Estafa del falso asesor bancario: el modus operandi paso a paso

La estafa del falso asesor bancario es una llamada en la que un delincuente, haciéndose pasar por su banco, le empuja a validar usted mismo operaciones que vacían su cuenta. El modus operandi sigue cuatro fases: contacto, alarma, extracción de un código o de una validación y, por último, el fraude. Una sola regla lo neutraliza: colgar y volver a llamar al banco por un canal habitual.

Este artículo describe cada fase, primero para el particular y después para la empresa, con las frases que hay que decir y los errores que conviene evitar.

Cómo se desarrolla la estafa del falso asesor bancario

Cybermalveillance.gouv.fr, el organismo público francés de asistencia frente a la ciberdelincuencia, describe en su ficha de reflejos un desarrollo en cuatro tiempos. Conviene conocerlo de memoria, porque cada fase ofrece una ocasión para detenerse.

1. El contacto. El estafador llama presentándose como asesor o como servicio antifraude. A menudo conoce la identidad, la dirección o los datos de la tarjeta de la víctima. También puede suplantar el número del banco, de modo que la pantalla muestra un origen legítimo.
2. La alarma. Anuncia operaciones sospechosas en curso y pide confirmarlas o «bloquearlas» con urgencia.
3. La extracción. Reclama códigos recibidos por SMS, una validación en la aplicación del banco o el PIN de la tarjeta. A veces envía a un mensajero, real o falso, a recoger la tarjeta.
4. El fraude. Con esos códigos o validaciones puede añadir un beneficiario, hacer una transferencia o pagar con la tarjeta.

La trampa es que la víctima cree protegerse. Piensa que anula un fraude cuando en realidad autoriza uno.

Por qué esta estafa funciona tan bien

En su informe de actividad de 2025, publicado el 26 de marzo de 2026, Cybermalveillance.gouv.fr indica que el fraude del falso asesor bancario creció un 159 %. Señala que ocurre pese a los esfuerzos de comunicación del sector. El comunicado menciona además nuevas variantes: el phishing con un falso número para bloquear la tarjeta y el uso de WhatsApp.

El mismo documento indica que, en algunos casos, se movilizan equipos «de campo» subcontratados. Falsos mensajeros recogen entonces tarjetas de pago en el domicilio. La estafa va más allá de la simple llamada telefónica.

Varias palancas psicológicas actúan a la vez.

• La autoridad: el banco es una institución a la que se obedece.
• La urgencia: el dinero sale «en este mismo momento».
• La buena fe: quien llama se ofrece a ayudar, lo que desarma la desconfianza.
• La personalización: los datos que ya conoce el interlocutor funcionan como prueba de identidad.

Este último punto es central. Los datos personales procedentes de filtraciones dan al estafador una credibilidad inmediata. Que conozca su nombre o su dirección no demuestra nada. Nuestro artículo sobre la verificación de la identidad de quien llama explica por qué algunas preguntas no sirven de nada.

El falso asesor bancario en la empresa

Las empresas tampoco se libran. Imaginemos a un responsable financiero que recibe la llamada de un supuesto asesor del banco: «Detectamos transferencias anómalas en su cuenta. Le envío un código por SMS para suspenderlas». El código recibido valida en realidad una transferencia o el alta de un nuevo beneficiario.

El riesgo es mayor cuando una sola persona puede validar por sí sola operaciones importantes. El escenario típico apunta, por tanto, a quienes tienen poderes en las herramientas bancarias: tesorero, contable, dirección financiera.

La ficha de Cybermalveillance.gouv.fr sobre las falsas órdenes de transferencia recomienda una validación jerárquica interna sin excepciones para las solicitudes de transferencia imprevistas. Aconseja también difundir procedimientos claros para autenticar a quienes emiten las órdenes. La lógica es la misma: ninguna validación basada solo en una llamada.

Una variante mezcla al falso asesor con una falsa petición de un directivo. Se detalla en nuestro artículo sobre el fraude del CEO y del falso proveedor.

Lo que un asesor de verdad no pide nunca

Según Cybermalveillance.gouv.fr, un asesor de su banco nunca le pedirá:

• su contraseña;
• códigos de confirmación, ni que valide o anule operaciones en su aplicación con el pretexto de un fraude;
• el PIN de su tarjeta;
• que entregue su tarjeta a un mensajero o a cualquier otra persona.

Esta lista cabe en una tarjeta junto al teléfono. Basta una petición de esa lista para poner fin a la llamada, sea cual sea el tono de quien habla.

Qué decir y qué hacer durante la llamada

El buen reflejo es cortar sin debate. Estas son frases exactas.

«Prefiero colgar y llamar a mi banco al número de siempre».

«Un banco no me pide validar una operación para anularla, así que no lo haré».

«Si de verdad es urgente, entenderá que primero lo compruebe».

Después, llame al banco desde su área de cliente, su oficina o el número que figura en su tarjeta, nunca el que le dio quien llamaba. El procedimiento completo está descrito en nuestro artículo sobre la devolución de llamada.

Si ya ha dado un código o ha validado una operación, Cybermalveillance.gouv.fr recomienda varios pasos. Bloquee la tarjeta sin demora y cambie sus accesos bancarios. Avise al banco para solicitar la devolución de los fondos, conserve las pruebas y presente una denuncia.

Lista de comprobación para tener junto al teléfono

Esta lista se puede reutilizar tal cual en una ficha interna o en un material de formación.

1. ¿Quien llama pide un código, una validación o una tarjeta? Si es así, cuelgo.
2. ¿Me presiona con el tiempo? Si es así, voy más despacio a propósito.
3. ¿Quiere que siga en línea mientras actúo? Si es así, corto.
4. ¿He vuelto a llamar al banco por un canal que conozco, y no por el suyo?
5. ¿He anotado la hora, el número que aparecía, el nombre que dio y lo que me pidió?
6. ¿He avisado al banco y a mi referente de seguridad, aunque no haya cedido nada?

El último punto importa. Un intento fallido sigue siendo información valiosa: permite alertar a los compañeros antes de que otro caiga.

El papel de los asesores y de los equipos en contacto con clientes

Los clientes están cada vez más expuestos a estas llamadas. Los asesores reciben, por tanto, llamadas de clientes inquietos, a veces en pleno intento de fraude. Deben saber tranquilizar, hacer que el cliente cuelgue y bloquear rápidamente las operaciones.

También son objetivos: un estafador puede llamar a la oficina haciéndose pasar por el cliente, con sus datos personales en la mano. La pregunta de quién está al otro lado del teléfono se plantea en ambos sentidos.

Un asesor formado sabe decirle a un cliente: «Nunca le pediré un código por teléfono». Sabe también lo que él mismo no debe hacer: confirmar una información sensible a una persona que no ha sido verificada. Para las entidades, el tema se profundiza en nuestro artículo sobre la formación en vishing en el sector bancario.

Los errores más frecuentes

• Devolver la llamada al número que aparece en pantalla o al que dicta quien llama.
• Justificarse largamente, lo que da al estafador tiempo para contraargumentar.
• Validar «solo para anular» una operación desconocida.
• No avisar a nadie por vergüenza. Nuestro artículo sobre cómo comunicar un incidente ayuda a hacerlo sin sentirse mal.
• Creer que solo se ataca a los particulares.

Entrenarse para negarse bajo presión

Conocer la regla no basta, porque quien llama está entrenado para esquivarla. Los formadores pueden hacer practicar el intercambio. Un personaje interpretado por una IA hace de falso asesor, insiste y se irrita. El alumno debe verificar y negarse en voz alta. Después, el debriefing muestra lo que se dijo y lo que faltó.

Este trabajo forma parte del enfoque descrito en nuestra guía de concienciación en ciberseguridad.

Preguntas frecuentes

¿Cómo reconocer a un falso asesor bancario?

Se le reconoce por lo que pide, no por lo que sabe. Toda petición de un código, de una validación o de entrega de la tarjeta es una señal de alerta. La urgencia y la insistencia son otras.

¿Se puede recuperar el dinero después de esta estafa?

La devolución no es automática, porque el banco examina las circunstancias de la validación. Solicítela sin esperar, conserve todas las pruebas y presente una denuncia, como recomienda Cybermalveillance.gouv.fr.

¿Puede ser falso el número que aparece en pantalla?

Sí. La suplantación de números creció un 517 % en 2025 según Cybermalveillance.gouv.fr. Que aparezca el nombre del banco no demuestra, por tanto, la identidad de quien llama.

¿Qué hacer si el falso asesor ya ha conseguido mi tarjeta o mis códigos?

Bloquee la tarjeta de inmediato, por el número que figura en la web de su banco o en los cajeros. Después contacte con el banco para suspender las operaciones, cambie sus accesos al área de cliente y presente una denuncia con todas las pruebas. Si es una cuenta de empresa, avise también a su dirección financiera.

Para que sus equipos practiquen estas negativas en un entorno seguro, solicite una demostración de Face Up.