Las estafas más comunes en internet: cinco situaciones y qué hacer

En casi todas las estafas, la historia existe para llevarte a una sola acción: pagar, entregar algo secreto, instalar un programa o abrir una página que controla el estafador. Reconocer la petición sirve de más que memorizar docenas de nombres para lo mismo.

Según el Informe sobre la Cibercriminalidad en España 2025, del Ministerio del Interior, en 2025 se registraron 488.426 ciberdelitos, un 19,8 por ciento de toda la criminalidad, y casi nueve de cada diez fueron fraudes informáticos. Las cinco situaciones de abajo son ejemplos frecuentes, no un ranking ni una lista completa.

Cómo leer estas cinco situaciones

Lee cada una por la petición, no por la trama. INCIBE describe el mismo patrón de fondo en estafas muy distintas: alguien contacta contigo sin que tú lo hayas pedido, dice que hay un problema o un premio, mete prisa para que actúes ya y señala una forma concreta de pagar o algo concreto que entregar. Su sección sobre ingeniería social y fraudes online recoge la forma con detalle.

La otra mitad del hábito es dónde compruebas. Cualquier cosa que llegue en un mensaje se puede comprobar en un sitio que el mensaje no controla: la aplicación que ya tenías instalada, el número impreso en tu tarjeta, la cuenta a la que puedes entrar tú.

Las frases entrecomilladas de este artículo están inventadas. Enseñan el tipo de redacción que se usa sin copiar el mensaje real de una empresa, ni una marca, ni una pantalla, ni un teléfono oficial.

Aquí va la misma idea de una pasada, con lo que pide cada situación y dónde está de verdad la respuesta.

• Banco falso: pide un enlace, un código, una contraseña o instalar una aplicación. Compruébalo dentro de la aplicación del banco, o llamando al número impreso en la tarjeta.
• Familiar con número nuevo: pide una transferencia urgente. Compruébalo llamando al número que ya tenías guardado, o a otro familiar.
• Envío pendiente: pide una tasa pequeña o que actualices datos. Compruébalo en la cuenta de la tienda o de la empresa de transporte donde vive el pedido de verdad.
• Soporte que nadie pidió: pide acceso remoto, una instalación o un código. Compruébalo por un canal de atención que abras tú.
• Premio o chollo: pide un pago por adelantado o datos personales. Compruébalo en la web de la empresa escrita por ti, lejos del anuncio.

1. El banco falso: un problema urgente con tu cuenta

El mensaje o la llamada avisa de un cargo sospechoso, de una cuenta bloqueada, de una actualización obligatoria o de un fallo de seguridad. El nombre del remitente puede verse bien y la persona puede saber ya algunos datos tuyos. Ninguna de las dos cosas te dice que el contacto venga de tu banco.

La señal está en la salida que te ofrecen. El contacto intenta que todo se resuelva dentro de la conversación: abre este enlace, instala esta aplicación, léeme el código que acabamos de enviarte, confirma tu contraseña. Un ejemplo inventado: «Hemos detectado un cargo pendiente. Accede ahora para cancelarlo.»

Un banco que te contacta por un fraude no necesita tu contraseña ni tu código de un solo uso, y no necesita que muevas el dinero a ningún sitio. INCIBE es directo con la versión en la que alguien dice que tu cuenta está en riesgo y te manda pasar el saldo a otra: esa instrucción es la estafa. Su página sobre vishing recoge las mismas peticiones en la versión telefónica.

Qué hacer sin usar el contacto que recibiste

Termina la conversación. Abre la aplicación que ya usas, o escribe la dirección que conoces, o llama al número impreso en la tarjeta. No llames al número del mensaje y no uses el botón que te mandaron. Una contraseña y un código de verificación se quedan contigo.

Si la duda empezó con un SMS, nuestro artículo sobre qué es el smishing cuenta qué comprobar y qué hacer si ya abriste el enlace. Y si empezó con un correo, mira cómo detectar un correo falso.

2. El familiar falso: un número nuevo y una petición de dinero

Alguien escribe usando un nombre conocido, dice que ha cambiado de número o que escribe desde el teléfono de otra persona, y empieza una conversación que suena a familia. Después llega la petición de dinero, casi siempre con un motivo por el que no puedes llamar al número de antes.

La cercanía es la herramienta. La idea es que el dinero salga antes de que hables con la persona real. Un ejemplo inventado: «Se me ha roto el móvil y este es mi número temporal. ¿Me puedes cubrir un pago hoy?»

INCIBE lo describe en su artículo sobre la estafa del familiar en apuros: un accidente, un problema en un viaje, una urgencia que da vergüenza contar. Y señala un detalle que se repite en España, que es la insistencia en pagar por transferencia o por Bizum, porque son rápidos y difíciles de deshacer.

Cómo confirmar con quién estás hablando

Llama al número que ya tenías guardado. Si no contesta, prueba por otra vía que conozcas: un fijo, el trabajo, otro familiar. No te apoyes en los datos que aparecen dentro de la conversación nueva, porque todos ellos forman parte de la historia que te están contando.

Una voz grabada tampoco lo resuelve. INCIBE ha documentado un caso real con la voz de un familiar creada con inteligencia artificial y recuerda que bastan unos segundos de audio. La defensa no cambia: llama al número que ya tenías. Y si quieres dejarlo hablado con tu familia antes de que pase nada, acordad una palabra clave que se pide siempre que aparece el dinero.

3. La tasa de envío falsa: un cobro pequeño para liberar un paquete

El mensaje dice que un paquete está retenido, que hay que corregir una dirección o que queda una tasa pendiente. Pega más fuerte cuando de verdad estás esperando algo, pero la coincidencia no demuestra nada sobre quién lo envió.

La acción que piden es pequeña y rápida a propósito: abrir una dirección, confirmar los datos de la tarjeta, pagar un par de euros. Un ejemplo inventado: «Tu envío está retenido. Actualiza la dirección y paga la tasa de liberación hoy.» La cantidad baja es lo que hace que comprobar parezca innecesario, y la página que la cobra suele querer el número completo de la tarjeta.

INCIBE recoge la paquetería entre las suplantaciones más usadas en su página sobre smishing, con mensajes del tipo su paquete no se ha podido entregar porque no se han pagado las tasas de aduana. Las empresas de transporte no piden los datos de una tarjeta por SMS para soltar un paquete.

Dónde se consulta un envío de verdad

Abre la aplicación o la cuenta donde hiciste el pedido, o escribe tú la dirección de la empresa de transporte, y busca el número de seguimiento desde ahí. No uses el enlace, el código ni el teléfono que llegaron con el cobro inesperado.

Si la página imita a una tienda o a una empresa de transporte, cómo detectar una web falsa explica cómo leer la dirección y qué otras señales merece la pena mirar. Y antes de abrir nada, cómo saber si un enlace es seguro.

4. El soporte técnico que no pediste

Alguien llama, escribe o lanza un aviso a pantalla completa en el navegador diciendo que ha encontrado un virus, una brecha o un cargo en tu cuenta. Está presentado como atención al cliente, pero lo que busca es acceso: a tu dispositivo, a tus cuentas o a los códigos que protegen tu entrada.

INCIBE describe el mecanismo en sus avisos sobre el falso soporte técnico: un supuesto técnico dice que tu equipo está infectado y te pide instalar una herramienta de acceso remoto para arreglarlo. Con ese programa funcionando, la otra persona ve la pantalla y actúa sobre ella, y son habituales los casos en los que además bloquean el equipo y piden un pago para desbloquearlo.

Por qué una instalación y un código merecen los dos una parada

Un programa de acceso remoto deja que otra persona maneje tu dispositivo. Un código de verificación confirma una entrada o un cambio en la cuenta, y por eso vale tanto como una contraseña. Si el contacto de soporte llegó sin que tú lo pidieras, no instales nada y no leas nada en voz alta. Córtalo y abre tú una consulta por la aplicación de la empresa o por la dirección que escribas a mano.

Hay una variante que conviene conocer aparte, porque termina con quien llama diciendo que te ha devuelto de más y pidiendo que le mandes la diferencia. Es la misma llamada con otro final, y también acaba en una transferencia que hiciste tú.

5. El premio o el chollo que exige pagar antes

Un anuncio o un mensaje ofrece un producto muy por debajo de su precio, un beneficio o un premio de un sorteo en el que no participaste. Para liberarlo te piden un pago, un registro, una contraseña o los datos de la tarjeta. Suele haber una cuenta atrás, que está ahí para que no te dé por buscar a la empresa en otro sitio.

Una afirmación no se comprueba en el mismo sitio que la hizo. Un ejemplo inventado: «Has ganado un premio. Solo tienes que cubrir los gastos de envío para recibirlo.» Un perfil puede tener comentarios, fotos y un aspecto profesional y haberse montado la semana pasada para sostener exactamente esta historia.

INCIBE agrupa estas ofertas en su página sobre fraude online, junto a la venta de gangas y a los préstamos que exigen un adelanto. El detalle es siempre el mismo: la tasa es el negocio.

Cómo comprobar una oferta lejos del anuncio

Busca la empresa por tu cuenta, abre su web escribiendo la dirección y mira si la promoción existe ahí. Antes de terminar un pago, lee quién lo va a recibir. Si el nombre del destinatario no encaja con la empresa o con la compra, para hasta entender por qué.

Desde el 9 de octubre de 2025, el banco te ayuda con esa última parte. El Banco de España explica el servicio gratuito de verificación del beneficiario: al hacer una transferencia, después de escribir el IBAN y antes de que salga el dinero, tu entidad te dice si el nombre que has puesto coincide, casi coincide o no coincide con el titular de la cuenta de destino. Si dice que no coincide y aun así sigues, el dinero se envía a ese IBAN y puede no llegar a quien tú querías.

Lo que ha cambiado últimamente

Las cinco situaciones de arriba siguen funcionando. Lo que ha cambiado es el acabado de algunas y los medios de pago que empujan. La petición de debajo sigue siendo dinero, datos o acceso.

Voces clonadas

Unos segundos de audio bastan para imitar cómo suena una persona, así que una voz al teléfono ya no demuestra quién llama. INCIBE lo ha documentado en un caso real de fraude con la voz de un familiar generada con inteligencia artificial. Trata una voz como tratarías un nombre en una pantalla: una afirmación, no una confirmación.

Ofertas de trabajo y tareas pagadas

Alguien contacta con un puesto que paga bien y no pide casi nada, y después exige un pago por el material, por la formación o por tramitar documentación, o pide datos bancarios muy pronto. Hay una variante que paga cantidades pequeñas por tareas sencillas en internet y luego exige un ingreso para desbloquear un pago mayor. INCIBE lo recoge en su página sobre falsas ofertas de empleo, donde también avisa de las ofertas que combinan un sueldo alto con trabajo desde casa y sin experiencia.

Que te pidan mover dinero de otra persona

Algunas de estas ofertas terminan con dinero que entra en tu cuenta y con instrucciones de reenviarlo. INCIBE explica en su sección sobre fraude online que ese papel, el del intermediario que recibe una transferencia y la manda a otra cuenta, es blanqueo de capitales, que el dinero viene de estafas y que quien lo hace acaba participando en un delito aunque no supiera lo que movía. Si un trabajo consiste en recibir y reenviar dinero, para ahí.

Si ya hiciste lo que te pedían

Qué hacer depende de qué quedó expuesto, y el primer paso es de la cuenta que esté en más riesgo. No borres la conversación antes de haber guardado los mensajes, la dirección de la página, los justificantes y los datos con los que te contactaron.

1. En la primera hora, llama al banco si había dinero o datos de tarjeta por medio. Usa el número de la tarjeta o el de la aplicación, no uno del mensaje. Di claramente que fue un fraude, pregunta si el pago se puede parar todavía y pide una tarjeta nueva si diste los datos. El Banco de España recuerda en su página sobre el uso fraudulento que desde que lo comunicas el banco se hace cargo de cualquier operación posterior que tú no hayas hecho, y que de las anteriores respondes como mucho hasta 50 euros. Aquí lo que más pesa es el tiempo.
2. Cambia la contraseña de cualquier cuenta en la que entraras, en la web real y desde un dispositivo del que te fíes, y cámbiala donde usaras la misma.
3. Activa la verificación en dos pasos en esa cuenta, y revisa su lista de sesiones activas y de dispositivos conectados.
4. Si instalaste algo o diste acceso remoto, desconecta el dispositivo de internet, desinstala el programa y no entres en cuentas importantes desde él hasta que lo revise alguien.
5. Denuncia y avisa. En cualquier comisaría o cuartel, por la Oficina Virtual de Denuncias de la Policía Nacional, que hay que ir a firmar después en comisaría y como muy tarde en 72 horas, o por la denuncia electrónica de la Guardia Civil, que admite cargos fraudulentos cometidos por medios informáticos. Avisa además a INCIBE con su reporte de fraude o llama gratis al 017, de ocho de la mañana a once de la noche todos los días del año.

Si el pago salió por transferencia, por transferencia inmediata o por Bizum, el Banco de España explica en su página sobre transferencias no autorizadas que cuando la orden la diste tú el banco del destinatario no puede devolver el dinero sin el consentimiento de quien lo recibió. No hay un programa que garantice la devolución de un pago que hiciste tú, así que lo que queda es avisar rápido, denunciar y preguntar al banco qué puede intentar en tu caso concreto. Para los cuidados que evitan llegar hasta aquí, mira cómo evitar estafas y cómo saber si es una estafa.

Preguntas frecuentes sobre las estafas más comunes