La llamada suena real. La persona que llama sabe tu nombre, tu banco, incluso tus transacciones recientes. Hay un problema con tu cuenta y te han llamado para ayudarte a solucionarlo.

Cuando la llamada termina, has movido el dinero tú mismo. A una cuenta que pertenece al estafador.

Qué es la ingeniería social

La ingeniería social es manipulación psicológica: un estafador se hace pasar por alguien de confianza para que seas tú quien entregue acceso, dinero o información.

La ingeniería social funciona metiéndose en tu cabeza antes de que el estafador entre en tu cuenta. El atacante interpreta un papel: un investigador de fraude, un agente de seguridad del banco, atención al cliente de tu compañía telefónica. Eso es todo lo que necesitan para empezar a hacer preguntas. En banca, estos ataques suelen llegar por llamadas telefónicas, mensajes de texto o ambos. A veces los tres, con semanas de diferencia.

La IA está haciendo que estos ataques sean más difíciles de detectar. Un breve clip de audio ahora basta para clonar la voz de alguien: un buzón de voz, unos segundos de un vídeo público. Los deepfakes en tiempo real pueden poner una cara en una videollamada mientras está ocurriendo. Cosas como tu nombre, tu banco y una transacción reciente se montan automáticamente a partir de perfiles públicos y bases de datos filtradas. El estafador no necesita conocerte personalmente.

Cómo se desarrolla un ataque

Empieza con urgencia. «Tu cuenta está siendo atacada». «Ha habido actividad sospechosa y tenemos que asegurar tus fondos ahora mismo». Los estafadores necesitan que estés preocupado antes de que tengas oportunidad de pensar. Una persona en pánico actúa primero y hace preguntas después.

Después, autoridad. La persona que llama asegura ser del equipo de fraude de tu banco, un especialista asignado a tu caso. Hay un número de referencia, un cargo, a veces el nombre real de un empleado que podrías buscar en LinkedIn. Algunas personas incluso te «pasan» de un departamento a otro. Todo está diseñado para que parezca una organización real tratando un problema real.

Para cuando te piden que transfieras fondos o que descargues algo, llevas quince minutos en la llamada. Has confirmado tus datos. Has escuchado una historia convincente sobre lo que ha salido mal. Has seguido pasos que parecen exactamente una investigación de fraude real. Llegados a ese punto, simplemente dices que sí.

No todos los ataques empiezan con una llamada. Algunos comienzan semanas antes con un email de phishing o un SMS sospechoso. Pulsas un enlace, rellenas un formulario y el estafador ya tiene tu nombre, tu banco y lo suficiente para sonar creíble cuando llame más tarde. Para cuando suena el teléfono, parece que te conoce, porque ya consiguió lo que necesitaba.

Algunos ataques combinan todo esto: primero un SMS, luego un email y después una llamada, a veces con días o semanas de diferencia. Cada contacto hace que el siguiente parezca más legítimo. El phishing suele ser donde empieza la cadena. Detectarlo pronto puede detenerlo antes de que llegue a una llamada. Las llamadas que imitan específicamente a tu banco se tratan con más detalle en las secciones sobre llamadas bancarias falsas y vishing.

Por qué funciona incluso con personas cuidadosas

A un técnico con uniforme se le deja entrar en el edificio. A un médico que se presenta se le sigue hasta la consulta. No es ingenuidad. Es simplemente cómo funciona la confianza. Por teléfono, un cargo y un número de referencia bastan para parecer legítimo.

Bajo presión de tiempo, piensas más rápido y cuestionas menos. Después de quince minutos colaborando y siendo «transferido» entre departamentos, parar empieza a sentirse como si tú fueras quien está causando el problema.

Estos ataques están diseñados para funcionar con personas cuidadosas. Si has pasado por uno, no es culpa tuya.

Cómo te protege bunq

La norma más fiable: nunca actúes basándote solo en una llamada telefónica sin comprobar antes el chat dentro de la app.

bunq nunca llama. Cualquier llamada que diga ser de bunq es una estafa. Abre la app: si algo necesita tu atención, verás una alerta real ahí.

Los estafadores se apoyan en la urgencia. Safety Shield está diseñado para contrarrestarla. Cuando un pago parece inusual, se pone en pausa durante 24 horas antes de procesarse. Esa retención no puede ser evitada ni por ti ni por bunq. Es así a propósito. Si la transferencia era legítima, se procesa cuando pasan las 24 horas. Si no lo era, tienes tiempo de detectarla.

Los estafadores a menudo te piden que instales software de acceso remoto, como AnyDesk o TeamViewer. Su historia: el «equipo de fraude» necesita revisar tu caso en remoto. Una vez que ese software está funcionando, el atacante puede ver y controlar todo lo que hay en tu pantalla, incluida tu app bancaria. bunq detecta cuando cualquier app para compartir pantalla está activa y limita los pagos salientes automáticamente.

Ser tu banco significa que bunq ve todo lo que un estafador nunca verá: el historial completo de tu cuenta, tus patrones, en tiempo real. Si vemos algo inusual, actuamos antes de que tengas siquiera que pedirlo.

Lee más sobre cómo bunq mantiene tu dinero seguro, incluida la protección de depósitos y la detección de fraude. Para los pasos que puedes configurar tú mismo, la banca online segura cubre la parte práctica.

Si crees que te están atacando ahora mismo

Cuelga el teléfono.

Cierra cualquier software de acceso remoto que hayas instalado (AnyDesk, TeamViewer o similar). Restablece tu código de seguridad en la app para bloquear al estafador y que no pueda acceder a tu cuenta. Luego contacta con el soporte bunq SOS, accesible en menos de 20 segundos desde la app, e informa del fraude a través de la Guía Antifraude.

La línea SOS de bunq es accesible en menos de 20 segundos desde la app. La Guía Antifraude te lleva paso a paso.

Si una transferencia ya se ha realizado, repórtala. bunq revisa los casos de fraude para posibles reembolsos por buena voluntad.

Reflexiones finales

La ingeniería social funciona mejor con personas que no saben lo que es. Ahora tú sí.

Da igual si llega como SMS, email o llamada: la urgencia es una señal de alarma, no un motivo para actuar. Abre primero la app. Si algo va realmente mal, lo verás ahí.