Cómo blindar tu cuenta bancaria en minutos tras caer en la trampa de tráfico más sofisticada de este año

Congela las tarjetas y corta el acceso a la banca online desde la app

El primer mandato de cualquier protocolo antifraude es ganar minutos, y ninguna vía los gana como la ‘app’ del banco. El aviso de INCIBE del 16 de septiembre de 2025 sobre la campaña que suplanta a la DGT describe el recorrido entero: un formulario con datos personales, otro con el número de la tarjeta, un código de validación simulado que nunca llega y, al final, el PIN. Con los datos ya entregados, la recomendación oficial es bloquear la tarjeta y los movimientos sospechosos, y hacerlo desde la aplicación evita dos riesgos a la vez: la espera en el teléfono de atención y la tentación de marcar el número que aparece en el propio SMS, que suele ser otra puerta abierta a los estafadores. En CaixaBankNow son tres toques —’Mis tarjetas’, ‘Bloquear tarjeta’, ‘Temporal‘—; en Banco Sabadell, ‘Tarjetas‘, ‘Mi tarjeta’ y ‘Apagar, Bloquear o Sustituir‘. Menos de un minuto, a cualquier hora y sin depender de que alguien descuelgue.

Congelar el plástico no cierra la puerta si lo que ha volado son las claves. Quien tiene usuario y contraseña no necesita la tarjeta física para ordenar transferencias, y con el número, la caducidad y el CVV se puede vincular el medio de pago a una cartera móvil. El segundo movimiento es, por tanto, cortar el acceso a la banca online: cambiar la contraseña desde un dispositivo propio, revisar sesiones y equipos autorizados —Openbank permite bloquear los dispositivos desde los que se ha entrado en la cuenta— y, si hay dudas sobre el móvil, pedir el bloqueo del acceso a la ‘app’. Hay un matiz que casi nadie explica: CaixaBank advierte en su propia guía de que el bloqueo temporal del plástico no impide seguir pagando con el teléfono, así que ante un fraude real procede la cancelación definitiva y un número nuevo. Y el reloj corre: el Real Decreto-ley 19/2018 obliga a reembolsar las operaciones no autorizadas salvo negligencia grave, con un tope de 50 euros antes de avisar, y el TJUE subrayó en agosto de 2025 que notificar sin demora injustificada condiciona la devolución.

Cambia la contraseña, expulsa los dispositivos conectados y pasa el doble factor a app o clave física

El pago de la multa falsa es solo la puerta de entrada. La web que suplanta a la DGT pide número de tarjeta, fecha de caducidad y CVV, simula una validación por SMS con un código que nunca llega, reclama después el PIN y, para ganar tiempo, redirige al portal real del organismo: cuando la víctima reacciona, sus datos ya están en circulación. De ahí que la contraseña de la banca online y, sobre todo, la del correo electrónico —la llave maestra para restablecer casi cualquier otro acceso— tenga que cambiarse desde otro dispositivo y con una clave nueva, no con una variante de la anterior. Y de ahí el paso que casi todos omiten: expulsar las sesiones abiertas. Los menús de seguridad del banco y del correo incluyen una opción de cerrar sesión en todos los dispositivos que invalida los tokens ya emitidos; sin ese clic, quien entró hace diez minutos sigue dentro aunque tú tengas otra contraseña.

El segundo movimiento es el que convierte el susto en un cierre real: trasladar el doble factor del SMS a una aplicación de autenticación o, mejor, a una llave física o passkey. El código por mensaje de texto es el eslabón débil, como demuestra el SIM swapping: en 2024 la Guardia Civil desarticuló una red que había estafado 3.381.000 euros en 102 ciberdelitos duplicando tarjetas SIM, y otra operación, con un centenar de suplantados, interceptó códigos para transferir 429.000 euros. La Agencia Española de Protección de Datos ha sancionado a operadoras por expedir duplicados a impostores. Las aplicaciones de códigos temporales esquivan ese robo, pero siguen expuestas a una web falsa que retransmita el código en tiempo real; los estándares FIDO2 y WebAuthn, en cambio, autentican el dominio, así que la llave no responde ante un clon. Al cambiar de método, como recuerda INCIBE, registra y prueba el nuevo antes de borrar el antiguo, guarda los códigos de respaldo y, si optas por hardware, enrola una segunda llave.

Llama al banco por el número del dorso de la tarjeta, nunca por el del mensaje, y reclama el reembolso por operación no autorizada

I’ll search for current information on this topic.

El primer gesto que separa un susto de un saqueo completo es marcar el teléfono correcto, y ese teléfono no está en el mensaje: está en el dorso de la tarjeta o, en su defecto, en la app y la web oficiales de la entidad. El motivo es que los suplantadores de la DGT no se quedan en el formulario falso. En las horas siguientes es frecuente que alguien llame haciéndose pasar por el servicio de seguridad del banco para «anular el cargo» y arrancar el código de confirmación que acaba de llegar por SMS; dictado ese código, la operación queda registrada como válida en los sistemas de la entidad y la reclamación se complica. INCIBE, en su aviso del 28 de septiembre de 2026, recomienda contactar por canales oficiales, pedir el bloqueo inmediato de la tarjeta y revisar movimientos sin esperar a ver el cargo en la cuenta. En el caso judicial de Córdoba, los catorce cargos se ejecutaron en muy poco tiempo y desde comercios de Alemania e Irlanda.

Con la tarjeta bloqueada y la denuncia policial presentada, toca reclamar, y conviene separar dos supuestos. Los cargos que el estafador hizo con los datos tecleados en la web falsa son operaciones no autorizadas: desde la sentencia del Tribunal de Justicia de la UE de 15 de octubre de 2026 (asunto C-70/25, Tukowiecka) el banco no puede negar el reembolso alegando negligencia grave del cliente, sino que debe abonar el importe al final del día hábil siguiente a la notificación, y si quiere trasladarle la pérdida tendrá que probarlo después ante un juez. El pago que la víctima ordenó ella misma creyendo saldar una multa es otra cosa: un pago autorizado bajo engaño que se pelea por retrocesión del cargo. El plazo para notificar es de 13 meses y, si la entidad se niega, queda el Banco de España. Un juzgado cordobés condenó en mayo de 2026 a ING a devolver 930 euros, más intereses y costas, a un hombre de 77 años.

Conserva el SMS, el enlace y las capturas, y denuncia en el 017 de INCIBE, ante Policía o Guardia Civil y en el buzón de la DGT

El rastro de este fraude caduca en cuestión de horas. El SMS se pierde entre notificaciones, el enlace deja de responder en cuanto los ciberdelincuentes rotan de dominio —lo hacen a diario— y quien ha picado tiende a borrar el mensaje por vergüenza, justo cuando más falta hace. Por eso lo que de verdad cambia el desenlace no es bloquear la tarjeta, sino recoger las pruebas antes de tocar nada: guardar el mensaje original sin reenviarlo ni reeditarlo, con el remitente y la hora exacta de recepción; capturas de la web falsa en las que se vea la barra de direcciones; y, si llegó por correo, el archivo completo con cabeceras, donde aparece el dominio real, que en las campañas detectadas por INCIBE terminaba en servicios ajenos a @dgt.es. Conviene además anotar la URL a mano en una nota, nunca volver a pulsarla, porque reactiva el rastreo. Una captura suelta se discute en cualquier reclamación; sellada con un servicio de testigos en línea, como recomienda el propio instituto, ya es otra cosa.

Con esas pruebas en la mano, los tres canales de denuncia dejan de ser un formalismo. El 017 es gratuito y confidencial, funciona los 365 días del año de 8:00 a 23:00 y también atiende por WhatsApp (900 116 117) y Telegram (@INCIBE017): no tramita la denuncia penal, pero asesora, deriva el caso a INCIBE-CERT y permite tumbar la web fraudulenta y avisar a los demás; su aviso del 28 de septiembre de 2026, con nivel de importancia alto, describía la escalada de 100 a 200 euros y luego a 400 en 24 horas. La denuncia ante la Policía Nacional o la Guardia Civil es lo que acredita que fuiste víctima antes del cargo y abre la vía de recuperación del dinero. Y el buzón de la DGT cumple una doble función: dejar constancia de que están usando su nombre y salir de la duda con el expediente real, que se consulta gratis en TESTRA, la app MiDGT o la sede electrónica, sin facilitar nunca la tarjeta: Tráfico solo notifica por correo postal o por la Dirección Electrónica Vial.

Comprueba si han pedido crédito o abierto productos a tu nombre con la CIRBE del Banco de España

La Central de Información de Riesgos del Banco de España (CIRBE, hoy denominada oficialmente CIR) es el único registro oficial que reúne, entidad por entidad, los préstamos, créditos, avales y líneas de financiación declarados a tu nombre. Los bancos están obligados a comunicar esas operaciones cada mes, de modo que un crédito solicitado con tus datos por un tercero acaba apareciendo ahí aunque tú no hayas firmado nada. El INCIBE la señala precisamente como vía para detectar contrataciones financieras no autorizadas: si el estafador ha financiado una compra o ha abierto una tarjeta con tu identidad, el rastro queda registrado. El informe es gratuito y se solicita en la sede electrónica del Banco de España con certificado digital, DNI electrónico o Cl@ve; si pides el último periodo disponible en día laborable, suele estar listo en unos 15 minutos —el plazo máximo de resolución es de diez días hábiles— y puedes descargarlo durante 20 días, así que conviene guardarlo.

Pide el informe detallado, no el agregado: el primero identifica cada operación, la entidad que la ha declarado y el importe, mientras que el segundo solo ofrece totales agrupados por tipo de riesgo y no permite saber con quién se contrató. La base deja fuera las operaciones cuyo riesgo agregado no supere los 1.000 euros en una misma entidad, y desde el 2 de enero de 2027 el umbral para declarar individualmente operaciones de pequeña cuantía bajará de 3.000 a 1.000 euros, de modo que el documento no es exhaustivo. Lo que buscas es una entidad con la que no trabajas, un aval que no has firmado o un importe que no reconoces: si aparece, tienes una prueba documental para reclamar la rectificación o cancelación de forma gratuita ante el propio Banco de España y para exigir explicaciones a esa entidad. Ojo con el calendario, porque las entidades declaran con cierre mensual y puede haber semanas de desfase: la ausencia de una operación reciente no demuestra que no exista.