Suplantación do banco
por SMS e WhatsApp

Porque o móbil agrupa os SMS polo nome do remitente, e ese nome non se comproba. Cando un banco che manda unha mensaxe, na pantalla non ves un número de teléfono senón un texto, o nome do banco. Ese texto escríbeo quen envía a mensaxe, e o sistema de SMS non verifica que teña dereito a usalo. Así que quen suplanta o teu banco escribe exactamente o mesmo nome, e o teu teléfono, que non ten forma de distinguilos, coloca a súa mensaxe na mesma conversa que os códigos de verdade que levas anos recibindo. É o que desarma a case todo o mundo: o fío é auténtico, o historial é auténtico, e a última mensaxe parece unha máis. Por iso o lugar onde aparece un SMS non demostra nada. O que importa é o que che pide: se te manda a unha ligazón, a un teléfono ou a facer algo con présa, non é o banco.

Non. O número que aparece na pantalla cando alguén te chama tamén se pode falsificar, con ferramentas que non requiren ningún coñecemento especial. Ver o teléfono de atención ao cliente do teu banco, mesmo co nome que tes gardado na axenda, só significa que alguén escolleu mostrar ese número, non que a chamada saia do banco. É a segunda peza do mesmo engano: primeiro o SMS no fío de sempre, logo unha chamada desde o número de sempre, e as dúas cousas xuntas semellan unha confirmación mutua. Non o son, porque as dúas se falsifican igual. Tampouco serve preguntar «como sei que es do banco?», porque teñen resposta preparada, ás veces cos teus datos reais. O único que funciona é cortar esa canle: colga e chama ti ao número impreso no dorso da túa tarxeta ou ao que aparece dentro da aplicación do banco. Se era de verdade, confirmarancho alí.

É a parte final do guión e a que converte o engano en diñeiro perdido. Dinche que a túa conta está comprometida, que alguén está tentando baleirala, e que para protexela hai que mover o saldo a unha conta «segura», «ponte» ou «de custodia» mentres se resolve. Ás veces dante un IBAN, ás veces guíante para facer un Bizum ou unha transferencia desde a túa propia aplicación, e ás veces pídenche que retires efectivo. Esa conta é de quen te está chamando. Ningún banco protexe o teu diñeiro pedíndoche que o saques ti da túa conta: se de verdade detecta un problema, bloquea operacións ou tarxetas desde dentro, sen que movas nada. A transferencia fala ti, coas túas claves, desde o teu móbil, e iso é precisamente o que buscan, porque así a operación consta como autorizada polo titular. A regra é absoluta: se alguén che pide mover diñeiro para protexelo, é fraude, sen excepción.

Ese código é a túa sinatura. O banco envíao para que confirmes unha operación concreta: un pagamento, unha transferencia, un cambio de datos ou dar de alta a túa tarxeta noutro móbil para pagar con el. Quen te chama xa iniciou esa operación pola súa banda, con datos que che sacou antes ou que conseguiu nunha páxina falsa, e só lle falta o código que acaba de chegarche a ti. Por iso cho pide cunha escusa: «para anular o cargo sospeitoso», «para verificar que es ti», «para cancelar a transferencia». Le o texto completo do SMS antes de nada: moitas veces di exactamente que estás autorizando e engade que non o compartas con ninguén, tampouco co banco. Ningún empregado do teu banco necesita que lle dites un código para anular nada. Se alguén cho pide por teléfono, por WhatsApp ou por calquera outra vía, colga. Ditalo equivale a asinar a operación.

Trátao como falso. Poñer o logo dun banco na foto de perfil de WhatsApp e o seu nome no perfil está ao alcance de calquera: abonda cun número de móbil novo. A mensaxe adoita seguir o mesmo guión que o SMS, cunha operación sospeitosa, un bloqueo inminente ou unha verificación pendente, e proponche seguir a conversa por aí, mandar unha foto da tarxeta ou do DNI, premer nunha ligazón ou recibir unha chamada. Que o perfil pareza oficial non di nada: o que di moito é que o teu banco che escriba desde un número que non coñeces para pedirche datos con présa. Se o teu banco usa algunha canle de mensaxería, atoparala explicada dentro da súa aplicación ou na súa web oficial, á que chegas escribindo ti o enderezo. Ante a dúbida, non respondas nese chat: abre a aplicación do banco ou chama ao número do dorso da tarxeta e pregunta se existe esa incidencia.

Chama ao teu banco inmediatamente, ao número do dorso da tarxeta ou ao da aplicación, nunca ao que che deron na chamada. Explica que fuches vítima dunha suplantación, que operación autorizaches e cando, e pide que bloqueen tarxetas e accesos e que intenten deter ou recuperar a transferencia. Non hai garantía de recuperala, pero canto antes chames, máis opcións hai. Despois, desde un dispositivo de confianza, cambia o contrasinal da banca en liña e o do correo se tamén o deches ou o escribiches nunha páxina falsa. Garda os SMS, as mensaxes de WhatsApp e o rexistro de chamadas: non borres nada, porque é a proba. Con iso, presenta denuncia ante a Policía Nacional, a Garda Civil ou os Mossos d'Esquadra. O 017 do INCIBE orienta de balde sobre os pasos que hai que seguir. Se ademais instalaches algunha aplicación que che pediron, ese móbil necesita revisarse antes de volver usalo para o banco.

Algunhas si. Hai normas que obrigan as operadoras a filtrar parte das chamadas e dos SMS que suplantan números ou remitentes, e os propios bancos avisan cada vez máis destes enganos. Pero non contes con que o filtro o pare todo: os atacantes cambian de método en canto un deixa de funcionar, usan números nacionais reais, pasan a WhatsApp ou combinan canles. Un filtro reduce cantas mensaxes chegan, pero non cambia o que tes que facer coa que si chega. Ademais, o engano non depende da tecnoloxía senón da conversa: o paso decisivo sempre o dás ti, ao ditar un código, premer nunha ligazón ou facer unha transferencia. Por iso as regras son as mesmas que hai anos e seguen funcionando: o banco non che pide códigos nin contrasinais nin que movas diñeiro; ti colgas e chamas ao número que xa tiñas; as ligazóns dos SMS non se tocan.

Con tres frases curtas, escritas nun papel xunto ao teléfono ou na neveira, porque no momento da chamada ninguén lembra un discurso longo. Primeira: «o banco nunca pide códigos, contrasinais nin que movas diñeiro». Segunda: «se chaman do banco, colgo e chamo eu ao número da tarxeta». Terceira: «as ligazóns dos SMS non se tocan». Explica tamén por que a mensaxe estará no fío de sempre e a chamada virá do número de sempre, porque é xusto o que fai dubidar a xente precavida. E quita a vergoña do medio: dilles que prefires dez chamadas preguntando se algo é normal antes ca unha transferencia a unha conta descoñecida. Nunha empresa, o mesmo aplica a quen xestiona pagamentos e a quen ten o móbil de empresa: ninguén autoriza operacións por unha chamada entrante, e ante calquera dúbida consúltase antes de facer nada.