El Instituto Nacional de Ciberseguridad (INCIBE) gestionó en 2025 un total de 122.223 incidentes de ciberseguridad, un 26 % más que el año anterior. El fraude online estuvo detrás de 4 de cada 10 incidentes de seguridad, con el phishing como la estafa más frecuente, con25.133 casos registrados.
Hay muchos tipos de engaños digitales. Desde mensajes que prometen herencias inesperadas hasta intentos de chantaje o peticiones urgentes de dinero por WhatsApp. En este artículo nos centramos en las estafas basadas en la suplantación de identidad y que utilizan el nombre de bancos, administraciones, empresas de mensajería u otras entidades conocidas para resultar más creíbles y hacer que bajemos la guardia.
Te contamos en qué consisten, cuáles son sus características y cómo evitar este tipo de engaños. El primer paso para protegernos es aprender a reconocer las señales.
Una estafa que traspasa la tecnología
Phishing, smishing, vishing… Nombres muy técnicos que no se quedan en lo tecnológico, sino que buscan influir de manera directa en nuestro comportamiento. Es lo que se conoce como ingeniería social, un conjunto de técnicas para aprovechar un despiste, una emoción o una reacción rápida y que la persona que recibe el mensaje entregue información, pulse un enlace, descargue un archivo o autorice una operación. La Agencia de la Unión Europea para la Ciberseguridad (ENISA) describe este tipo de amenazas como “acciones que explotan el error o el comportamiento humano para conseguir acceso a información o servicios”.
Por eso muchos mensajes fraudulentos recurren a fórmulas muy parecidas, como una cuenta bloqueada, un pago pendiente, un paquete que no se ha podido entregar, una alerta de seguridad o una supuesta promoción que caduca en pocos minutos. La urgencia es parte del engaño. Cuanto menos tiempo tengamos para pensar, más fácil es que actuemos sin pararnos a comprobar si el mensaje es real.
En el ámbito financiero, este tipo de delitos tiene un atractivo evidente para quienes son ciberdelincuentes. No es casualidad que muchos intentos de suplantación utilicen el nombre de bancos o servicios financierosporque aprovechan la confianza que habitualmente depositamos en esas entidades para conseguir claves, códigos de verificación, datos de tarjetas o incluso que autoricemos una operación. El informe de ENISA sobre amenazas en el sector financiero europeo señala que este tipo de ataques son una vía habitual para robar información sensible y cometer fraude financiero.
Phishing o el correo que suplanta a una entidad de confianza
El phishing es una técnica de fraude digital que utiliza correos electrónicos falsos para hacerse pasar por una entidad de confianza, como un banco, una administración pública, una empresa de mensajería o una tienda online. El objetivo suele ser que la persona pulse un enlace, introduzca sus claves en una página falsa, descargue un archivo malicioso o facilite información personal o bancaria.
Pero no siempre utilizan el nombre de organismos o empresas reconocibles. Algunos correos fraudulentos recurren al miedo o al chantaje, por ejemplo, con mensajes que aseguran que se divulgarán supuestas imágenes íntimas si no se realiza un pago.
Características principales
Pueden proceder de remitentes desconocidos o de direcciones que no están asociadas con la entidad que dicen representar.
A veces contienen errores gramaticales u ortográficos que hacen sospechar que no proceden de una fuente legítima.
Suelen solicitar información que una empresa real no pediría por correo, como contraseñas, PIN, clave de firma, DNI u otros datos sensibles.
Pueden incluir enlaces a páginas falsas o maliciosas, o archivos adjuntos que contengan un programa maligno o virus.
Suelen recurrir a mensajes alarmantes para que actuemos rápido y sin pensar, como problemas de seguridad, cierre de cuenta, multas o situaciones similares
Smishing o el SMS que juega con la urgencia
El smishing es una modalidad de fraude en la que se intenta engañar a las personas destinatarias a través de mensajes de texto para que revelen información personal o financiera.
Suelen incorporar enlaces falsos y quien los remite se hace pasar por un banco, empresa de servicios públicos, compañía de transporte o mensajería, entre otras. En algunos casos, también pueden pedir que se llame a un número de teléfono o que se descargue una aplicación determinada. “Se ha iniciado sesión desde un nuevo dispositivo. Si no has sido tú, verifica inmediatamente”. ¿Te suena?
Características principales
Llega a través de un mensaje SMS que aparenta proceder de una entidad real.
Puede suplantar a bancos, empresas de servicios, compañías de transporte o mensajería, administraciones u otros organismos reconocibles.
Suele incluir un enlace a una web falsa o una solicitud para llamar a un número de teléfono.
Su objetivo es que la persona destinataria facilite datos sensibles, como contraseñas, datos personales o números de tarjeta.
También puede intentar que descarguemos una aplicación para resolver un supuesto problema.
Puede resultar muy efectivo porque muchas personas perciben los SMS como más fiables que otros canales y tienden a responder o seguir sus indicaciones con rapidez.
Vishing o la llamada que intenta ganarse nuestra confianza
El vishing es una técnica de fraude telefónico en la que quienes intentan la estafa se hacen pasar por una empresa, una organización o una persona de confianza para obtener información personal o sensible. Puede sonar algo así como “Usted ha ganado un premio o regalo, pero necesitamos verificar su información personal para que pueda reclamarlo” o también: “Somos un proveedor de servicios de Internet y hemos detectado un problema con su conexión”.
A través de una llamada pueden intentar que compartamos datos privados, claves bancarias o que sigamos determinadas instrucciones bajo presión. El INCIBE lo define como “una estafa de ingeniería social por teléfono en la que se suplanta una identidad de confianza con el fin de obtener información personal y sensible de la víctima”.
Características principales
Llega a través de una llamada telefónica inesperada.
La persona que llama puede hacerse pasar por alguien de una entidad bancaria, una empresa, una organización o alguien de confianza.
Puede utilizar un tono amable, profesional o alarmista para ganarse nuestra confianza.
Suele apoyarse en la urgencia o en la presión para que actuemos rápido.
Puede ofrecer premios, regalos o supuestas ventajas para hacer más creíble el engaño.
Puede pedirnos información personal, datos bancarios, claves o códigos de seguridad.
QRishing o el QR quiere llevarnos a una página falsa
El QRishing o quishing es una técnica de suplantación que utiliza códigos QR para redirigirnos a páginas web fraudulentas o maliciosas. La principal diferencia con otros enlaces es que al escanear un QR no siempre vemos de forma inmediata a qué dirección nos lleva.
Por eso, INCIBE aconseja comprobar la URL antes de abrirla y no proporcionar datos privados ni contraseñas en páginas a las que hayamos accedido a través de un código QR sospechoso. También advierte de que estos códigos pueden utilizarse para ejecutar malware (o software malicioso) en el dispositivo o redirigirnos a sitios engañosos.
Características principales
Puede aparecer en lugares cotidianos, como carteles, folletos, establecimientos, mesas, anuncios o comunicaciones digitales.
El código QR puede dirigir a una página que imita a una web legítima.
Puede utilizarse para pedir datos personales, contraseñas, información bancaria o pagos.
En algunos casos, puede redirigir a sitios que intentan instalar malware en el dispositivo.
Puede resultar difícil de detectar a simple vista porque el código QR no muestra directamente la dirección web a la que nos lleva. INCIBE recuerda que estos códigos pueden ser fraudulentos y que conviene tomar precauciones antes de escanearlos o introducir información.
Ante cualquier duda, la recomendación es sencilla como “parar, revisar y comprobar”. No se trata de vivir con miedo ni con desconfianza, pero sí de acostumbrarnos a pensar dos veces antes de hacer clic, responder, escanear un código o facilitar nuestros datos.
Esa pequeña pausa puede marcar la diferencia.
¡Muchas gracias por tu comentario!
Por favor, confirma tu comentario haciendo clic en el enlace del e-mail que has recibido.