El Vishing (fusión de Voice y Phishing) es hoy en día el ataque de ciberfraude telefónico más peligroso y destructivo. Los ciberdelincuentes se hacen pasar por agentes del Departamento de Seguridad o Detección de Fraude de tu propio banco (CaixaBank, BBVA, Banco Santander, Banco Sabadell, ING, etc.), hablando con un tono profesional y sereno que inspira total confianza.

Si acabas de colgar el teléfono y te has dado cuenta con angustia de que has facilitado tu contraseña de acceso, tu número de tarjeta o los códigos que te han llegado por SMS, no te paralices por el pánico. Cada segundo cuenta para evitar que los delincuentes vacíen tus cuentas o soliciten un préstamo preconcedido a tu nombre.

🚨 El Gran Engaño del Código SMS El supuesto agente del banco te dirá: «Le acabamos de enviar un SMS con un código de verificación para cancelar la transferencia fraudulenta. Por favor, díctemelo para anular el cargo».
¡MIRA BIEN EL MENSAJE DE TU MÓVIL! El SMS real de tu banco siempre dice: «Firma de transferencia de XXX € a favor de YYY. Código: 123456». Ese código no es para cancelar nada, es la autorización definitiva para robar tu dinero.

Protocolo de Emergencia Minuto a Minuto

1 Minuto 0 al 5: Bloquea todas tus tarjetas y operativa en la App:
Abre inmediatamente la app oficial de tu banco en el móvil o accede desde el ordenador. Ve a la sección de Tarjetas y activa la opción «Apagar tarjeta» o «Bloqueo temporal / definitivo». Si tu app permite pausar la operativa de transferencias o Bizum, desactívala de inmediato.
2 Minuto 5 al 15: Llama al teléfono de emergencias 24h de tu entidad:
NUNCA devuelvas la llamada al número que te acaba de llamar. Busca el número de atención a emergencias y fraude oficial (lo tienes impreso en el reverso de tu tarjeta física o en la web oficial):
  • CaixaBank: 900 40 40 90 / 938 87 25 25
  • BBVA: 900 102 801 / 91 224 94 26
  • Banco Santander: 915 123 123
  • Banco Sabadell: 963 085 000
  • ING: 91 206 66 66 / 901 105 115
Comunica al operador: «He sido víctima de una estafa de vishing telefónico. Solicito el bloqueo total de mi banca digital y la retrocesión inmediata de cualquier cargo o transferencia emitida en los últimos 60 minutos».
3 Minuto 15 al 30: Cambia contraseñas y revisa dispositivos vinculados:
Cambia la clave de acceso a tu banca electrónica. Además, accede a tu correo electrónico principal y cambia también la contraseña, cerrando sesiones abiertas en otros dispositivos. Muchos atacantes acceden primero al email para interceptar notificaciones de seguridad.
4 Día 1: Denuncia en la Policía Nacional o Guardia Civil:
Acude con tu DNI y lleva impreso el extracto bancario con los movimientos no autorizados (número de cuenta receptora, importe, fecha y hora), así como el registro de llamadas de tu teléfono móvil. El atestado policial es un requisito obligatorio que te exigirá el banco para iniciar el expediente de reembolso.
5 Día 2 al 7: Reclamación formal de responsabilidad bancaria (Real Decreto-ley 19/2018):
El artículo 45 del Real Decreto-ley 19/2018 de servicios de pago establece con claridad que, en caso de una operación de pago no autorizada, el banco está obligado a reintegrar el importe inmediatamente al final del día hábil siguiente, a menos que la entidad demuestre ante el juez que el cliente actuó con dolo o negligencia grave.

2. ¿Por qué el Banco suele denegar el reembolso y cómo defenderse?

Los bancos intentan sistemáticamente rechazar las reclamaciones alegando que el cliente «cometió una negligencia grave al facilitar el código SMS voluntariamente». Sin embargo, los tribunales españoles (Audiencias Provinciales de Madrid, Barcelona, Valencia, Pontevedra, etc.) están dando masivamente la razón a los usuarios:

  • Sofisticación del engaño: Los jueces determinan que cuando el estafador utiliza técnicas avanzadas como el Caller ID Spoofing (la llamada entra con el número oficial de atención del banco en la pantalla del cliente), no existe negligencia grave, sino un engaño verosímil y sofisticado que anula la culpa de la víctima.
  • Falta de sistemas antifraude eficaces: La entidad bancaria tiene la obligación legal de detectar patrones anómalos (por ejemplo, una transferencia inmediata de 3.000€ a las 23:30 horas desde una IP nunca antes vista hacia una cuenta recién abierta).
  • Vía de reclamación: Si el Servicio de Atención al Cliente de tu banco deniega la devolución, puedes acudir de forma gratuita al Departamento de Conducta de Entidades del Banco de España o iniciar una demanda civil (si el importe reclamado es inferior a 2.000€, no necesitas abogado ni procurador).

Preguntas Frecuentes sobre Vishing

¿Puede mi banco llamarme alguna vez para pedirme una contraseña? Bajo ningún concepto. Ningún empleado de banca legítimo necesita tu contraseña de acceso ni tus códigos SMS temporales para realizar tareas técnicas ni para bloquear una operación sospechosa. Cualquier persona que te pida un código por teléfono es un estafador.
¿Qué es una cuenta «mula» y por qué la policía investiga al titular? Una mula es un intermediario que cede su cuenta corriente a las mafias para canalizar el dinero robado a cambio de un porcentaje. El titular de esa cuenta receptora comete un delito de blanqueo de capitales o estafa y es el primer investigado penalmente cuando la policía rastrea los fondos.