Respuesta rápida: Un código OTP (One-Time Password) o código de verificación es una clave de un solo uso que tu banco o app te envía (SMS, correo, app autenticadora, push) para confirmar que eres tú. Nunca debes compartirlo con quien te llame, escriba o “verifique tu cuenta”: quien lo pide por fuera del flujo oficial casi siempre intenta robar el acceso o autorizar un pago.
En Banco.guru lo tratamos como regla de oro de banca móvil, junto a phishing, vishing y SIM swapping.
¿Para qué sirve el OTP?
Es un segundo factor: aunque alguien tenga tu usuario y contraseña, sin el código de ese momento no debería completar login, transferencia o cambio sensible. Por eso el OTP es tan valioso para un estafador como la clave misma —a veces más, porque “cierra” la operación.
¿Por qué te lo piden los estafadores?
- Ingeniería social: se hacen pasar por soporte, seguridad o mensajería del banco.
- Urgencia: “tu cuenta será bloqueada en 5 minutos”.
- Canal engañoso: llamada, WhatsApp, SMS con link, correo clonado —ver también estafas por SMS y WhatsApp.
- Medio OTP robado: si te hackean el correo o te secuestran la línea, interceptan el código sin pedírtelo.
Un empleado legítimo del banco no necesita que le dictes el OTP que te acaba de llegar para “validarte”. El código es para que tú lo ingreses en la app o web oficial que tú abriste.
Reglas prácticas (checklist)
- Nunca lo leas en voz alta en una llamada que tú no iniciaste a un número oficial verificado.
- Nunca lo reenvíes por WhatsApp, Telegram o correo a “soporte”.
- Si no iniciaste una operación y llega un OTP, asume intento de fraude: no lo uses; contacta al banco por canal oficial y revisa movimientos.
- Desconfía de links en el mismo mensaje que pide el código: entra a la app desde tu icono, no desde el SMS.
- Protege el canal: PIN de SIM, alerta de cambio de chip, 2FA en el correo, no compartas códigos de recuperación.
- Si ya lo compartiste: corta sesión, cambia claves, habla con el banco, documenta —misma lógica de cobro no autorizado.
OTP por SMS vs app autenticadora (idea general)
SMS es cómodo pero vulnerable a SIM swapping y a malware que lee mensajes. Las apps autenticadoras o los push de la banca suelen ser más difíciles de interceptar a distancia, según implementación. No hay solución perfecta: el eslabón débil sigue siendo que alguien te convenza de entregar el código.
Ejemplo hipotético (sin datos reales de fraude)
Hipotético: Te llaman “del banco” porque detectaron un viaje. Te piden el código “para anular la transferencia”. Tú no moviste dinero. Si dictas el OTP, puedes estar autorizando justo la operación fraudulenta.
Segundo hipotético: Llega un SMS con un código y un link “revalida tu token”. No pediste nada. Ignoras el link, abres la app oficial y ves un intento de login. Bloqueas y reportas.
Señales de que te están manipulando
- Te piden OTP + clave + número de tarjeta en la misma charla.
- Te presionan a no colgar ni “avisar a nadie”.
- El número o el correo no coinciden con los canales publicados por tu entidad.
- Te hablan de un premio, devolución o “seguro obligatorio” que se activa con el código.
¿Qué hacer si llega un OTP “de la nada”?
1) No lo compartas ni hagas clic en links del mensaje. 2) Abre la app bancaria desde el icono instalado y revisa alertas o intentos de acceso. 3) Si hay movimiento raro, usa el chat/línea oficial (número del reverso de la tarjeta o del sitio digitado por ti). 4) Considera cambiar contraseña y revisar dispositivos confiables. 5) Si la sospecha involucra tu línea telefónica, pregunta a tu operador por portabilidades o chips duplicados recientes. La velocidad importa más que “investigar en foros”.
Preguntas frecuentes
¿El banco alguna vez pedirá mi OTP?
En un flujo normal, tú lo ingresas en su app/web. Desconfía de cualquiera que te lo solicite por teléfono o chat no oficial.
¿Qué hago si me equivoqué y lo compartí?
Contacta de inmediato al banco por el número/app oficial, cambia contraseñas, revisa destinatarios y transferencias, y sigue el protocolo de fraude de tu entidad.
¿Los códigos de WhatsApp también cuentan?
Sí: cualquier verificación de un solo uso es sensible. No la reenvíes a terceros.
¿Sirve el OTP si ya me robaron la SIM?
Si el atacante controla tu número, puede recibir SMS. Por eso importan alertas de portabilidad, PINs y factores alternativos. Amplía en SIM swapping.
Aviso: Banco.guru es educación financiera independiente. No es un banco, no intermedia productos y esta página no es asesoría personalizada, legal ni de ciberseguridad contratada. Ante un incidente, usa los canales oficiales de tu entidad y, si aplica, las autoridades competentes en tu país.
