Cómo evitar que me estafen: las estafas más comunes y cómo reconocerlas

Los expertos en ciberseguridad de la DGT dan cuatro claves para detectar un intento de estafa:

• Plazos cortos. Un mensaje que te apremia es, con toda probabilidad, un intento de estafa: los atacantes necesitan cazar a mucha gente antes de que la campaña se apague.
• Amenazas. "Si no lo haces, te verás perjudicado". Las consecuencias son ficticias.
• Recompensa. Descuentos, abonos o compensaciones por hacer lo que te piden, también ficticios.
• Demasiado fácil. En las compraventas entre particulares, un precio muy bajo y una rapidez excesiva son señales de alerta.

Para las llamadas, INCIBE añade otras señales: la llamada puede mostrar el nombre de una entidad o imitar a alguien conocido, te piden información confidencial, quieren que instales un programa y esquivan las preguntas sobre quiénes son.

La regla que sirve para casi todo: no uses el enlace ni el teléfono del mensaje. Entra tú por tu cuenta (la app, la web que escribes tú, el número que ya tenías) y comprueba allí si es verdad. Es lo que recomiendan la DGT, la Seguridad Social y la Agencia Tributaria en sus avisos.

INCIBE describió esta campaña en septiembre de 2025:

1. Te llega un SMS que avisa de una transferencia de importe elevado, con un código y un teléfono "por si no la reconoces". Puede aparecer en el mismo hilo de mensajes de tu banco real.
2. Si llamas, una locución automática simula ser del banco y te atiende una persona que dice ser del departamento de seguridad.
3. Te guía para hacer cosas desde la app oficial del banco y, al final, te dice que pases tu dinero a una "cuenta de respaldo de seguridad". Ese dinero se pierde.

Señales: errores de redacción, ausencia de tildes y una prisa por llamar. Si ya llamaste, avisa a tu banco por sus canales oficiales, guarda los mensajes y los registros de llamadas, y denuncia.

• DGT. Notifica las sanciones por correo postal o por la Dirección Electrónica Vial (DEV). Si estás dado de alta en la DEV, puede llegarte un aviso de notificación, pero no una petición de pago en una web ajena. Y ninguna comunicación de sanción de la DGT lleva códigos QR ni enlaces para pagar: es la señal de las multas falsas en el parabrisas. Otro aviso: dar solo 9 días para pagar con descuento, cuando el plazo legal es de 20 días naturales.
• Seguridad Social. No solicita el pago de deudas ni la actualización de datos personales mediante enlaces recibidos por SMS.
• Agencia Tributaria. No te pedirá por SMS o correo información confidencial ni números de tarjeta, ni te enviará un enlace para cobrar una devolución. Las devoluciones se tramitan por su sede electrónica o con la declaración presentada.

Cómo delatarlos: un dominio que no es el oficial (la Agencia Tributaria usa .gob.es; INCIBE vio webs falsas acabadas en .top y .click), un remitente que pone "AEAT" o "DGT" pero es falsificado, y mensajes genéricos que no llevan tu nombre.

El Banco de España explicó en abril de 2026 dos estafas que se han ido perfeccionando:

• Bizum inverso. Un supuesto comprador interesado en lo que vendes te envía una solicitud de dinero en vez de un pago. Si la aceptas, eres tú quien envía el dinero.
• Falsa devolución. Te dicen que se han equivocado al enviarte dinero y te piden que se lo devuelvas. Puede que ese ingreso venga de una cuenta ya comprometida.

Cómo evitarlo: si recibes un Bizum, el dinero se ingresa solo; si te piden confirmar algo, desconfía. Lee la notificación antes de aceptar. Ten más cuidado con desconocidos y con las prisas. Si te llega un ingreso que no esperabas, habla con tu banco antes de devolver nada. Y recuerda que desde Bizum no se pueden cancelar los pagos ya hechos.

INCIBE avisó en mayo de 2026 de tiendas falsas que imitaban a un supermercado conocido:

• Llegan por anuncios en la zona de "productos patrocinados" de los buscadores y por WhatsApp.
• Los productos son excesivamente baratos comparados con su precio original.
• Las empresas grandes usan su dominio oficial. Si la dirección no contiene el nombre exacto de la marca, puede ser falsa. Y el nombre de la tienda del anuncio no coincide con el de la marca.
• Meten prisa con "casi no queda stock" o "la oferta termina" y enseñan cuánta gente lo ha comprado.

El Gobierno Vasco añade más señales: la web no tiene aviso legal con dirección y CIF, ni forma de contacto; tiene faltas o textos mal traducidos; solo deja pagar con tarjeta; y no hay opiniones de clientes fuera de la propia web. Pagar siempre con la misma tarjeta, o con una tarjeta virtual, ayuda a controlar los cargos.

INCIBE lo avisó en 2025. El mensaje suele decir algo como "mamá, se me ha roto el móvil, este es mi número nuevo, escríbeme por WhatsApp". Cuando contestas, te piden dinero por Bizum o transferencia, con urgencia para que no pienses.

Pistas: números desconocidos, faltas de ortografía y ausencia de tildes. Si dudas, contacta con tu hijo por la vía de siempre, llamándole por teléfono, y hazle una pregunta que solo él sepa responder.

Si no contestaste ni pagaste, bloquea el número y borra el mensaje. Si pagaste, avisa a tu banco cuanto antes, reporta y bloquea el número en WhatsApp, guarda las pruebas y denuncia.

INCIBE avisó en julio de 2026 de mensajes de WhatsApp que suplantan a hoteles. Lo que los hace creíbles es que traen datos reales de tu reserva: nombre del hotel, fechas, nombre del huésped y número de reserva. Que los datos sean correctos no significa que el mensaje sea legítimo.

• Canal. Que llegue por WhatsApp con el logo del hotel no garantiza nada.
• Teléfono. Compáralo con los oficiales del hotel, buscados en su web.
• Enlace. Mira bien el dominio.
• Datos bancarios. Desconfía si te piden datos de pago para "confirmar".
• Urgencia. "Se cancelará si no lo completas ya" busca que no compruebes.

En las compraventas entre particulares, los precios muy bajos y la rapidez excesiva son señales de alerta, y la DGT avisa de que pasar a correos o mensajería privados te deja desprotegido. El Gobierno Vasco añade que los anuncios de alquiler con pretextos muy atractivos también se usan para captar víctimas.

El decálogo de la CNMV para evitar "chiringuitos financieros" empieza por verificar que la entidad está autorizada y que no ha sido objeto de advertencia. Sus señales de alarma:

• Llamadas o correos inesperados.
• Urgencia y presión para decidir ya.
• Afinidad personal: alguien que parece de confianza, también en redes sociales.
• Bonificaciones de entrada y esquemas piramidales que te piden captar clientes.
• Que usen el logo de la CNMV: la CNMV nunca te invitaría a invertir.
• Rentabilidades altas sin riesgo y productos complejos que no entiendes.

Las entidades autorizadas te hacen un cuestionario antes de ofrecerte un producto: desconfía de quien no te pregunta nada. Y si no logras recuperar tu dinero, no sigas aportando. INCIBE también advierte de llamadas que prometen ganar mucho con criptomonedas o cuentas de ahorro.

INCIBE avisó en 2026 de una campaña masiva de correos de sextorsión: los atacantes no tienen ningún material, y la vigilancia y el acceso a tu cámara son ficticios. Piden Bitcoin y dan un plazo de 48 o 50 horas para que actúes asustado.

Hay otra versión que suplanta a la Policía Nacional, la Guardia Civil e INCIBE: te acusan de consumir pornografía y amenazan con detenerte si no respondes en 48 horas. Nadie va a abrir ninguna investigación por eso. Responder solo confirma que tu cuenta está activa.

Tienes la guía completa, con qué hacer si ya has pagado o si la imagen es real, en nuestro artículo sobre el correo de sextorsión.

1. Avisa a tu banco por sus canales oficiales. Explica lo ocurrido, bloquea la tarjeta y revisa los movimientos. No esperes a ver un cargo.
2. Guarda las pruebas: capturas, mensajes, enlaces y registros de llamadas. INCIBE recomienda los testigos online para darles más validez.
3. Denuncia ante la Policía Nacional o la Guardia Civil, y guarda una copia para tu banco.
4. Si diste una contraseña, cámbiala y activa la verificación en dos pasos. Si instalaste un programa por indicación de alguien, desinstálalo.
5. Llama al 017 si no sabes cómo seguir: es gratuito y confidencial.

Los plazos y tus derechos frente al banco, si no autorizaste el pago, están explicados en la guía "Me han estafado".