Las nuevas estafas bancarias ya no llegan solo por SMS: ahora combinan llamadas, IA y datos reales tuyos

Una llamada aparentemente legítima del banco. Un SMS que aparece dentro del mismo hilo de mensajes reales de la entidad. Y, al otro lado del teléfono, una voz convincente que conoce datos personales de la víctima. El fraude bancario digital ha cambiado de escala y sofisticación en los últimos años, y organismos como INCIBE, Europol o el Banco de España llevan tiempo alertando de ello.

La nueva ola de estafas financieras ya no se basa únicamente en correos fraudulentos o enlaces sospechosos. Los ciberdelincuentes combinan ahora distintas técnicas de ingeniería social –como SMS falsos, llamadas telefónicas, aplicaciones de mensajería e incluso herramientas de inteligencia artificial– para generar confianza y lograr que sea el propio usuario quien autorice operaciones o entregue códigos de seguridad.

Según el Instituto Nacional de Ciberseguridad (INCIBE), el llamado “fraude híbrido” está creciendo especialmente en campañas de smishing y vishing. Es decir, ataques que mezclan mensajes SMS con llamadas telefónicas posteriores en las que el atacante se hace pasar por un empleado del banco o del servicio de seguridad de la entidad.

La clave de estas campañas no está tanto en “hackear” el banco como en manipular psicológicamente a la víctima. De hecho, tanto Europol como distintos informes europeos sobre cibercrimen coinciden en que la ingeniería social sigue siendo uno de los principales vectores de fraude financiero en Europa.

Muchos de estos ataques utilizan además datos reales obtenidos en filtraciones previas: nombre completo, número de teléfono, dirección o incluso parte de la operativa bancaria. Ese es uno de los motivos por los que los mensajes resultan cada vez más creíbles.

El papel de la IA y la clonación de voz

Uno de los elementos que más preocupa a los expertos es el uso creciente de herramientas de inteligencia artificial para automatizar fraudes y hacerlos más convincentes. INCIBE ya ha alertado de casos en los que se emplean voces clonadas mediante IA para intentar desviar pagos o suplantar identidades.

Con apenas unos segundos de audio publicados en redes sociales o vídeos, algunas herramientas comerciales permiten generar imitaciones de voz suficientemente creíbles para una llamada telefónica breve. En la práctica, esto facilita campañas de vishing (suplantación de identidad de una empresa, organización o persona de confianza vía llamada telefónica) mucho más sofisticadas, especialmente cuando se combinan con SMS fraudulentos enviados minutos antes.

A ello se suma el uso de técnicas como el spoofing telefónico, que permite mostrar en pantalla un número aparentemente oficial, o el ahora denominado “quishing”, una modalidad basada en códigos QR maliciosos que redirigen a páginas falsas para robar credenciales bancarias.

Qué dice la normativa y cuándo responde el banco

El aumento de estas estafas también ha abierto un debate jurídico sobre la responsabilidad de las entidades financieras. La normativa europea PSD2 obliga a aplicar sistemas de autenticación reforzada para operaciones sensibles y exige mecanismos antifraude más avanzados.

En España, el Banco de España recuerda que las entidades deben contar con medidas de monitorización y detección de operaciones anómalas. Además, distintas resoluciones judiciales recientes han endurecido el análisis sobre la responsabilidad bancaria en casos de phishing o smishing, especialmente cuando no puede acreditarse una negligencia grave por parte del cliente.

Eso no significa, sin embargo, que cualquier fraude implique automáticamente el reembolso del dinero. Cada caso depende de factores como el tipo de autenticación utilizada, la actuación de la entidad y si el usuario llegó a facilitar claves o códigos de seguridad.

Las señales que recomiendan vigilar

Los organismos de ciberseguridad insisten en que la mayoría de campañas siguen compartiendo patrones similares: sensación de urgencia, supuestos cargos sospechosos, bloqueo inminente de la cuenta o peticiones para verificar movimientos bancarios.

Por ello, INCIBE, Policía Nacional y Banco de España recomiendan no acceder nunca a enlaces enviados por SMS, no compartir códigos OTP por teléfono y contactar siempre con la entidad mediante canales oficiales.

El fraude financiero digital no deja de evolucionar, pero el patrón de fondo sigue siendo el mismo, en el que los estafadores se aprovechan de la confianza, el miedo y la inmediatez. Y en un entorno donde la inteligencia artificial permite automatizar mensajes, voces y conversaciones cada vez más realistas, la capacidad de detectar señales de alerta se ha convertido en una de las principales barreras frente a este tipo de ataques.