Evitar el phishing depende de dos cosas: reconocer el engaño antes de responder y comprobar cualquier aviso por un canal que usted controle. Si el daño ya se ha producido, lo urgente es bloquear accesos, conservar pruebas, denunciar y reclamar al banco las operaciones no autorizadas. En cada uno de estos pasos puede ser útil la orientación de un abogado especializado en delitos informáticos.
El phishing es un fraude basado en la ingeniería social: los ciberdelincuentes se hacen pasar por una entidad o por una persona de confianza. Con esa suplantación buscan obtener sus datos personales, sus credenciales o su dinero, o conseguir que usted instale software malicioso. Para detenerlo a tiempo, conviene conocer primero cómo se presenta.
El canal define cada modalidad. Un correo electrónico de phishing puede imitar al banco y llevar a una web falsa, donde se capturan las claves que se escriben en ella. El smishing usa SMS con el mismo fin. En el vishing, el estafador llama por teléfono para pedir datos o para conseguir que usted haga una operación.
A estos canales se suman otras técnicas de phishing: el spear phishing, que adapta el mensaje a una persona concreta, y el phishing en redes sociales. En las empresas existe además el phishing para empleados, con facturas falsas o peticiones que parecen venir de un superior. Ninguna clasificación universal reduce los ataques de phishing a cuatro tipos exactos, y las modalidades pueden combinarse. Antonio Rodas Abogado desarrolla en su guía cómo recuperar el dinero tras un phishing estos supuestos bancarios.
El tono del aviso ya dice mucho. La urgencia artificial, la amenaza de bloquear una cuenta o un plazo muy corto aparecen en los mensajes de phishing por una razón: buscan que usted actúe sin comprobar la solicitud.
Frente a esa presión, la apariencia del mensaje no basta para confiar en él. Estos son los elementos que no deben tomarse como garantía:
Los errores ortográficos y los saludos genéricos pueden delatar una estafa, pero que no aparezcan no prueba nada. Según el Ministerio del Interior, la inteligencia artificial permite redactar mensajes fraudulentos creíbles.
Una petición inesperada de contraseñas, códigos de verificación, datos de tarjeta o información confidencial obliga a comprobar su origen antes de responder. La clave está en una regla sencilla: ningún banco pide claves ni códigos completos por correo, SMS o teléfono. Algo parecido ocurre con los archivos adjuntos que no esperaba, como una factura no solicitada: pueden contener archivos maliciosos, sobre todo si el mensaje pide ejecutarlos.
El cebo también puede ser económico: un supuesto premio, una deuda o un pequeño pago para liberar un paquete. En una llamada, debe alertarle que le pidan transferir dinero a una «cuenta segura» o instalar una aplicación de acceso remoto.
Detectar una señal de alerta es solo el primer paso. Saber cómo evitar el phishing en la práctica supone comprobar cada aviso fuera del propio mensaje y reforzar después las cuentas y los dispositivos.
Ante un aviso bancario, no use el enlace recibido. Antonio Rodas Abogado recomienda contactar con la entidad solo a través de su aplicación oficial o escribiendo usted mismo su dirección en el navegador, y comprobar allí si la alerta existe. Esa verificación tiene tres partes:
Esta última comprobación evita una trampa concreta. Basta con cambiar una letra por un número, o con añadir palabras al nombre de una entidad, para crear una dirección engañosa que a primera vista parece la oficial.
Una vez comprobado el remitente, revise también adónde lleva el enlace. En un ordenador, algunos programas muestran el destino al pasar el puntero por encima sin pulsar. En el móvil, algunas aplicaciones lo enseñan si mantiene pulsado el enlace. El candado y el HTTPS solo indican que la conexión está cifrada: una web falsa también puede tenerlos. Los enlaces acortados y los códigos QR ocultan el destino, así que compruebe el dominio antes de escribir datos personales. Tampoco pegue enlaces que puedan contener datos privados en verificadores de terceros.
La verificación protege frente a un mensaje concreto. Para limitar el daño si alguna vez falla, conviene sumar estos hábitos a los consejos para evitar caer en el engaño:
Los filtros antiphishing ayudan a bloquear amenazas, pero no sustituyen su propia revisión de los mensajes sospechosos. Por la misma razón, no instale una aplicación de acceso remoto porque se lo pida un desconocido.
Una vez recibido el mensaje, el riesgo depende de lo que usted haya hecho con él: no es lo mismo abrirlo que entregar claves o instalar un programa. Cada situación requiere sus propios pasos.
Con los correos electrónicos sospechosos, la pauta es no responder y no abrir enlaces ni adjuntos. Márquelos como phishing, bloquee al remitente si es posible y después bórrelos. Abrir el mensaje no supone por sí solo una infección ni un robo de datos: si no tocó nada de su contenido, basta con eliminarlo.
Si pulsó el enlace pero no dio datos ni descargó archivos, cierre la página y compruebe si se descargó algo. El clic, por sí solo, no demuestra que el dispositivo esté infectado. Si el aviso llegó a una cuenta de trabajo, informe al equipo de informática o de seguridad para que revise el incidente.
En cambio, si ya facilitó contraseñas o códigos, cambie enseguida las credenciales desde la web o la aplicación oficial y desde un dispositivo de confianza. Proteja primero el correo principal si está comprometido, porque desde él pueden restablecerse otras cuentas. Después:
Actuar rápido con el banco tiene otra ventaja: facilita pedir el bloqueo de operaciones y conservar pruebas útiles para una reclamación posterior.
El caso más delicado es el de un dispositivo que puede estar comprometido. Desconéctelo de Internet, no lo use para entrar en la banca y pida asistencia técnica. Ante un acceso o un sabotaje informático, Antonio Rodas Abogado aconseja no apagar ni «limpiar» los sistemas afectados, porque en ellos están las pruebas.
A partir de ahí, revise las aplicaciones instaladas, los permisos que tienen y las sesiones abiertas en sus cuentas. Las credenciales que puedan estar afectadas deben cambiarse desde otro dispositivo seguro.
Bloqueados los accesos, queda la cuestión económica. Las posibilidades de recuperar el dinero dependen de cómo se hizo la operación, del plazo en que la comunique y de que la reclamación al banco esté bien documentada.
Según el Banco de España, un cargo hecho sin su consentimiento puede ser una operación no autorizada. Una transferencia que la propia víctima ordena bajo engaño, en cambio, puede considerarse autorizada a efectos del servicio de pago y resulta más difícil de recuperar.
Esa frontera tiene matices que conviene conocer antes de reclamar:
La diferencia entre recuperar el importe y perderlo puede jugarse en esta calificación. Además de la reclamación al banco, la vía penal está abierta, y el abogado especialista en estafas puede ejercer la acusación en estos procedimientos.
El artículo 43 del Real Decreto-ley 19/2018 exige comunicar sin demora injustificada las operaciones no autorizadas o mal ejecutadas. Como regla general, fija un máximo de 13 meses desde el adeudo, con las salvedades que prevé la ley, aunque Antonio Rodas Abogado aconseja comunicarlas en cuanto se conozca el fraude. Una vez comunicada, el artículo 45 obliga a reembolsar la operación no autorizada de inmediato, como máximo al final del siguiente día hábil. La excepción: que la entidad tenga motivos razonables para sospechar fraude y los comunique por escrito al Banco de España.
La carga de la prueba recae sobre la entidad. Según el Banco de España, el banco debe demostrar que la operación discutida se autenticó, registró y contabilizó correctamente, y un abono provisional puede revertirse tras la investigación. La negligencia grave del usuario no puede presumirse: para negar el reembolso por esa causa o por fraude del cliente, el banco tiene que acreditarlo.
| Cuestión | Regla | Fuente |
| Comunicación de la operación | Sin demora injustificada; máximo general de 13 meses desde el adeudo | Art. 43 RDL 19/2018 |
| Reembolso | Inmediato, como máximo al final del siguiente día hábil, salvo sospecha razonable de fraude comunicada al Banco de España | Art. 45 RDL 19/2018 |
| Respuesta a reclamaciones sobre servicios de pago | 15 días hábiles | Banco de España |
Pida por escrito al banco que identifique cada operación discutida, explique cómo se autenticó y responda de forma motivada. El escrito debe incluir los importes, las pruebas y la solicitud de devolución. Conserve el justificante de recepción.
Si el banco rechaza la solicitud, presente una reclamación formal ante su Servicio de Atención al Cliente o ante su Defensor del Cliente. Según el Banco de España, el plazo de respuesta en servicios de pago es de 15 días hábiles.
Agotada esa vía, puede acudir al Banco de España si no está de acuerdo con la respuesta o si vence el plazo sin ella. Su resolución no es vinculante ni garantiza recuperar el dinero.
La reclamación bancaria y la denuncia penal siguen caminos distintos, pero se apoyan en las mismas pruebas. Reunirlas pronto y con garantías condiciona las dos vías.
Guarde el mensaje original, las conversaciones, las direcciones web, las capturas completas, los documentos y los justificantes. Anote la fecha, la hora y la zona horaria cuando sean relevantes, y no publique nada en redes sociales. A ese material conviene añadir:
Esa cautela tiene un motivo técnico: la evidencia digital puede caducar, sobrescribirse o impugnarse si no se recoge con garantías. Por eso el abogado en delitos informáticos trata la prueba digital forense como un elemento central del caso.
Con las pruebas reunidas, prepare una cronología con los mensajes, importes, fechas y justificantes. Después denuncie ante la Policía Nacional, la Guardia Civil o los Mossos d'Esquadra. No necesita saber quiénes son los ciberdelincuentes ni qué delito exacto cometieron. Tenga en cuenta que la denuncia comunica hechos que pueden ser delito, pero es distinta de la reclamación al banco y, por sí sola, no garantiza que recupere el dinero.
Si además han suplantado su identidad digital, la Agencia Española de Protección de Datos recomienda comunicarlo a la plataforma afectada y denunciarlo ante las Fuerzas y Cuerpos de Seguridad. INCIBE-CERT permite también comunicar incidentes y recibir orientación técnica.
Un asesor jurídico puede examinar las pruebas, distinguir una operación no autorizada de un pago hecho bajo engaño y valorar la reclamación civil o la denuncia penal, sin prometer un resultado. Antonio Rodas Abogado asesora en asuntos de phishing y fraude bancario.
Otra cuestión es quién paga esa defensa. La Ley 1/1996 de asistencia jurídica gratuita, de 10 de enero, la condiciona a requisitos de ingresos y patrimonio, con las excepciones que prevé. Sufrir phishing no da derecho automáticamente a abogado y procurador gratuitos.
Junto a esa vía, el Ministerio de Justicia indica que las Oficinas de Asistencia a las Víctimas del Delito informan sobre derechos y vías de apoyo. Se trata de una orientación general que no sustituye la defensa jurídica de un caso concreto.
La primera, una dirección de remitente que no coincide con el dominio oficial o que tiene caracteres cambiados, porque el nombre visible puede falsificarse. La segunda, la urgencia artificial, las amenazas de bloqueo o los plazos muy cortos. La tercera exige atención: que el correo imite el diseño, el logotipo y el tono de una entidad real no prueba que sea auténtico.
No los responda, porque contestar puede confirmar al atacante que su dirección está activa. Bloquear al remitente ayuda, aunque no siempre detiene la campaña: los delincuentes pueden cambiar de dirección. Tampoco reenvíe el mensaje para que otros prueben sus enlaces ni lo publique en redes sociales.
Sí. Si alguien le contacta después del fraude, no siga sus instrucciones ni pague supuestas tasas de recuperación sin comprobar quién es. Esa oferta puede ser un segundo engaño.
