“Le llamamos del banco por su seguridad…”
El truco clásico: te llama un supuesto empleado del banco desde un número que parece oficial (spoofing). Te alerta de “movimientos extraños” y te guía a validar con códigos OTP o a entrar en una web clonada.
Historia realista: transferido a “Seguridad”
A Mónica la llamaron “de Atención al Cliente” por un presunto acceso desde otro país. Le pidieron entrar “a su banca” desde un enlace para verificar y, luego, dictar dos OTP “para bloquear”. En realidad, autorizó dos envíos por 7.200 €. La entidad contestó: “usted autorizó; negligencia”.
Dónde fallan los sistemas
- Mensajería ambigua: el OTP aparece como “seguridad” o “bloqueo”, no como autorización de pago a X por Y.
- Ausencia de fricciones: primer envío a un beneficiario nuevo sin verificación adicional ni retardo.
- Monitorización débil: no se marca como atípico el horario, el importe o el dispositivo.
Bajo PSD2/EBA, la entidad debe acreditar SCA efectiva, monitorización y UX clara. Si no lo hace, culpar al cliente no basta.
Ciberinvestigación aplicada
En INTELISOC:
- Probamos el spoofing y reconstruimos el guion (grabaciones, descripciones, tiempos).
- Preservamos capturas del flujo real de pantallas y plantillas de mensajes.
- Exigimos logs (IP, dispositivo, secuencia de pasos, alta de beneficiario).
- Comparamos lo que pasó con lo que debía pasar según EBA.
Jurisprudencia
Cuando la inducción al error es verosímil y la experiencia o los controles fueron insuficientes, los jueces han ordenado reintegros. No se exige al consumidor detectar spoofing o conocer ingeniería social avanzada.
Cómo protegerte
- Nunca dictes códigos por teléfono.
- Cuelga y llama tú al número oficial del banco.
- Escribe manual la URL o usa la app.
- Activa alertas y límites de operación.
Conclusión
El “empleado” no lo era; el OTP “de bloqueo” era de autorización. Con ciberinvestigación, puedes demostrarlo y recuperar tu dinero. INTELISOC convierte el guion del estafador en prueba contra la narrativa bancaria.
¿Te ha pasado algo parecido? Nuestro equipo de ciberinvestigación puede analizar tu caso y preparar un informe que refuerce la devolución.