La Guardia Civil alerta sobre las estafas con códigos de verificación por SMS: nunca hay que compartir estos seis números
Este tipo de números y claves nunca debe compartirse con nadie, ni siquiera con quien se identifique como empleado del banco
Cuidado con los enlaces de Shein, Zara o Decathlon: la Guardia Civil alerta del gancho más usado para robar datos
Cinco mil euros sustraídos de la cuenta de una única víctima en Madrid. Dos mujeres investigadas por la CiberComandancia. La cifra corresponde al caso esclarecido por la Guardia Civil el pasado 21 de junio y es apenas un botón de muestra de un fenómeno cuya escala nacional documentan las estadísticas.
El Ministerio del Interior contabilizó que casi nueve de cada diez delitos informáticos han sido fraudes informáticos. En paralelo, el INCIBE registró un 16,6% más de incidentes de ciberseguridad que el año anterior, con un 33% de los usuarios que llamaron a la Línea de Ayuda 017 sufriendo algún intento de phishing, vishing o smishing. Un tercio de los ciudadanos que acudieron al servicio institucional se enfrentaron a un mensaje diseñado precisamente para que introdujeran o compartieran los seis dígitos que la Guardia Civil advierte de no compartir bajo ninguna circunstancia.
Cómo funciona esta estafa
En un ejemplo anónimo que sirve para poner el acento en el modus operandi habitual, la víctima recibió varios mensajes SMS fraudulentos "que se integraban en el mismo hilo de conversación que las notificaciones legítimas de su entidad financiera, lo que la llevó a confiar plenamente en la veracidad de los avisos".
El primero de esos mensajes alertaba sobre una supuesta transferencia inmediata no reconocida y facilitaba un número de teléfono al que la víctima debía llamar para solventar la incidencia. Al hacerlo, la atendió una persona que se identificó como agente del departamento de seguridad de la entidad y que reforzó esta puesta en escena con más mensajes remitidos dentro del mismo hilo oficial. La coartada era activar un supuesto "protocolo de protección" para anular la transferencia fraudulenta.
Este protocolo consistía en introducir en la banca online una serie de códigos que el falso agente iba dictando en tiempo real. Códigos que, lejos de cancelar nada, autorizaban las transferencias que los estafadores estaban ejecutando desde la cuenta de la víctima. El engaño se cerró con un último mensaje de confirmación de una cancelación supuestamente exitosa, precisamente para ocultar la sustracción real.
Seis dígitos que son la firma del titular
La razón por la que las autoridades convierten a los códigos de verificación en el eje de todas estas advertencias es técnica. Esos seis números son claves de un solo uso emitidas por la propia entidad como último acto de autenticación de una operación sensible: una transferencia, la contratación de un producto, el alta de un beneficiario, el pago de una compra online. Entregarlos equivale, en términos jurídicos y funcionales, a firmar el documento correspondiente con la propia rúbrica.
Por este motivo, la Guardia Civil los ha convertido en el objeto de su consigna reiterada, aconsejando que no se compartan con nadie, ni siquiera con quien se identifique como empleado del banco. "Las entidades bancarias nunca solicitan información sensible como contraseñas, claves de firma o códigos de seguridad a través de SMS, correo electrónico o llamadas telefónicas", recuerda una alerta emitida por la benemérita.
Dos variantes, un mismo objetivo
La Guardia Civil ha alertado también de una segunda variante que persigue el mismo tipo de dígitos en un contexto distinto: la del secuestro de la cuenta de WhatsApp. Aquí, el estafador intenta registrar el número de teléfono de la víctima en un dispositivo ajeno; WhatsApp responde enviando al terminal legítimo un código de verificación de seis dígitos por SMS. El atacante, a través de una llamada o mensaje simulando ser un servicio de mensajería, un contacto conocido o el propio equipo técnico de la plataforma, pide que se lo reenvíe con cualquier pretexto.
Si la víctima accede, lo que en realidad hace es entregar el control de su cuenta. La consigna oficial de WhatsApp es idéntica a la de la Guardia Civil: el código no debe compartirse con nadie. La plataforma también ofrece la verificación en dos pasos, un PIN adicional de seis dígitos que el usuario configura previamente y que ninguna comunicación externa puede solicitar legítimamente.
Qué hacer si el código ya se ha compartido
La ventana de reacción es corta. En los primeros minutos tras la introducción o el envío del código, la víctima debe contactar de inmediato con su entidad bancaria a través del número oficial, el que figura en el reverso de la tarjeta o en su web escrita a mano en el navegador, para bloquear la operación en curso, revertir la transferencia si es técnicamente posible y reclamar la devolución de los cargos indebidos.
Debe también recopilar todo el material probatorio disponible, incluyendo capturas del hilo de SMS, del número al que llamó, de los mensajes intercambiados con el falso agente, y presentar denuncia en la sede electrónica de la Guardia Civil o en una unidad presencial. Para orientación técnica gratuita y confidencial, el teléfono 017 de la Línea de Ayuda en Ciberseguridad de INCIBE atiende en tiempo real este tipo de incidentes.
