El phishing es la técnica de fraude más utilizada en España. Aprende a identificarlo y proteger tus datos bancarios.
El phishing es una técnica de ingeniería social mediante la cual los delincuentes se hacen pasar por entidades de confianza —bancos, organismos públicos o empresas conocidas— para engañarte y conseguir que reveles información confidencial como contraseñas, números de tarjeta o credenciales de acceso.
El nombre proviene del inglés "fishing" (pescar), ya que los atacantes lanzan su "anzuelo" de forma masiva esperando que alguna víctima pique. En España, el 68% de los ciberataques contra ciudadanos comienzan con alguna forma de phishing, según datos del INCIBE para 2024.
Un ataque de phishing puede construirse en menos de 15 minutos usando herramientas accesibles. Por eso es crucial conocerlo: la defensa comienza en ti, no en la tecnología.
El phishing ha evolucionado más allá del correo electrónico. Conoce todas sus variantes para estar preparado.
Correos masivos que imitan la identidad visual de bancos, AEAT, Correos u otras instituciones. Incluyen enlaces a webs falsas o archivos maliciosos adjuntos.
Riesgo altoMensajes de texto fraudulentos que alertan sobre bloqueos de cuenta, paquetes retenidos o cobros pendientes. El enlace lleva a una página de captura de datos.
Riesgo altoLlamadas telefónicas en las que el estafador se presenta como empleado de tu banco, Hacienda o soporte técnico. Usan presión psicológica para obtener claves.
Riesgo altoAtaques altamente personalizados dirigidos a una persona u organización específica. Usan información real de la víctima (nombre, empresa, cargo) para ser más convincentes.
Riesgo muy altoManipulación del sistema DNS que redirige al usuario a una web falsa incluso cuando escribe la dirección correcta del banco. Muy difícil de detectar sin software especializado.
Riesgo medioVariante del spear phishing que tiene como objetivo directivos de empresas ("peces gordos"). Busca autorizar transferencias millonarias o acceder a sistemas corporativos críticos.
Riesgo muy altoAsí son los mensajes fraudulentos más habituales en España. Aprende a reconocerlos antes de hacer clic.
Antes de hacer clic en cualquier enlace o facilitar datos, sigue estas comprobaciones para determinar si la comunicación es legítima o un intento de phishing.
Ningún banco, organismo público ni empresa legítima te pedirá tu contraseña, PIN o código de seguridad por email, SMS o teléfono. Si alguien lo hace, es un fraude.
España es uno de los países europeos más afectados por el phishing bancario. Los bancos más suplantados son BBVA, Banco Santander, CaixaBank e ING, que concentran el 78% de todos los casos registrados.
El organismo más imitado fuera del sector bancario es la Agencia Tributaria (AEAT), especialmente en las campañas de primavera coincidiendo con la declaración de la renta.
No entres en pánico. Sigue estos pasos en orden para minimizar el daño y proteger tus cuentas.
Si abriste el enlace pero no escribiste nada, el riesgo es menor. Cierra la pestaña inmediatamente sin rellenar ningún formulario ni hacer clic en nada más dentro de la página.
💡 Actúa en los primeros 60 segundosSi introdujiste credenciales, cambia tu contraseña bancaria desde la app oficial o accediendo directamente desde el navegador (sin usar el enlace del email). Haz lo mismo con el email asociado a tu banco.
💡 Usa contraseñas únicas para cada servicioHabilita la verificación en dos pasos en tu cuenta bancaria y en tu correo electrónico. Así, aunque el atacante tenga tu contraseña, necesitará también tu teléfono para acceder.
Contacta con el servicio de atención al cliente de tu banco usando el número oficial (reverso de tu tarjeta). Informa de lo ocurrido y solicita que monitoricen tu cuenta. Si hay cargos no autorizados, solicita su cancelación.
💡 Guarda referencia de la llamada (número y hora)Si descargaste algún archivo o habilitaste macros, ejecuta un análisis completo con tu antivirus. Considera usar Malwarebytes (gratuito) como segunda opinión. En casos graves, restaura el sistema operativo.
Reporta el incidente a la Policía Nacional (online en policia.es), al INCIBE (incibe.es) y reenvía el email o screenshot del SMS al banco afectado y al OSI (osi.es). Tu denuncia puede proteger a otras personas.
💡 INCIBE tiene una línea de ayuda: 017 (gratuita)Medidas preventivas organizadas por área para que puedas implementarlas hoy.
Consúltanos sin compromiso. Nuestro equipo puede ayudarte a analizar el mensaje sospechoso y orientarte sobre qué pasos dar.