Cómo detectar estafas online: señales de alerta, tipos de fraude y cómo protegerte

Un mensaje inesperado, una oferta online o una llamada pueden resultar convincentes y aun así ser fraudulentos. Detente antes de enviar dinero, escribir una contraseña, compartir un código de un solo uso o instalar un programa. Comprueba la solicitud mediante un canal que ya conozcas. Un logotipo, un número familiar o una redacción impecable no prueban quién está detrás. Ninguna lista detecta todos los fraudes, pero verificar por otra vía ayuda a evitar decisiones precipitadas.

Señales de alerta frecuentes

Muchos fraudes utilizan ingeniería social: alguien intenta llevarte a actuar mientras oculta su propósito. La sospecha debe llevar a comprobar, no a acusar automáticamente. Algunas solicitudes legítimas son urgentes; ciertos fraudes son tranquilos, personales y están bien redactados. Valora qué te piden, si el contexto tiene sentido y si puedes confirmarlo por separado.

• Presión para actuar de inmediato o mantenerlo en secreto.
• Solicitud de contraseña, código de verificación o recuperación, o aprobación que tú no has iniciado.
• Enlace, archivo adjunto, QR inesperado o petición de instalar software de acceso remoto.
• Premio, empleo, descuento o rentabilidad garantizada excepcional que exige primero dinero o datos sensibles.
• Cambio repentino de datos de pago, petición de pagar fuera de la plataforma habitual o indicación de no consultar a nadie.

Phishing, smishing y vishing

• Phishing es un mensaje o una página engañosa que suplanta a una entidad para obtener datos, dinero o acceso a una cuenta, o inducir a una descarga dañina. Puede llegar por correo, redes sociales o mensajería; los nombres y direcciones mostrados pueden falsificarse. Consulta la guía de phishing de INCIBE.
• Smishing utiliza SMS u otros mensajes. Una falsa tasa de entrega o alerta puede llevar a una página copiada y aparecer en una conversación conocida. Comprueba desde la aplicación o web que abras tú.
• Vishing utiliza llamadas. Quien llama puede suplantar a un banco, policía, soporte o familiar. El identificador puede manipularse: la CNMC española alertó de llamadas que mostraban su propio número. Cuelga y llama mediante datos verificados por separado. Consulta el aviso de la CNMC.

Antes de comprar, revisa el dominio exacto, la identidad y los contactos del comercio, las condiciones de venta y devolución, la entrega y los medios de pago. Busca información independiente, pero trata las reseñas como pistas: pueden ser incompletas o estar manipuladas. Un precio anormalmente bajo invita a detenerse, pero no prueba por sí solo un fraude. En ventas entre particulares, utiliza el proceso documentado por la plataforma cuando sea posible; las protecciones varían. HTTPS y el candado indican una conexión cifrada según el navegador, pero no demuestran que el comercio sea legítimo. Un QR solo codifica un destino: previsualízalo y no introduzcas datos si no puedes comprobar adónde lleva. Consulta la ayuda de Google Chrome.

• Comprueba que los datos comerciales, el contacto, las condiciones de compra, la entrega y las devoluciones sean coherentes.
• No tomes como prueba que aparezca arriba en un buscador, tenga un logo conocido, esté en un hilo SMS o muestre un candado.
• Una tasa de entrega o alerta de cuenta inesperada debe comprobarse en la aplicación o web oficial que abras tú.

Otros fraudes online frecuentes

• Compraventa entre particulares: desconfía de pagos o conversaciones fuera de la plataforma, anticipos, capturas falsas o enlaces supuestamente necesarios para recibir dinero. Comprueba la operación en tu cuenta, no mediante una imagen o mensaje.
• Empleo: verifica la empresa y la vacante mediante contactos que encuentres por separado. Las peticiones de pagar para trabajar, recibir y reenviar dinero o comprar equipo a un vendedor indicado requieren cautela. Los procesos varían: un indicio aislado no prueba fraude.
• Inversiones: rentabilidad alta garantizada, presión para captar a otros, depósitos adicionales para retirar fondos o un supuesto asesor que te contacta sin esperarlo requieren cautela. Comprueba al proveedor en el registro oficial del supervisor correspondiente; una licencia copiada no prueba legitimidad.
• Relaciones y perfiles sociales: un contacto puede ganarse confianza y después inventar una emergencia o inversión. La apariencia, una videollamada o una historia no prueban identidad. Verifica por otra vía y no envíes dinero bajo presión emocional. La manipulación no hace culpable a la víctima.

Ejemplos ficticios: cómo comprobar

• SMS de una entrega (ficticio): un mensaje dice que falta pagar una tasa y exige hacerlo enseguida. La urgencia y el enlace inesperado son señales para comprobar. Abre por tu cuenta la aplicación o web oficial del transportista; no introduzcas datos desde el mensaje.
• Llamada del banco (ficticia): quien llama dice que hay una operación sospechosa y pide un código. El identificador puede falsificarse y el banco no necesita que reveles un código de un solo uso. Cuelga y llama al número publicado en la aplicación o tarjeta.
• Tienda con una oferta extraordinaria (ficticia): un comercio desconocido ofrece un producto caro a un precio inverosímil y pide pagar fuera de una plataforma. Contrasta la identidad, las condiciones y los datos de contacto; si no puedes verificarlos, no pagues.
• Mensaje de un familiar (ficticio): un supuesto familiar pide dinero urgente desde un número nuevo. Aunque la voz o el estilo parezcan familiares, confirma la petición llamando al contacto guardado o a otra persona de confianza antes de transferir.

Suplantaciones con IA y códigos QR

Las herramientas generativas pueden ayudar a crear mensajes convincentes, imágenes o voces clonadas. Una voz o vídeo familiar no demuestra identidad. Si alguien conocido pide dinero con urgencia, llama al número que ya tienes o consulta a otro contacto de confianza. Para profundizar en medios manipulados y sus límites, consulta la guía sobre cómo detectar deepfakes de IA. Un QR no es una señal de confianza: revisa el destino antes de introducir datos. Los detectores automáticos no son infalibles. La FTC de Estados Unidos ha descrito fraudes de emergencia familiar que utilizan voces clonadas; este ejemplo no indica su frecuencia. Orientación de la FTC.

Cinco pasos para verificar una solicitud sospechosa

1. Detente. No respondas, hagas clic, pagues ni autorices nada bajo presión.
2. Identifica la petición. ¿Pide dinero, credenciales, un código, acceso remoto, instalar software o autorizar algo?
3. Verifica por otra vía. Abre tú la app o web oficial o llama a un número que ya conozcas. Si dicen ser un familiar, usa un número guardado u otro contacto conocido.
4. Comprueba el contexto. Contrasta el dominio exacto, la operación esperada y los datos de pago; busca una confirmación independiente.
5. Decide con prudencia. Si no puedes verificar una solicitud sensible, no continúes. Pide tiempo o ayuda por un canal oficial.

Protege tus cuentas y datos de pago

• Utiliza una contraseña distinta para cada cuenta importante; un gestor puede ayudar. Activa la autenticación multifactor cuando exista, sabiendo que no elimina todos los riesgos.
• Nunca compartas códigos de un solo uso o recuperación con un contacto inesperado ni autorices accesos o pagos que no hayas iniciado.
• Mantén dispositivos y aplicaciones actualizados. Instala programas desde tiendas oficiales o la web conocida del desarrollador, no desde un mensaje urgente.
• Revisa actividad y avisos de operaciones. Contacta pronto con el servicio por un canal oficial si ves un movimiento desconocido.

Si has enviado dinero

Contacta inmediatamente con tu banco, emisor de tarjeta o servicio de pago mediante su aplicación oficial o un número publicado. Explica qué ocurrió, cuándo, cómo pagaste y si autorizaste la operación; pregunta qué medidas de bloqueo, reclamación o protección podrían estar disponibles. Un pago no autorizado es distinto de una transferencia que aprobaste tras ser engañado, y las opciones cambian. Una transferencia puede ser difícil o imposible de revertir al llegar al destinatario. Contactar pronto importa, pero la recuperación no está garantizada. Consulta la guía del Banco de España. En España, el tratamiento legal depende, entre otros aspectos, de si la operación fue realmente autorizada: un pago que aprobaste tras un engaño no se trata automáticamente igual que una operación no autorizada. Los derechos y las vías de reclamación dependen de los hechos y de las normas aplicables. En otros países puede ser distinto.

1. Guarda justificantes, datos de transferencias, mensajes, teléfonos, correos y direcciones web. No reabras enlaces inseguros ni publiques pruebas sensibles.
2. Pide al banco que registre el incidente y explique cómo reclamar. Conserva referencias y respuestas escritas. En España, si la entidad no resuelve el problema, consulta el procedimiento vigente de reclamación del Banco de España.
3. Indica claramente si no autorizaste el movimiento. Si aprobaste una transferencia tras un engaño, contacta igualmente de inmediato, pero no des por hecho que puede revertirse.
4. En España, el 017 de INCIBE ofrece orientación gratuita y confidencial en ciberseguridad. La denuncia formal se tramita por canales vigentes de Policía Nacional o Guardia Civil; reportar a INCIBE no es una denuncia policial.

Si compartiste credenciales o datos personales

• Cambia la contraseña desde el servicio auténtico, no desde el enlace. Si la reutilizabas, cámbiala también en otros sitios, sobre todo en correo y cuentas financieras.
• Revisa inicios de sesión, datos de recuperación y sesiones activas; cierra las desconocidas si el servicio lo permite.
• Si compartiste un código o aprobaste una operación, contacta inmediatamente con el banco o servicio; cambiar la contraseña no necesariamente la revierte.
• Si expusiste documentos, contacta con el servicio afectado, vigila nuevas altas o solicitudes y sigue las indicaciones oficiales. En España, la AEPD trata datos personales, no recupera transferencias.
• Si facilitaste los datos de una tarjeta, contacta pronto con la entidad emisora por un canal oficial, pregunta qué medidas de protección tienes disponibles y revisa los movimientos; bloquear o sustituir la tarjeta puede no resolver otros datos expuestos.
• Denuncia el perfil suplantado en la plataforma y avisa a tus contactos por un canal conocido si alguien puede pedirles dinero en tu nombre.

Si instalaste software o diste acceso remoto

Instalar un programa o conceder acceso remoto no es lo mismo que abrir un enlace. Deja de interactuar con quien llama o con el programa. Si alguien controla el dispositivo, desconéctalo de la red si es seguro y usa otro aparato fiable para contactar con el banco y proteger cuentas importantes. No sigas instrucciones del supuesto técnico ni borres pruebas indiscriminadamente. Pide a un profesional fiable u organismo oficial orientación para revisar el equipo. Hacer clic, descargar un archivo y ejecutar software son exposiciones distintas.

Evita una segunda estafa

Después de un fraude, alguien puede prometer recuperar el dinero a cambio de una tarifa inicial o más datos de cuenta. Desconfía de cualquier recuperación garantizada. No pagues a desconocidos que dicen ser funcionarios, abogados, investigadores o especialistas sin verificarlos por separado. La FTC advierte que estas estafas se dirigen a personas que ya han perdido dinero. Conserva pruebas y contacta con tu banco o servicio oficial. La FTC describe este patrón. La FTC de Estados Unidos también advierte de estafadores que se hacen pasar por organismos o abogados y pueden exigir pagos por adelantado o información financiera. Aviso de la FTC.

Dónde pedir ayuda y reportar un fraude

• España — [INCIBE 017](https://www.incibe.es/linea-de-ayuda-en-ciberseguridad): orientación gratuita y confidencial en ciberseguridad. Es un servicio español, no un número internacional de emergencias. INCIBE también dispone de una página para reportar fraudes.
• Para una denuncia formal en España, contacta con Policía Nacional o Guardia Civil y sigue sus instrucciones vigentes; los trámites online tienen requisitos propios. Reportar a INCIBE no es una denuncia policial. Consulta las instrucciones vigentes de Policía Nacional y de la Guardia Civil.
• Si se usaron tus datos o perfil, denúncialo en la plataforma. En España, la AEPD orienta sobre suplantación y privacidad; no recupera transferencias. En otros países, consulta canales oficiales locales.

Antes de hacer clic, pagar o compartir datos

• ¿Qué me piden exactamente y por qué ahora?
• ¿Puedo verificarlo desde una aplicación, teléfono o contacto que ya conozco?
• ¿Me piden contraseña, código, pago o acceso remoto?
• ¿He comprobado dominio, comercio y condiciones, no solo el logotipo o candado?
• ¿Puedo esperar y consultar a alguien de confianza sin usar los datos del mensaje?
• Si ya ocurrió algo, ¿contacté con el banco o servicio y conservé las pruebas?

Preguntas frecuentes

• ¿Cómo sé si una web es una estafa? Revisa dominio, comercio, condiciones y pago; busca información independiente. Ninguna señal, incluido HTTPS, demuestra por sí sola que sea legítima.
• ¿Cómo reconozco un correo de phishing? Desconfía de solicitudes inesperadas de acceso, pago, códigos o descargas. Comprueba por otra vía: el nombre y la redacción pueden engañar.
• ¿Puede ser falsa una llamada que muestra el número de mi banco? Sí. El identificador puede manipularse. Cuelga y utiliza el número de la app, tarjeta o documentación fiable.
• ¿Basta HTTPS para confiar en una tienda? No. Protege la conexión según los certificados, pero no verifica la honestidad ni identidad del comercio.
• ¿Qué hago si hice clic en un enlace sospechoso? Ciérralo y no introduzcas datos. El clic por sí solo no revela si hubo exposición; comprueba qué ocurrió y actúa según ello.
• ¿Qué hago si compartí mi contraseña? Cámbiala en el servicio auténtico, sustituye las reutilizadas, revisa sesiones y contacta con el proveedor si compartiste un código o aprobaste algo.
• ¿Qué hago si envié dinero a un estafador? Contacta inmediatamente con el banco o proveedor de pago y pregunta qué opciones hay. La recuperación depende de las circunstancias y no está garantizada.
• ¿Dónde puedo reportar un fraude online? En España, INCIBE ofrece orientación 017 y un canal de reporte; la denuncia formal se presenta ante la policía. En otros países, consulta los canales locales.
• ¿Qué es el smishing? Es phishing por SMS u otros mensajes de texto, a menudo con un enlace inesperado o una petición de datos o pago.
• ¿Puede la IA imitar una voz conocida? La síntesis de voz puede usarse para suplantar. Comprueba peticiones urgentes mediante un número conocido u otra persona; la voz no basta.
• ¿Puedo confiar en una videollamada o perfil? Puede ayudar, pero no garantiza identidad. Ante una petición sensible, confirma por un canal conocido por separado.
• ¿Reportar a INCIBE equivale a denunciar? No. INCIBE puede orientar o recibir un aviso; sigue por separado los trámites policiales para una denuncia formal.
• ¿Qué hago si instalé una aplicación sospechosa? Deja de usarla, protege las cuentas desde otro dispositivo fiable y pide ayuda técnica. Si hay control remoto, desconecta el equipo si es seguro.
• ¿Qué hago si facilité los datos de mi tarjeta? Contacta pronto con la entidad emisora por su app o teléfono oficial, pregunta qué hacer y revisa los movimientos. Bloquear la tarjeta no necesariamente resuelve toda exposición.

Una pauta sencilla para recordar

Cuando un mensaje, llamada u oferta te pide una acción sensible, detente, verifica por otra vía y protege tus cuentas o datos de pago antes de responder. Si ya pagaste o compartiste información, contacta pronto con el banco o servicio, conserva pruebas y utiliza ayuda oficial. Estas medidas reducen riesgos, pero no evitan todos los fraudes ni garantizan recuperar el dinero.