Un ejemplo: dos notificaciones la misma tarde
Ejemplo ficticio: Lucía, en Valencia, compra desde el portátil un abrigo por 129,90 euros. La app del banco le pide confirmar un pago de 129,90 euros a «Moda Levante». Coincide con su cesta, así que acepta.
Una hora después la llama un supuesto empleado de seguridad de su banco. Conoce su nombre y le habla de un cargo sospechoso que ella podría anular con una confirmación. La notificación llega y Lucía la lee con calma: transferencia de 1.480,00 euros a «L. Romero». De anular, nada.
La rechaza, cuelga y llama al número del reverso de su tarjeta. El banco no la ha llamado. Como alguien conoce sus claves, Lucía pide que bloqueen su acceso online y lo vuelve a configurar.
¿Qué confirmas realmente con una autorización?
La confirmación en la app forma parte de la autenticación reforzada. Según el Reglamento Delegado (UE) 2018/389, demuestras quién eres con al menos dos elementos independientes: algo que sabes (un PIN), algo que tienes (el móvil) o algo que eres (la huella). Your Europe, el portal de la UE, indica que se exige para pagos online de más de 30 euros. También se usa al acceder a la cuenta online, así que una solicitud puede referirse a un inicio de sesión.
Desde el 14 de septiembre de 2019, para los pagos online, también por app, el mismo reglamento exige la vinculación dinámica (artículo 5): el ordenante debe ser «informado del importe de la operación de pago y del beneficiario». El código solo vale para esos datos y cualquier cambio lo invalida.
La notificación te enseña, por tanto, lo que firmas. Lo que te cuente quien llama no cambia la orden. Si pone transferencia, es una transferencia.
¿Qué revisar antes de pulsar?
| Dato | Acepta si… | Rechaza si… |
|---|---|---|
| Tipo de operación | coincide con lo que haces: pagar, transferir o iniciar sesión | no has iniciado nada o el tipo no encaja |
| Importe | es exactamente el de la cesta o la transferencia | es distinto, aunque sea por pocos euros |
| Beneficiario | la tienda o la persona y, si aparece, el IBAN son correctos | aparece un nombre desconocido o un IBAN que no reconoces |
| Momento | la solicitud llega justo después de tu propia acción | llega sin motivo o durante una llamada |
| Contexto | decides con calma y a solas | alguien escucha, te da instrucciones o te mete prisa |
Si falta algún dato o tienes dudas, cancela.
Consejo: Cuando compres online, deja la cesta abierta hasta que llegue la solicitud para comparar importe y tienda.
Para los avisos que aparecen al hacer una transferencia, consulta la guía sobre la verificación del beneficiario.
¿Cómo detectar al falso empleado del banco?
Según INCIBE, en el vishing los delincuentes se hacen pasar por organizaciones legítimas, como bancos, pueden manipular la identificación de la llamada y crean urgencia para que actúes sin pensar con claridad. Señales típicas:
- Una llamada, un SMS o un chat inesperado anuncia la notificación.
- La confirmación serviría para anular, bloquear o proteger algo.
- Te piden que leas un código o que «solo confirmes un momento».
- Quien llama conoce tu nombre o tu banco, lo que no demuestra nada.
- En la pantalla aparece el número de tu banco.
- Te piden que instales un programa o una app.
Regla sencilla: no confirmes nunca una operación que no hayas iniciado tú, aunque te digan que sirve para anularla. INCIBE aconseja no ceder a la presión, cortar la llamada ante la menor sospecha y llamar tú mismo a la entidad por sus canales oficiales.
Cómo terminar una llamada así lo explica Llamada inesperada del banco. Si ya has instalado un programa de acceso remoto, lee Acceso remoto concedido a un desconocido.
¿Ya lo has confirmado? Los primeros pasos
- Contacta de inmediato con tu banco por un canal que conozcas y pide que bloqueen el acceso online y las tarjetas.
- Si has instalado algún programa a petición de quien te ha llamado, desinstálalo, pasa el antivirus y cambia tus contraseñas.
- Guarda extractos, hora, número de quien llamó y mensajes.
- Denuncia ante las Fuerzas y Cuerpos de Seguridad con las pruebas que tengas: Policía Nacional, Guardia Civil o, según tu comunidad, Ertzaintza, Mossos d'Esquadra o Policía Foral.
Los pasos siguientes se explican en Dinero transferido a un estafador.
En cuanto a la ley (situación a 18 de octubre de 2026): según Your Europe, en caso de fraude lo máximo que se te puede exigir son 50 euros, y nada si no eras consciente de la pérdida, el robo o la apropiación indebida. Según la Directiva (UE) 2015/2366, esta protección no se aplica si has actuado de forma fraudulenta o con negligencia grave. Una operación que confirmaste tú engañado se valora caso por caso.
¿Dónde pedir ayuda en España y fuera?
| País | Primero | Denunciar y pedir ayuda |
|---|---|---|
| España | Tu banco; bloqueo del acceso y las tarjetas | Línea 017 de INCIBE (de 8 a 23 h, los 365 días; también WhatsApp 900 116 117 y Telegram @INCIBE017); denuncia en comisaría o en línea, por ejemplo con la Denuncia Online de la Guardia Civil |
| Otros países de la UE | Tu banco | Policía del país; las normas europeas de autenticación reforzada se aplican en toda la UE |
| Suiza | Tu banco: bloquear e-banking, cuentas y tarjetas | Denuncia a la policía; aviso a la oficina federal de ciberseguridad (BACS) con su formulario en línea. Suiza no es de la UE: las normas europeas no se aplican automáticamente. |
Consejo: El 017 es gratuito y confidencial. Puedes llamar aunque solo tengas dudas sobre una notificación.
Errores frecuentes
- Mirar solo el botón «Aceptar» y saltarte el texto de encima.
- Fiarte de quien llama porque sabe tu nombre o porque aparece el número del banco.
- Creer que una confirmación puede parar un pago o proteger la cuenta.
- Aceptar una solicitud inesperada solo para que desaparezca.
- Esperar tras una confirmación equivocada en lugar de avisar enseguida al banco.
Tu lista de comprobación
Las casillas sirven únicamente como recordatorio personal. No se nos envía ningún dato introducido. Para guardar la página, imprímela o guárdala en PDF desde el menú del navegador.
Preguntas frecuentes
¿Mi banco puede llamarme para que confirme algo en la app?
Desconfía de cualquier llamada que te pida aceptar una operación en la app. La identificación de la llamada se puede falsear y que sepan tu nombre no prueba nada. INCIBE aconseja cortar ante la menor sospecha y contrastar la información llamando tú mismo por los canales oficiales, por ejemplo al número del reverso de tu tarjeta.
¿Es más segura la huella que un simple toque?
La biometría garantiza que eres tú quien confirma, no que la orden sea correcta. Un estafador que te convence por teléfono no necesita copiar tu huella, solo tu confirmación. Sea cual sea el método, toque, PIN o biometría, lee primero el tipo, el importe y el beneficiario, y después decide.
¿Me devolverán el dinero si lo confirmé yo?
No hay una respuesta general. El límite de 50 euros que indica Your Europe se refiere al fraude y no se aplica si has actuado con negligencia grave; una confirmación obtenida con engaño se valora caso por caso. Avisa enseguida a tu banco, guarda las pruebas y presenta denuncia. Para orientarte, el 017 de INCIBE te atiende gratis; para tu caso concreto, consulta a una asociación de consumidores o a un abogado.
¿Qué hago si llega una solicitud sin haber hecho nada?
Quizá alguien intenta entrar o pagar con tus claves. Recházala, aunque se repita, y no abras enlaces que lleguen al mismo tiempo. Después abre tú la app del banco, revisa los movimientos y comunica lo ocurrido. Cambia la contraseña desde un dispositivo de confianza.
Fuentes y más información
Fuentes primarias de autoridades públicas, organizaciones de consumidores y proveedores. Algunas pueden estar en otro idioma; sigue las indicaciones correspondientes a tu servicio y a tu lugar de residencia.
- INCIBE: VishingFuentes consultadas el:
- INCIBE: Línea de Ayuda en Ciberseguridad 017Fuentes consultadas el:
- INCIBE: Cómo denunciarFuentes consultadas el:
- Your Europe: Pagos, transferencias y cheques en la UEFuentes consultadas el:
- EUR-Lex: Reglamento Delegado (UE) 2018/389 sobre autenticación reforzada de clientesFuentes consultadas el:
- EUR-Lex: Directiva (UE) 2015/2366 sobre servicios de pago en el mercado interiorFuentes consultadas el:
- NCSC/BACS (Suiza): contacto y formulario de notificación de incidentes (en inglés)Fuentes consultadas el:
