Cómo evitar estafas: qué comprobar antes de hacer clic o pagar

Evitar una estafa no depende de adivinar qué pretendía la persona que te ha escrito. Antes de hacer clic, de instalar nada o de mandar dinero, busca información que no venga de esa conversación: la dirección real del servicio, un contacto que encuentres tú y los datos que aparecen en la pantalla de confirmación antes de que salga el pago.

Las siete costumbres de abajo bajan el riesgo. No lo eliminan. Hay muchísimo fraude sin faltas de ortografía, sin precios absurdos y sin ningún detalle fuera de sitio, y parte de él llega con tu nombre, tu dirección y una compra reciente ya escritos. Cuando una situación no se puede comprobar, dejarla para más tarde es una decisión perfectamente buena.

1. Date tiempo antes de decidir

Cuando alguien exige un pago, un clic o una respuesta ahora mismo, ese es el momento de salir de la conversación y buscar una segunda fuente. No le debes un debate a quien llama. Puedes colgar, cerrar el mensaje y volver al asunto cuando lo hayas comprobado en otro sitio.

Un problema de verdad también puede ser urgente. La diferencia es que el de verdad sigue ahí cuando abres tú la aplicación, y que nadie legítimo sale perjudicado porque te tomes diez minutos. La prisa fabricada es una de las pocas cosas que casi todas las estafas tienen en común, y por eso el INCIBE la pone entre las primeras señales en su página sobre el phishing, el nombre que se le da al mensaje falso que imita a una entidad.

2. Busca tú el canal oficial

Sal del mensaje y usa una vía que ya fuese tuya: la aplicación que instalaste hace tiempo, la dirección que sabes escribir, el número impreso en el reverso de tu tarjeta o en un recibo. No llames a un número que ha llegado en el mismo contacto que te trajo el problema.

El INCIBE da esa misma instrucción en sus páginas sobre el phishing y sobre el vishing, que es la estafa por llamada: no uses los datos de contacto que vienen dentro del mensaje sospechoso, y llega a la entidad por un canal en el que ya confiabas. Con los SMS pasa lo mismo, y está en su página sobre el smishing.

Si el otro canal no contesta

El silencio al otro lado no convierte la petición en verdadera. Si un familiar no coge el teléfono, espera, o busca a otra persona que pueda saberlo. Si la atención al cliente ya ha cerrado, eso no es motivo para volver al número o al enlace del mensaje porque alguien haya dicho que el plazo acaba esta noche.

Una factura real puede tener una fecha de vencimiento, un recargo u otra condición que merezca tomarse en serio. Busca eso en el recibo, en el contrato, en la aplicación o en la web oficial cuando vuelva a estar disponible. Hasta que sepas de dónde sale el cargo y quién recibe el dinero, déjalo sin pagar.

Que tus datos sean correctos no prueba quién habla

Tu nombre completo, tu dirección, dónde trabajas, una compra reciente: todo eso se puede usar para que un mensaje parezca venir de un sitio real. Las brechas de datos y las listas comerciales ponen esa información en circulación constantemente, y la Agencia Española de Protección de Datos publica orientación sobre qué hacer cuando tus datos aparecen en una filtración.

En mitad de una conversación no vas a poder averiguar de dónde salió un dato, e intentarlo es un desvío. Vuelve al canal oficial y mira si la situación que te describen existe allí de verdad.

Lo mismo vale para una foto, un nombre y una forma de escribir que reconoces. Si un número nuevo pide dinero, llama al número antiguo, o habla con alguien cercano, antes de mandar nada.

3. Lee la dirección entera antes de escribir nada

Una web puede copiar los colores, las fotos y los textos con precisión. Así que lee la dirección de la barra del navegador en vez del aspecto de la página. Letras cambiadas, palabras de más y terminaciones inesperadas son motivo para comprobarlo en otro sitio que no sea ese enlace.

Lee la dirección de derecha a izquierda, empezando por la última parte antes de la primera barra. Ese trozo es la web de verdad. Una dirección larga con el nombre de una empresa conocida metido en mitad no es esa empresa. En España lo normal es ver terminaciones «.es» y «.com», y «.gob.es» en las páginas de la Administración, pero ninguna de ellas garantiza nada por sí sola.

El https protege la conexión, no tus intereses. Dice que el tráfico va cifrado, no que la tienda o la persona que hay detrás sea honrada, y una web falsa puede tenerlo igual de fácil que una real. Los navegadores han dejado de enseñar el candado justamente por eso: demasiada gente lo leía como un sello de aprobación. En cómo detectar una web falsa está cómo separar el dominio del resto de una dirección, y cómo saber si un enlace es seguro cubre qué hacer antes de abrir uno.

Los enlaces acortados y los botones esconden su destino hasta que los abres. Cuando un mensaje va de un banco, de un envío, de una ayuda o de una factura, dejar el enlace y abrir tú el servicio es sencillamente más rápido que intentar descifrarlo.

4. Mira quién recibe el dinero antes de aprobarlo

Toda pantalla de pago te enseña algo del destino: un nombre, una razón social, un IBAN, un número de teléfono en un Bizum. Léelo antes de confirmar. Si no encaja con la persona o con la empresa de la historia que te han contado, no mandes el pago.

Desde el 9 de octubre de 2025 hay una ayuda más. Los bancos de la Unión Europea tienen que ofrecer gratis el servicio de verificación del beneficiario, que comprueba si el nombre que escribes coincide con el titular de la cuenta de destino. El Banco de España lo explica en el Portal del Cliente Bancario, junto con la parte que conviene saber: si el nombre no coincide y aun así decides seguir, el dinero se envía al IBAN que has puesto, y el banco no responde de eso. El aviso está para que te detengas, no para taparte.

Ajusta también la forma de pago al riesgo. Un pago con tarjeta tiene detrás un procedimiento de reclamación. Una transferencia, un Bizum a una persona, una tarjeta regalo o una criptomoneda no tienen esa capa, y por eso son las formas que piden los estafadores.

Aunque el nombre parezca correcto, la petición sigue necesitando confirmación. Una cuenta puede ser de alguien a quien han reclutado para el esquema, y una historia puede tomar prestada a una persona real que conoces. Habla con quien te ha pedido el dinero por un número que ya tenías, o con la empresa por su propio canal.

Con una factura, compara el destinatario con quien debería cobrar de verdad. No aceptes la explicación de que el dinero tiene que ir a una empresa asociada o a una cuenta del departamento financiero sin confirmar esa relación con la empresa directamente. Que cambien los datos de pago dentro de un hilo de correo que ya existía es un patrón conocido.

5. Cuidado con un cargo pequeño que no esperabas

Una tasa de reparto, una tasa de liberación, una cuota de registro, un pequeño peaje sin pagar. El importe es bajo a propósito. Por dos euros, comprobar parece exagerado, y la página que los cobra suele pedir el número completo de la tarjeta, o lleva a un pago mucho mayor más adelante.

Si no esperabas ese cargo, búscalo en la aplicación o en la web de la tienda, del organismo o de la empresa de transporte, escrita por ti. El INCIBE publica avisos sobre esas campañas en su página sobre el smishing, donde las empresas de reparto están entre las más imitadas.

La tasa falsa de reparto es de las historias más repetidas que hay, junto al aviso falso del banco y el familiar con un número nuevo. Las tres están en las estafas más comunes en internet.

6. Si te piden un código, una contraseña o instalar algo, corta el contacto

No dictes una contraseña, un código de un solo uso, una clave de recuperación ni la respuesta a una pregunta de seguridad durante una llamada o un chat que ha empezado otra persona. No instales una aplicación, una extensión ni un programa porque quien llama diga que hace falta para arreglar algo.

La atención al cliente falsa pide compartir pantalla o acceso remoto para ayudarte. En cuanto ese programa está funcionando, la otra persona puede manejar el dispositivo y ver lo que hay en él. Abre el servicio por un canal que busques tú y mira si existe alguna petición real.

Un código de un solo uso vale tanto como una contraseña, porque es lo que completa un acceso o un cambio en la cuenta. Si te llega un código cuando no estabas entrando en ningún sitio, puede que alguien esté intentando entrar, lo que no significa que lo haya conseguido. No lo pases, y ve a revisar la seguridad de esa cuenta. El INCIBE explica qué métodos hay en su página sobre la autenticación de dos factores.

Y si el código era para tu número de teléfono y no para una cuenta, puede estar empezando otro problema. Quedarte de repente sin cobertura puede ser señal de que alguien ha pedido un duplicado de tu tarjeta SIM; en ese caso, llama a tu operadora desde otro teléfono cuanto antes.

7. Protege la cuenta antes de que te contacten

Algunas protecciones funcionan antes de que llegue ningún mensaje, y casi todas se configuran una sola vez.

• Verificación en dos pasos en el correo, en el banco, en las redes sociales y en las aplicaciones de mensajería. Con ella, una contraseña robada no basta para entrar. El INCIBE tiene una guía sobre la autenticación de dos factores, y una aplicación de códigos o una llave física aguanta mejor que un código por SMS.
• Una contraseña distinta para cada servicio. Cuando una contraseña abre varias cuentas, una sola filtración las abre todas. El INCIBE lo trata en su página sobre contraseñas seguras, donde también explica para qué sirve un gestor de contraseñas.
• Avisos de movimientos activados en las aplicaciones del banco y de la tarjeta, para que un pago que no reconoces te llegue el mismo día y no a final de mes.
• Límites ajustados a lo que gastas de verdad, donde tu banco lo permita. Muchos dejan poner un tope a las transferencias o pedir una confirmación extra por encima de un importe que eliges tú. Mira qué ofrece tu aplicación en vez de darlo por hecho.
• Una revisión de vez en cuando. En España no existe un bloqueo preventivo del crédito que impida abrir productos a tu nombre. Lo que sí puedes hacer es revisar los movimientos, mirar si te aparecen productos que no has contratado y, si crees que alguien está usando tus datos, decírselo a tu banco y denunciarlo.

Por qué ninguna lista lo cubre todo

No todas las estafas usan prisa, faltas de ortografía, un enlace o un precio imposible. No hay un número de señales que demuestre que un mensaje es falso. Hay contactos legítimos que resultan raros, y hay fraudes bien montados que resultan completamente normales.

Así que trata cada señal como un motivo para ir a buscar una confirmación independiente, no como una sentencia. Un precio muy por debajo del normal, una petición de que no se lo cuentes a nadie, un pago a un tercero, la dificultad de encontrar la empresa fuera de su propio anuncio: cada una sube el valor de comprobar, y cada una hay que leerla junto al resto de la situación.

Conocer las estafas más comunes en internet ayuda a reconocer antes la forma de una historia. La protección sigue viniendo de salir del relato que te han dado y buscar información en otro sitio.

Si ya has hecho clic, has dado datos o has pagado

Lo que toca hacer depende de lo que haya pasado. Cierra la página y corta el contacto. Guarda el mensaje, el número, la dirección de la web y cualquier justificante. No borres nada antes de haber registrado lo que te van a pedir el banco, la plataforma o la policía.

1. En la primera hora, llama a tu banco si hubo dinero o datos de tarjeta por medio. Usa el número de tu tarjeta, di claramente que fue un fraude, pregunta si el pago se puede parar todavía y pide una tarjeta nueva. Si no estás de acuerdo con la respuesta, reclama por escrito al Servicio de Atención al Cliente de la entidad y, después, al Banco de España, con los pasos y los plazos de cómo realizar una reclamación.
2. Si diste una contraseña, cámbiala desde un dispositivo de confianza, y cámbiala en todos los sitios donde la repitieras.
3. Si instalaste algo o diste acceso al dispositivo, desconéctalo de internet y haz que lo revisen antes de volver a entrar en tus cuentas desde él.
4. Si perdiste el acceso a una cuenta, usa solo el proceso de recuperación del propio servicio, y avisa a los contactos que puedan recibir peticiones en tu nombre.
5. Si diste datos personales, como el DNI o los datos de tu cuenta, guarda constancia de lo que enviaste y de cuándo, vigila tus movimientos y consulta la orientación de la Agencia Española de Protección de Datos sobre qué hacer cuando tus datos acaban en manos ajenas.

Después, denuncia. Puedes hacerlo en cualquier comisaría o cuartel, por la denuncia online de la Policía Nacional o por la denuncia electrónica de la Guardia Civil. Reporta además el caso al INCIBE. Nada de esto garantiza que el dinero vuelva, y quien te prometa recuperarlo a cambio de un pago está montando una segunda estafa.

Si alguien te amenaza o estás en peligro en ese momento, llama al 112. Y si el problema es con una empresa y no con un delincuente, las Oficinas Municipales de Información al Consumidor recogen reclamaciones de consumo; el Ministerio de Consumo mantiene un directorio con las de toda España.

Una última cosa. Haber hecho clic, haber contestado o haber pagado no convierte a nadie en responsable. Estas historias están construidas por gente que se dedica a esto y que las repite miles de veces hasta que caen en el momento justo. La culpa es siempre de quien monta el engaño.

Fuentes que hemos consultado

Las recomendaciones de este artículo salen de estas páginas, consultadas el 22 de septiembre de 2026:

• INCIBE: phishing, smishing y vishing
• INCIBE: contraseñas seguras y autenticación de dos factores
• INCIBE: reporte de fraude y línea de ayuda 017
• Banco de España: verificación del beneficiario y cómo realizar una reclamación
• Agencia Española de Protección de Datos
• Policía Nacional: denuncia por internet y Guardia Civil: denuncia electrónica
• Ministerio de Consumo: directorio de Oficinas Municipales de Información al Consumidor

Los ejemplos están inventados por nosotros. Las situaciones existen, las personas y las conversaciones no. Este artículo no da ninguna cifra.

Preguntas frecuentes sobre cómo evitar estafas