Respuesta rápida: Las estafas por SMS (smishing) y WhatsApp que imitan a tu banco buscan que, con miedo o prisa, hagas clic, llames a un número falso, entregues claves / códigos OTP o compartas pantalla. Un banco legítimo no te pide por mensaje tu contraseña, PIN, CVV ni el código que acaba de llegarte. Si llega un aviso urgente: no pulses el enlace; abre la app o el sitio desde el ícono que ya tenías, o llama al número impreso en tu tarjeta. Esta guía amplía el mapa general de phishing bancario al canal móvil.
Pieza educativa de Banco.guru para Latinoamérica. Los canales de denuncia y los plazos de reclamo varían por país y entidad.
Smishing y WhatsApp: misma meta, distinto envoltorio
| Canal | Cómo se presenta | Qué busca el atacante |
|---|---|---|
| SMS | “Alerta de seguridad”, “transferencia en curso”, “tu tarjeta será bloqueada” | Clic a web clonada, llamada a call center falso, código OTP |
| Perfil con logo, nombre “Banco / Soporte / Mesa de ayuda” | Datos, códigos, transferencia “de prueba”, compartir pantalla | |
| Hilo mezclado | SMS falso insertado cerca de notificaciones reales | Confianza por cercanía visual al banco |
En ambos casos el patrón es suplantación + urgencia. No es un “glitch” de la app: es ingeniería social. Si operas mucho por móvil, refuerza hábitos de banca digital.
Señales de alerta (checklist rápido)
- Urgencia o amenaza: “en minutos bloqueamos la cuenta”, “confirma ya o pierdes el dinero”.
- Piden secreto: clave de la app, coordenadas, PIN, CVV, token, o el código SMS/WhatsApp que te acaba de llegar.
- Enlace en el mismo mensaje que anuncia el problema (“entra aquí para cancelar”).
- Número o perfil nuevo que “es el banco”, a veces con foto robada de la marca.
- Te piden instalar una app, un APK o un “módulo de seguridad” fuera de la tienda oficial.
- Te piden compartir pantalla o una videollamada “para verificar el fraude”.
- Te guían a transferir a “tu otra cuenta” o a una “cuenta segura” que no reconoces.
- Ortografía rara, saludo genérico, montos que no cuadran con tu actividad.
Regla: si el mensaje parece grave, párate. El banco real puede esperar el minuto que tardas en verificar por un canal que tú inicias.
Lo que un banco (y un banco central) no te pide por SMS o WhatsApp
Educación recurrente de autoridades y buenas prácticas de la industria:
- No te piden la contraseña completa de home banking / app por chat.
- No te piden el código de verificación que ellos mismos (o el canal de autenticación) te enviaron.
- No te piden compartir pantalla mientras entras a la app.
- No te mandan a operar mientras hablas con un desconocido que dice ser “fraude”.
- Un banco central no te contacta para pedirte datos de tu cuenta personal como si fuera tu sucursal.
Referencia educativa (Argentina): recomendaciones del BCRA para prevenir estafas virtuales. El mapa amplio de phishing por correo y otros canales también está en la guía de la FTC en español sobre estafas de phishing.
Guion típico (para reconocerlo, no para imitarlo)
- Llega un SMS: “Se intentó una transferencia de $X. Si no fuiste tú, entra / llama”.
- El enlace abre un sitio casi igual al del banco.
- O el número del SMS te “conecta” con un supuesto agente.
- El agente te pide “validar” con el código que te llega al teléfono —ese código es la llave.
- Variante WhatsApp: te escriben primero, o te piden unirte a una videollamada y compartir pantalla “para ver el malware”. En realidad miran cómo desbloqueas la app.
Ningún paso de esa lista es un procedimiento oficial universal. Es el relato del fraude.
Qué hacer si llega el mensaje (aún no respondiste)
- No hagas clic ni llames a números del propio mensaje.
- No reenvíes el código OTP a nadie.
- Abre la app oficial desde el ícono, o el sitio escribiendo tú la dirección que ya conoces.
- Si hay movimiento raro, usa el chat/teléfono oficial de la entidad (tarjeta, contrato, app).
- Borra o marca como spam el mensaje; bloquea el contacto en WhatsApp.
- Avisa en casa: a veces el ataque apunta a quien “ayuda” al familiar.
Qué hacer si ya respondiste o ya compartiste datos
Actúa en minutos, no en “cuando pueda”:
- Desde un canal limpio, contacta a tu banco y reporta posible fraude; pide bloqueo de app, tarjetas o tokens según te indiquen.
- Cambia contraseñas de banca y del correo vinculado (desde otro dispositivo si el teléfono quedó comprometido).
- Revoca sesiones / desvincula dispositivos en la app si la entidad lo permite.
- Revisa movimientos y alertas; anota hora y montos.
- Si compartiste pantalla o instalaste algo, asume que vieron más de lo que crees: no “pruebes” otra transferencia.
- Denuncia ante la vía de ciberdelito / policía / fiscalía que corresponda en tu país (el nombre del organismo cambia; no inventamos un teléfono único para toda Latinoamérica).
- Conserva capturas del SMS/WhatsApp como evidencia.
Si temes daño a tu historial por productos abiertos sin tu consentimiento, en Ecuador puedes revisar vías de consulta descritas en consultar historial crediticio en Ecuador —eso no reemplaza el reporte inmediato al banco.
Hábitos que bajan el riesgo
- Actualiza el sistema y la app del banco.
- Activa alertas de movimientos.
- Usa autenticación reforzada cuando exista.
- Contraseñas distintas para correo y banca.
- No hagas root/jailbreak “porque sí” en el teléfono de tus pagos.
- Desconfía de perfiles de WhatsApp que agregan a desconocidos con logo bancario.
- Nunca operes la app mientras te “asesora” un contacto no verificado.
Preguntas frecuentes
¿Un SMS con el nombre de mi banco siempre es legítimo?
No. El nombre corto del remitente se puede falsificar o imitar. La legitimidad se confirma en la app o el canal que tú abres, no en el texto del aviso.
¿Puedo verificar contestando “SI” o “NO” al SMS?
Mejor no juegues al diálogo con un número desconocido. Entra por la app oficial. Responder puede confirmar que el número está activo.
¿Compartir pantalla con “soporte” es seguro si me dicen que no pedirán claves?
No. Al compartir pantalla pueden ver lo que tecleas, códigos que aparecen y confirmaciones. Corta y verifica por canal oficial.
¿El banco puede pedirme un código por WhatsApp?
Trata cualquier pedido de código por chat como bandera roja. Los códigos de verificación existen para que tú demuestres control del dispositivo ante el sistema, no para reenviarlos a un humano desconocido.
¿Esta guía denuncia el fraude por mí?
No. Banco.guru es educación. El reporte lo haces tú ante tu entidad y las autoridades de tu país.
Resumen
Las estafas por SMS y WhatsApp que imitan al banco viven de la urgencia y del robo de claves y códigos. No hagas clic, no compartas OTP ni pantalla, verifica por un canal que tú inicies y, si ya caíste, contacta al banco de inmediato. Amplía el marco en la guía de phishing bancario y endurece el uso diario de la banca digital. Los plazos y teléfonos de denuncia no son universales en Latinoamérica.
Aviso: Banco.guru es educación financiera independiente. No es un banco ni una autoridad policial. Esta página no es asesoría legal ni garantiza recuperación de fondos. Los procedimientos de reclamo, bloqueo y denuncia dependen de tu entidad y de la ley de tu país. Ante un fraude en curso, prioriza el contacto oficial con tu banco y las autoridades competentes.
