El dato no habla solo de más llamadas a un servicio público. También muestra que el fraude se ha metido de lleno en la banca cotidiana: SMS que parecen del banco, llamadas de supuestos gestores, enlaces para “validar” pagos, falsas inversiones y operaciones que el cliente autoriza bajo presión.
Según el avance presentado por el Ministerio para la Transformación Digital, el 017 casi duplicó las 49.599 consultas del mismo periodo de 2025 y se quedó cerca de todo el volumen registrado en 2024. Entre particulares, los intentos de robo de información mediante phishing, smishing o vishing concentraron el 40% de las incidencias notificadas.
El fraude entra por el mensaje, no por la oficina
La señal bancaria más peligrosa no siempre es un cargo extraño. Muchas veces llega antes: un SMS urgente, una llamada que parece del banco o un enlace que pide confirmar una operación. El problema es que el cliente puede creer que está protegiendo su cuenta cuando en realidad está abriendo la puerta al estafador.
INCIBE ha documentado casos en los que el usuario recibe un SMS aparentemente bancario, llama al número indicado, habla con un supuesto agente y termina instalando una aplicación o acercando la tarjeta al móvil mediante NFC. Después aparecen retiradas de efectivo o cargos no reconocidos.
La clave está en no actuar dentro del canal que propone el mensaje. Si el aviso llega por SMS, WhatsApp o llamada, lo prudente es cortar la comunicación y entrar por los canales oficiales: la app del banco, la web escrita manualmente o el teléfono que figure en la tarjeta o en la documentación de la entidad. Quienes operan habitualmente con banca digital también deberían revisar qué controles ofrece su cuenta y qué nivel de atención mantiene la entidad; esta guía sobre cuentas online puede servir como contexto para comparar operativa y canales.
Antes de autorizar un pago, revisa qué estás validando
Para el cliente, el matiz importante es este: no es lo mismo un pago no autorizado que una operación que el usuario confirma engañado. El Banco de España recuerda que, ante un cargo que no se reconoce, el primer paso es comunicarlo a la entidad, que deberá acreditar la correcta autorización y ejecución de la operación.
En transferencias no autorizadas, si el cliente no reconoce la operación ni una falta de diligencia grave, el banco debe reembolsar de inmediato los fondos, salvo que pueda acreditar fraude o negligencia grave del usuario. Pero las transferencias autorizadas son, por regla general, irrevocables, lo que complica mucho recuperar el dinero cuando el cliente ha validado el pago pensando que hablaba con su banco.
Por eso conviene detenerse antes de introducir claves, códigos o firmas digitales. El banco puede pedir autenticación reforzada para confirmar operaciones reales, pero un estafador también puede presionar para que el cliente valide una operación que no entiende. La pregunta práctica es sencilla: ¿reconoces el beneficiario, el importe, el concepto y el motivo del pago? Si no, no autorices.
También hay que mirar más allá de la app. Revisar límites de tarjeta, avisos de movimientos, bloqueo temporal, teléfonos de atención y procedimientos de reclamación forma parte de la relación bancaria. Al comparar bancos, no debería pesar solo el coste visible de la cuenta, sino también la facilidad para bloquear productos, contactar con la entidad y consultar movimientos; esta comparativa de bancos y cuentas ayuda a ordenar esos criterios sin convertir la seguridad en una promesa absoluta.
El 017 orienta, pero no sustituye al banco ni a la denuncia
El 017 es un servicio gratuito y confidencial de INCIBE para resolver dudas, riesgos e incidentes de ciberseguridad. Se puede contactar por teléfono, WhatsApp, Telegram o formulario web, y el servicio está disponible de 8:00 a 23:00 todos los días del año.
Pero no es un canal de denuncia. La propia información oficial aclara que, para denunciar, hay que acudir a las Fuerzas y Cuerpos de Seguridad del Estado, a la Agencia Española de Protección de Datos o al organismo competente según el caso. El 017 puede orientar, pero no sustituye la reclamación ante el banco ni una denuncia formal.
Si ya hay un cargo sospechoso, el orden lógico es bloquear tarjeta o acceso desde canales oficiales, avisar al banco cuanto antes, guardar pruebas, revisar movimientos y presentar reclamación ante el Servicio de Atención al Cliente de la entidad. Si el banco no admite la reclamación, la rechaza o no responde en plazo, el cliente puede acudir al Banco de España, cuyo informe no es vinculante.
Nuevos filtros contra SMS y llamadas, pero la última señal sigue en tu móvil
El Gobierno ha puesto en marcha medidas para bloquear comunicaciones fraudulentas y reducir la suplantación de identidad en llamadas y mensajes. La Orden TDF/149/2025 obliga a los operadores a bloquear llamadas y SMS con identificadores manipulados, y el registro de alias para SMS/MMS/RCS producirá efectos a partir del 15 de septiembre de 2026.
Ese registro busca que no cualquiera pueda enviar un SMS usando un nombre comercial que parezca legítimo. Aun así, no elimina todos los riesgos. El fraude bancario no depende solo de la tecnología: también se apoya en la urgencia, el miedo y la confianza del cliente en mensajes que parecen rutinarios.
La señal que no conviene ignorar es cualquier petición que obligue a actuar rápido: instalar una app, facilitar claves, leer un código, acercar la tarjeta al móvil, hacer una transferencia o confirmar un pago que no has iniciado. En banca, una autorización hecha con prisa puede salir mucho más cara que esperar cinco minutos y comprobarlo por el canal oficial.
