Consejos de seguridad para la banca online: los ajustes que protegen tu cuenta

Los ajustes que hacen la mayor parte del trabajo

Tres ajustes hacen casi todo: las alertas de cada operación, la verificación en dos pasos y una contraseña que no usas en ningún otro sitio. Lo demás que aparece en la página de seguridad de tu banco es útil, pero estos tres son los que cambian lo que pasa cuando algo sale mal.

Cubren fallos distintos. Las alertas acortan el tiempo entre una operación que no has hecho y tu llamada al banco, que es justo de lo que depende lo que te toca pagar. La verificación en dos pasos hace que una contraseña robada no baste para entrar. Y una contraseña única hace que una filtración en una web que no tiene nada que ver con el banco no se convierta en un problema de tu cuenta.

El Banco de España repite la misma lista en su entrada del Día de Internet Más Seguro: desconfiar de mensajes que piden claves, proteger las contraseñas, activar la autenticación con varios factores cuando esté disponible y mantener los dispositivos actualizados.

Si vas a hacerlo ahora, empieza por las alertas. Es lo más rápido y funciona desde el primer minuto.

Las alertas, y por qué importan más de lo que parece

Activa un aviso para cada pago con tarjeta y cada transferencia, con el importe mínimo más bajo que permita tu banco. El Banco de España lo pone como primera línea de defensa en sus consejos para el uso seguro de los cajeros: la mayoría de los bancos ofrecen notificaciones instantáneas por SMS o por correo cada vez que se hace una operación, y eso te permite detectar enseguida lo que no has autorizado.

La razón es legal además de práctica. Según el Banco de España, en cuanto comunicas un uso fraudulento, el banco se hace cargo de las operaciones posteriores que no hayas hecho tú. Una notificación llega en segundos. Un extracto llega a final de mes. Esa diferencia es todo el motivo para encender las alertas.

Si tu banco las ofrece, activa estas:

• Cada pago con tarjeta, sin importe mínimo o con el más bajo posible.
• Cada retirada de efectivo en cajero.
• Cada transferencia o Bizum que sale, y cada beneficiario nuevo.
• Cualquier cambio en tus claves, tu teléfono, tu correo o tu dirección.
• Cada acceso desde un dispositivo nuevo.
• Saldo por debajo de una cantidad que elijas, que detecta las salidas pequeñas y repetidas.

Las alertas de cambios en tus datos son las que menos se valoran. Quien intenta quedarse con una cuenta suele cambiar primero el teléfono o el correo, para que dejes de recibir avisos. Una alerta en ese momento puede ser el único aviso que tengas.

La verificación en dos pasos

Activa la verificación en dos pasos en el banco y en el correo que tienes asociado al banco. INCIBE, el Instituto Nacional de Ciberseguridad, la define en su página sobre la autenticación de dos factores como una medida de seguridad añadida a la contraseña, y explica que el segundo paso puede ser un código por SMS o por correo, un código de una aplicación de autenticación o una llave física.

En los pagos y en la banca online, la ley ya obliga a algo parecido. El Banco de España explica en su página sobre la autenticación reforzada que, desde la normativa europea de servicios de pago, los pagos por internet y las operaciones de riesgo por canales remotos exigen al menos dos factores independientes: algo que sabes, como una contraseña o un PIN; algo que tienes, como el móvil; o algo que eres, como la huella. Por eso tu banco te pide confirmar en la aplicación o con un código.

Ese código es justo lo que buscan los estafadores. El Banco de España lo dice claro en su página sobre la suplantación de SMS y llamadas: si no has hecho tú una operación, no tiene sentido que te llegue una clave temporal, y mucho menos que el banco te la pida por teléfono. Tu banco no necesita un código para anular una supuesta operación fraudulenta.

Donde puedas elegir, una aplicación de autenticación o la confirmación dentro de la aplicación del banco evitan el problema de que alguien desvíe tus SMS. Si tu banco solo ofrece SMS, actívalo igualmente: es mucho mejor que nada.

Una contraseña única para el banco y otra para el correo

Pon en el banco una contraseña que no uses en ningún otro sitio, y en el correo otra distinta, tampoco repetida. Las contraseñas reutilizadas son la forma en que una filtración en una tienda online o en una red social acaba siendo un problema del banco, porque las combinaciones robadas se prueban en todas partes.

INCIBE lo resume en su guía de contraseñas seguras:

• Al menos de 8 a 10 caracteres, y cuanto más larga, mejor.
• Una contraseña diferente para cada cuenta, para que si alguien consigue una no tenga acceso al resto.
• Sin datos personales fáciles de adivinar, como tu nombre, tu fecha de nacimiento o tu teléfono, y sin secuencias como 123456.

El correo va primero por una razón concreta: los enlaces para recuperar contraseñas llegan ahí. Quien controla tu correo puede pedir una contraseña nueva para casi todo lo demás.

Nadie recuerda una docena de contraseñas largas y distintas, y para eso existen los gestores de contraseñas. INCIBE explica que con un gestor solo necesitas recordar una contraseña maestra. No recomendamos ninguno en concreto. La alternativa que también funciona es apuntarlas en un papel guardado en un sitio privado de casa. Lo que no funciona es la misma contraseña con un número distinto al final.

La costumbre semanal que encuentra lo que se escapa a las alertas

Entra en la cuenta una vez por semana y lee los movimientos, no solo el saldo. Las alertas avisan de lo que el banco marca. Leer encuentra lo pequeño, lo que parece normal y lo que se repite y ninguna alerta estaba configurada para avisar.

Busca nombres de comercio que no conoces, importes un poco distintos a los que esperabas y cargos muy pequeños. El Banco de España aconseja en su página sobre los pagos que no has autorizado revisar con frecuencia los cargos de la tarjeta y de la cuenta, y guardar los comprobantes para que la revisión sea más fácil. También recuerda que algunas suscripciones se renuevan solas si no las cancelas.

Una vez al mes, mira un poco más: la lista de beneficiarios guardados, las transferencias periódicas, los recibos domiciliados y los dispositivos con acceso a tu banca. Quita lo que ya no usas. Comprueba que el teléfono y el correo que tiene el banco siguen siendo los tuyos.

Un cargo que no ubicas merece una llamada aunque al final sea una suscripción olvidada. Una tarjeta copiada es una de las formas en que empieza un cargo extraño, y cómo pasa en un cajero está en clonación de tarjetas. Si ves algo claramente mal en la cuenta, ve directo a me han hackeado la cuenta del banco, porque el orden de la primera hora importa.

Lo que puedes ajustar de tu tarjeta desde la aplicación

Muchas tarjetas tienen ajustes que casi nadie toca y que reducen mucho lo que se puede hacer con ellas si alguien consigue los datos. El Banco de España repasa varios en su página sobre las nuevas funciones de las tarjetas:

• Apagado y encendido. Desactivas la tarjeta desde el móvil y la vuelves a activar cuando la necesitas. Es reversible, a diferencia del bloqueo, que es para cuando estás seguro de que la has perdido o te la han robado.
• Uso por países o regiones. Que solo funcione en España o en Europa, y activar el resto cuando viajas.
• Uso por tipo de operación. Desactivar los cajeros, las compras por internet o las compras en tienda, y activar cada cosa solo cuando la vas a usar.
• Tarjetas de un solo uso o virtuales para comprar en webs donde no compras habitualmente.

El Banco de España añade otro ajuste en sus consejos sobre cajeros: un límite diario de retirada de efectivo, para que un fraude tenga un tope. Si quieres saber cuándo tiene sentido una tarjeta virtual y cuándo estorba, está explicado en tarjeta virtual.

El móvil y la red desde la que entras

El móvil forma parte de la cuenta. Un teléfono con la aplicación del banco, el correo y los SMS donde llegan los códigos tiene todas las piezas que alguien necesita para entrar, y por eso mantenerlo al día importa tanto como la contraseña.

• Actualiza el sistema y las aplicaciones y usa antivirus, como recomienda el Banco de España.
• Instala la aplicación del banco desde la tienda oficial, llegando a ella desde la web del propio banco. Una aplicación con un nombre parecido no es la del banco.
• Entra al banco escribiendo tú la dirección o desde la aplicación que ya tenías, nunca desde un enlace que te llega por mensaje o por correo.
• Evita las wifi públicas para operar. El Banco de España incluye el uso de redes seguras entre sus recomendaciones. Si tienes que mirar la cuenta fuera de casa, usa los datos del móvil.
• Bloquea el móvil con un código o con la huella, y activa la opción de bloquearlo y borrarlo a distancia.

Y nadie de un banco te va a pedir que instales un programa para ver tu pantalla y arreglar algo. Si ya ha pasado, desconecta el aparato de internet y llama al banco desde otro teléfono.

Lo que tu banco no te va a pedir

Tu banco no te va a pedir por teléfono, correo, SMS ni redes sociales tus contraseñas completas, el PIN ni los códigos que te llegan por SMS, y no te va a pedir que muevas tu dinero a una cuenta segura para protegerlo. Esas peticiones son la firma de un impostor, y conocerlas sirve más que intentar adivinar si la voz suena oficial.

El Banco de España explica que un SMS falso puede llegar en la misma conversación que los mensajes reales de tu banco, y que el número que ves en una llamada puede estar falseado para parecer el del banco. Así que el número de la pantalla no demuestra nada. Lo que sí funciona es siempre lo mismo: cuelga y llama tú al número de tu tarjeta o de la aplicación. Su página sobre el vishing lo resume así: si la llamada te parece sospechosa, cuelga y llama al número oficial de la compañía para contrastar lo que te han contado.

Un empleado de verdad espera. Quien insiste en que no cuelgues, en que no llames a nadie más o en que no cuentes nada en la oficina ya te ha dicho lo más importante sobre sí mismo. Cómo suenan estas llamadas por dentro está en qué es el vishing, y la versión por mensaje, en el SMS falso del banco.

Lo que estos ajustes no cubren

Nada de esto evita una filtración en una empresa que guarda tus datos, y nada de esto para un pago que te convencieron de hacer a ti. Son los dos huecos más grandes, y es mejor decirlo que dar a entender que una lista lo cierra todo.

Una transferencia que ordenaste tú después de una historia convincente se trata de forma distinta a una operación que nadie de tu casa inició. Las reglas de devolución de la ley de servicios de pago están pensadas para las operaciones no autorizadas. Por eso frenar antes de enviar dinero a alguien que no conoces importa más que cualquier ajuste, y por eso la verificación del beneficiario merece atención: desde el 9 de octubre de 2025, tu banco tiene que comprobar gratis si el nombre que escribes coincide con el titular de la cuenta de destino en las transferencias en euros, y avisarte si no coincide.

Si algo sale mal y el banco no lo resuelve, puedes reclamar a su servicio de atención al cliente y después al Banco de España, como explica su página sobre cómo realizar una reclamación. Y si tienes dudas sobre la seguridad de tus cuentas, el 017 de INCIBE atiende gratis de ocho de la mañana a once de la noche, todos los días del año.

Ningún banco, aplicación ni ajuste elimina el riesgo del todo. Estos cambios lo reducen bastante y hacen que, si algo pasa, te enteres pronto.

Preguntas frecuentes sobre la banca online segura