncia.
Si hay dinero o datos bancarios comprometidos, contacta primero y sin demora con tu entidad financiera.
Recursos oficiales para ampliar información
INCIBE: qué es el phishing. Explicación de esta técnica de suplantación de identidad.
INCIBE: guía de ciberseguridad para todos. Recomendaciones para comprender los principales fraudes digitales.
INCIBE: estafas habituales por WhatsApp. Material divulgativo sobre fraudes y suplantaciones.
INCIBE: cómo mejorar la seguridad de WhatsApp. Guía de configuraciones de seguridad.
Banco de España: cómo evitar el phishing bancario. Recomendaciones para proteger las operaciones bancarias.
Conclusión: ante la duda, verifica
Los ciberdelincuentes pueden falsificar nombres, fotografías, logotipos y mensajes aparentemente oficiales.
Por eso, la protección no consiste únicamente en reconocer un correo mal escrito o un enlace extraño.
Consiste en desarrollar un hábito mucho más sencillo:
Detenerse, comprobar y actuar únicamente cuando tenemos motivos suficientes para confiar.
Si recibes un mensaje inesperado que te pide dinero, información personal o una acción urgente, recuerda estas tres palabras:
Para. Comprueba. Protégete.
La seguridad digital empieza con pequeñas decisiones cotidianas. Y aprender a tomarlas es una de las mejores formas de protegerte a ti y a las personas de tu entorno.
