ES
Português English Español Italiano Deutsch Français

17 estafas que están pasando en 2026 y cómo reconocer cada una

Las estafas de esta lista tienen historias muy distintas, pero casi todas acaban en el mismo sitio: un pago con prisa, un código que se entrega o un documento que acaba en manos de quien no es quien dice ser. En cada una verás cómo suele llegar la historia y qué detalle deja ver que es una estafa antes de pagar.

Por Prudents·18 min de lectura

24/09/2026, 16:44·Actualizado el 24/09/2026, 17:25

Vista desde arriba de una mesa con un móvil, una tarjeta, un sobre, una caja de envío y unas llaves

Cuántas estafas se registran en 2026

Según el balance de criminalidad del Ministerio del Interior del primer semestre de 2026, que recogió Europa Press el 17 de septiembre, de enero a junio se registraron 214.621 estafas informáticas en España, un 1,6 por ciento más que en el mismo periodo de 2025. Son el 87,3 por ciento de toda la cibercriminalidad y el 17,6 por ciento de todos los delitos registrados en esos seis meses.

Para 2025 ya hay un informe completo. El Informe sobre la Cibercriminalidad en España 2025 contó 488.426 ciberdelitos en 2025, casi uno de cada cinco delitos del país, y casi nueve de cada diez fueron fraudes informáticos.

La lista de abajo junta estafas con una fuente española reciente detrás: avisos del Instituto Nacional de Ciberseguridad (INCIBE), del Banco de España y de ayuntamientos, operaciones de la Policía Nacional y de la Guardia Civil, y noticias de medios nacionales. No es un ranking. Cada punto cuenta cómo suele llegar la historia y qué detalle deja ver que es una estafa antes de pagar.

Estafas al comprar y al vender

1. La tienda online que no existe

Una mujer en la puerta abierta de su piso mira el felpudo vacío con el móvil en la mano

El 6 de mayo de 2026, INCIBE avisó de tiendas online falsas que imitaban a un supermercado conocido. Los anuncios salían en la zona de productos patrocinados de los buscadores y también circulaban por aplicaciones de mensajería. La tienda de verdad no tiene nada que ver: quien monta la web copia su nombre y su aspecto para cobrar compras que nunca se envían y quedarse con los datos de la tarjeta.

Cómo reconocerla: el precio muy por debajo de lo normal es la primera pista. Antes de pagar, lee con calma la dirección que aparece en la barra del navegador y escribe tú mismo la dirección de la tienda, en lugar de entrar desde el anuncio. Si la web pide transferencia a una cuenta particular en vez de pago con tarjeta en una pasarela normal, no sigas.

2. El código QR en una multa falsa

Una persona apunta la cámara del móvil hacia un código QR impreso en papel

La Policía Local de Málaga avisó en julio de 2025 de papeles con apariencia de multa, con la imagen del Ministerio del Interior y de la DGT, que aparecían en los parabrisas de coches aparcados. Llevaban un código QR que abría una página fraudulenta para pagar la supuesta sanción. En septiembre de 2026, Qué! informó de nuevos casos en la misma ciudad.

Cómo reconocerlo: según la Policía Local, a esos papeles les faltaban datos que un boletín de denuncia real sí trae, como el número del agente, el lugar de la infracción o los datos del vehículo, y el importe no coincidía con el oficial. Si encuentras una multa en el coche, no escanees el código: consulta la sanción en la web de la DGT o del ayuntamiento, escribiendo tú la dirección.

3. El falso empleado del banco que va a tu casa a por la tarjeta

Un mensajero con el casco puesto alarga la mano hacia un sobre en la verja de una casa

En junio de 2026, la Policía Nacional detuvo en Almería a tres hombres acusados de hacerse pasar por empleados de banca. La víctima recibía un SMS sobre un cargo no autorizado y después una llamada de un supuesto departamento de seguridad que, durante más de una hora, la convencía de anular sus tarjetas. Luego le decían que un compañero pasaría por su casa a recogerlas. Minutos después llegaba un joven, se presentaba como empleado del banco y se llevaba dos tarjetas. Con ellas sacaron dinero, compraron en tiendas e hicieron pagos por Bizum por más de 6.000 euros.

Cómo reconocerlo: la propia Policía Nacional recuerda que ningún banco manda a un empleado a tu casa a recoger tarjetas. Si alguien lo propone, cuelga y llama al número que viene impreso en tu tarjeta.

4. El comprador que te manda una solicitud de Bizum

El Banco de España describió en abril de 2026, en su artículo sobre estafas por Bizum, el llamado Bizum inverso. Pones algo a la venta en una web de segunda mano y aparece un comprador interesado. En lugar de enviarte el dinero, te manda una solicitud de dinero. Si la aceptas pensando que estás cobrando, en realidad estás pagando tú.

Cómo reconocerlo: para recibir un Bizum no hay que confirmar nada, porque el dinero entra solo en la cuenta. Si la aplicación te pide aceptar una operación cuando esperabas cobrar, lee la pantalla con calma: casi seguro que es un pago.

5. El hotel que te pide confirmar la reserva por WhatsApp

El 31 de julio de 2026, INCIBE avisó de mensajes de WhatsApp que se hacían pasar por hoteles donde la persona tenía una reserva de verdad. El mensaje traía el nombre del alojamiento, las fechas, el nombre del huésped e incluso el número de reserva, y pedía entrar en un enlace para confirmarla o validarla. El enlace llevaba a una página que buscaba datos personales y de pago.

Cómo reconocerlo: que el mensaje conozca tu reserva no demuestra que venga del hotel. Si te piden confirmar o pagar algo, entra en la reserva desde la aplicación o la web donde la hiciste, o llama al hotel a un teléfono que busques tú.

Quien se hace pasar por el banco o por una empresa

6. El SMS del banco y la llamada a una cuenta segura

Un hombre de unos 65 años sentado en la cama habla por teléfono con la mano en la frente

INCIBE describió esta campaña en septiembre de 2025: un SMS avisa de una transferencia de un importe alto y da un teléfono para llamar si no la reconoces. Al otro lado contesta alguien del supuesto departamento de seguridad, que dice que no te va a pedir datos y te guía para hacer cosas en la aplicación real de tu banco. Al final te pide pasar el dinero a una cuenta de respaldo. Estos SMS pueden aparecer en la misma conversación en la que recibes los mensajes auténticos de tu banco.

En julio de 2026, El País contó una operación de la Guardia Civil contra una red que combinaba SMS falsos y llamadas haciéndose pasar por empleados del banco para conseguir los códigos de verificación. Con ellos vaciaban cuentas y pedían préstamos preconcedidos a nombre de las víctimas.

Cómo reconocerlo: ninguna cuenta segura necesita tu dinero para protegerlo, y un banco no te pide mover el saldo a otra cuenta. Cuelga y llama tú al número de la tarjeta o entra en la aplicación que ya tienes. No llames al teléfono que venía en el SMS.

7. La aplicación que deja manejar tu móvil desde lejos

Un móvil apoyado en la mesa de la cocina con la pantalla encendida y nadie tocándolo

En diciembre de 2025, la Policía Nacional detuvo en Elda a un hombre por una estafa en la que la víctima, una mujer de 71 años, instaló durante una llamada una aplicación de escritorio remoto siguiendo las indicaciones de quien llamaba. Ese programa sirve de verdad para dar soporte técnico a distancia, pero aquí permitió ver todo lo que ella hacía en el móvil, contraseñas incluidas. Hubo varias transferencias y compras que ella no había hecho.

Cómo reconocerlo: desconfía de cualquier llamada que acabe pidiendo instalar una aplicación desde un enlace. Si la pantalla empieza a moverse sola, desconecta los datos y el wifi, y llama a tu banco desde otro teléfono.

8. El Bizum que llegó por error y te piden devolver

Una mujer en la mesa de la cocina habla por teléfono mientras mira un portátil

En el mismo artículo del Banco de España aparece la falsa devolución. Llega un SMS o un mensaje por Bizum diciendo que te han enviado dinero por error y que lo devuelvas. A veces no ha llegado nada y solo te mandan una solicitud de dinero para que la aceptes. Otras veces sí ha entrado un ingreso, pero puede salir de una cuenta que ya habían robado a otra persona.

Cómo reconocerlo: no devuelvas nada a quien te lo pide por mensaje. Mira en tu cuenta si de verdad ha entrado dinero y de dónde viene. El Banco de España recomienda hablar con tu banco antes de mover nada, aunque eso retrase la gestión.

9. El SMS de un paquete con un enlace

Un dedo a punto de tocar un enlace dentro de un globo de mensaje en la pantalla del móvil

En diciembre de 2025, INCIBE avisó de SMS que se hacían pasar por empresas de paquetería diciendo que no habían podido entregar un paquete porque faltaba el número de la casa. El enlace llevaba a una página que pedía elegir una franja horaria, actualizar los datos personales y, al final, los datos de la tarjeta. Tras rellenarlo salía un error, pero los datos ya estaban en manos de los estafadores.

Desde el 7 de junio de 2026, los operadores tienen que bloquear los SMS que usan como remitente un nombre de empresa que no esté en el Registro de alias de la CNMC. El registro se aplica a los mensajes que llevan un nombre como remitente, así que no cubre los SMS que llegan desde un número de teléfono ni los mensajes de otras aplicaciones.

Cómo reconocerlo: antes de escribir nada, lee la dirección de la página letra por letra. Si esperas un paquete, entra en la web o en la aplicación de la tienda donde compraste y mira ahí el seguimiento.

Quien se hace pasar por alguien que conoces

10. El hijo en apuros con un número nuevo

Una mujer mayor sentada en un sillón lee un mensaje en su móvil

En julio de 2026, la Policía Nacional detuvo a siete personas en Alcalá de Henares y Valencia por la estafa del hijo en apuros. El mensaje llega por una aplicación de mensajería desde un número desconocido: quien escribe dice ser un hijo o un familiar cercano, que ha cambiado de teléfono y que necesita una transferencia urgente. Entre las víctimas había un hombre de más de 80 años que hizo dos ingresos creyendo que ayudaba a su hijo.

Cómo reconocerlo: llama al número que ya tenías guardado y habla con la persona. Si no contesta, prueba con otro familiar. No uses ningún dato que te hayan dado en la conversación nueva.

11. La voz de un familiar copiada con inteligencia artificial

Un hombre en un pasillo escucha el móvil con el altavoz puesto y el ceño fruncido

INCIBE publicó en febrero de 2026 el caso de una mujer mayor que recibió la llamada de alguien que dijo ser personal sanitario: su hija estaba grave y había que pagar una operación urgente. Después le pasaron a su supuesta hija, con una voz idéntica a la de ella, llorando y gritando. Antes de pagar, la mujer llamó al número real de su hija, que le dijo que todo era mentira. INCIBE le explicó que la voz habría sido generada con inteligencia artificial.

Cómo reconocerlo: reconocer la voz ya no basta. Cuelga y llama tú al número de siempre de esa persona. INCIBE también aconseja pensar en una contraseña familiar para pedirla en situaciones así.

Quien promete dinero

12. La inversión con ganancias altas y seguras

Una mano sostiene un móvil que muestra un gráfico verde que sube

En junio de 2026, la Policía Nacional desarticuló un grupo con 23 detenidos en Madrid, Guadalajara y Barcelona acusado de estafar cerca de 300.000 euros a más de 120 personas con falsas inversiones en criptomonedas. Prometían rentabilidades altas, tenían oficinas abiertas al público y una aplicación que imitaba a una entidad de inversión. A veces dejaban retirar pequeñas cantidades para que la gente confiara e invirtiera más.

Cómo reconocerla: desconfía de cualquier rentabilidad alta y garantizada. Antes de invertir, busca la entidad en los registros de la CNMV y en su lista de advertencias sobre entidades no autorizadas. Que te dejen sacar un poco al principio no demuestra que el resto del dinero exista.

13. El falso abogado que promete recuperar lo que perdiste

Una mesa de despacho en casa con carpetas de documentos legales, un sello y un teléfono sonando

INCIBE explicó en marzo de 2026 el fraude que se conoce como recovery room. Se dirige a personas que ya perdieron dinero en otra estafa, muchas veces una inversión falsa. Alguien llama o escribe diciendo que puede recuperar ese dinero y se presenta como abogado, empresa especializada, organismo público o incluso policía. Antes de devolver nada, pide pagar tasas, impuestos o gastos legales. En julio de 2026, Maldita.es contó el caso de un hombre que pagó durante seis años a una supuesta asociación de ayuda a víctimas.

Cómo reconocerlo: nadie serio te pide pagar por adelantado para devolverte tu propio dinero. Si crees que el despacho puede ser real, búscalo por tu cuenta y contacta por sus canales oficiales, no por los datos del mensaje.

14. El organismo público que anuncia un ingreso a tu favor

Un hombre de unos 60 años lee el móvil en un banco del parque con un edificio público desenfocado detrás

En marzo de 2026, INCIBE avisó de correos que imitaban a Mi Carpeta Ciudadana y anunciaban un ingreso de 552,97 euros a tu favor. En mayo alertó de SMS con el nombre de la Agencia Tributaria, y en agosto de otros que usaban el de la Tesorería General de la Seguridad Social y que, tras pedir datos personales, acababan pidiendo la cuenta bancaria para un supuesto pago.

Cómo reconocerlo: INCIBE recuerda que las webs de la administración pública terminan en gob.es. Un correo que llega desde otra dirección, o un enlace que lleva a otra, es motivo para no seguir. Si crees que puede haber algo a tu nombre, entra tú en la sede electrónica del organismo.

15. La falsa citación de la policía

En marzo de 2026, INCIBE avisó de correos que suplantaban a la Guardia Civil y a Europol con el asunto «CONVOCATORIA» y un PDF adjunto que acusaba a la persona de estar implicada en ciberdelitos. En julio alertó de otra campaña en nombre de la Policía Nacional, la Guardia Civil e INCIBE, que amenazaba con una detención si no se respondía en menos de 48 horas. El objetivo era conseguir datos personales y bancarios o un pago.

Cómo reconocerla: INCIBE explica que nadie va a investigarte ni a cumplir esas amenazas. No respondas al correo, porque contestar confirma que la dirección está activa. Si tienes dudas, llama al 017 o acude a una comisaría.

Quien quiere tus documentos

16. La oferta de trabajo que pide el DNI y una cuenta a tu nombre

Vista por encima del hombro de una persona que sostiene su documento de identidad junto a la cara

En junio de 2026, la Guardia Civil e INCIBE alertaron, según RTVE, de falsas ofertas de socorrista de hotel que llegaban por WhatsApp. Quien ofrecía el puesto pedía los datos del DNI y que la persona abriera una cuenta bancaria a su nombre para gestionar cobros del trabajo. El joven que lo contó al 017 fue después al hotel, y allí le dijeron que la oferta era falsa y que había más afectados. Según la Guardia Civil, el objetivo era usar esa cuenta de forma ilícita en sus operaciones.

Cómo reconocerla: un proceso de selección real no empieza pidiendo el DNI por mensaje ni que abras una cuenta para la empresa. Busca la oferta en la web oficial de la empresa y desconfía de una contratación inmediata sin entrevista.

17. Préstamos que no pediste a tu nombre

Una persona jubilada revisa un extracto en papel con una lupa y una calculadora

En la operación de la Guardia Civil que contó El País en julio de 2026, la red intervino una base de datos con información de unas 500.000 personas. Además de vaciar cuentas, pedía préstamos preconcedidos y otros productos a nombre de las víctimas.

Cómo reconocerlo: revisa los movimientos de tu cuenta con cierta frecuencia. El Banco de España permite pedir gratis el informe de la Central de Información de Riesgos, donde aparecen prácticamente todos los préstamos y créditos que las entidades tienen declarados a tu nombre. Si ves uno que no es tuyo, puedes pedir a la entidad que lo corrija o reclamar gratis al Banco de España.

Lo que casi todas tienen en común

Las diecisiete empiezan de maneras distintas, pero la mayoría comparte unas pocas cosas: una historia con prisa, un contacto que te llegó sin que lo buscaras y una petición de dinero, de un código o de un documento.

  • La prisa. Plazos cortos, cuentas que se van a bloquear, ofertas que se acaban hoy. La urgencia sirve para que no tengas tiempo de comprobar la historia.
  • El contacto que llega hasta ti. El enlace, el teléfono y la aplicación que te mandan los elige el estafador. Cuando buscas tú el canal oficial, muchas de estas historias dejan de sostenerse.
  • El nombre de quien recibe. Desde el 9 de octubre de 2025, los bancos tienen que ofrecer gratis la verificación del beneficiario en las transferencias en euros: antes de enviar, tu banco compara el nombre que escribes con el titular del IBAN y te dice si coincide, si coincide casi, si no coincide o si no se ha podido comprobar. Si una tienda te pide pagar a la cuenta de una persona, o el nombre no coincide, no envíes el dinero.
  • El código que llega por mensaje. Sirve para demostrar que eres tú. Quien lo tiene puede entrar en tu cuenta, así que no se lo des a nadie, aunque parezca alguien conocido o el propio banco.

Si quieres ver estas escenas con más calma, el artículo sobre las estafas más comunes en internet desarrolla cinco de ellas, y cómo evitar estafas reúne los cuidados antes de pulsar o pagar.

Si el pago ya está hecho

Llama a tu banco cuanto antes, al número de la tarjeta o al de la aplicación, y di claramente que ha sido un fraude. Si diste los datos de la tarjeta, pide que la bloqueen. El Banco de España explica en su página sobre el uso fraudulento de la tarjeta que, desde que lo comunicas, el banco responde de las operaciones que tú no hayas hecho, y que de las anteriores respondes como mucho hasta 50 euros.

Si la transferencia o el Bizum los ordenaste tú, aunque fuera engañado, la situación cambia. El Banco de España explica en su página sobre transferencias no autorizadas que, cuando la orden la diste tú, el banco del destinatario no puede devolver el dinero sin el consentimiento de quien lo recibió. No existe un programa que garantice la devolución de un pago que hiciste tú, así que lo que queda es avisar rápido y preguntar al banco qué puede intentar en tu caso. Los pasos con más detalle están en me han estafado con una transferencia o un Bizum.

Guarda los mensajes, la dirección de la página, los justificantes y los teléfonos desde los que te contactaron. Después denuncia en una comisaría o cuartel, por la Oficina Virtual de Denuncias de la Policía Nacional o por la denuncia electrónica de la Guardia Civil. Puedes avisar también a INCIBE con su reporte de fraude o llamar gratis al 017, de ocho de la mañana a once de la noche todos los días del año.

Una última cosa, que vale para toda esta lista: la culpa de una estafa es siempre de quien la comete. Estas historias están preparadas para funcionar, y muchas engañan a gente muy atenta.

Fuentes consultadas

Los tipos de estafa, las cifras y los avisos citados se comprobaron el 24 de septiembre de 2026 en estas páginas:

Preguntas frecuentes sobre las estafas de 2026

¿Cuántas estafas informáticas hay en España en 2026?

Según el balance de criminalidad del Ministerio del Interior, de enero a junio de 2026 se registraron 214.621 estafas informáticas, un 1,6 por ciento más que en el mismo periodo de 2025. Son infracciones registradas, así que no cuentan los casos que nadie denunció.

¿Cómo sé si un SMS o una llamada del banco son reales?

No lo decidas por el mensaje. Ciérralo, abre tú la aplicación del banco o llama al número impreso en la tarjeta. Un banco no te pide contraseñas, códigos de verificación ni que pases el dinero a una cuenta de seguridad, y tampoco manda a nadie a tu casa a recoger tarjetas.

¿La verificación del beneficiario evita todas las estafas?

No las evita todas, pero ayuda. Desde el 9 de octubre de 2025 tu banco compara gratis el nombre que escribes con el titular del IBAN antes de una transferencia en euros. Si el resultado no coincide o coincide solo en parte y aun así envías el dinero, irá a esa cuenta. Y si te piden pagar a una cuenta a nombre del propio estafador, el nombre coincidirá, así que fíjate también en si ese nombre tiene sentido para lo que estás pagando.

Me ha llegado un Bizum de alguien que no conozco y me pide que lo devuelva. ¿Qué hago?

No devuelvas nada a petición de quien te escribe. Comprueba en tu cuenta si de verdad ha entrado dinero y habla con tu banco antes de hacer ningún movimiento, como recomienda el Banco de España. Para recibir un Bizum no hay que aceptar nada, así que una solicitud que te pide confirmar es un pago.

He recibido una llamada con la voz de un familiar pidiendo dinero. ¿Qué hago?

Cuelga y llama tú al número que ya tenías guardado de esa persona. Con inteligencia artificial se puede copiar una voz a partir de unos segundos de audio, así que una voz parecida ya no demuestra nada. Acordar una contraseña familiar para estas situaciones ayuda.

¿Sirve de algo denunciar?

Sí. La denuncia deja constancia de lo que pasó, ayuda a la investigación y suele pedirse en las reclamaciones al banco. Puedes hacerla en comisaría o cuartel, por la Oficina Virtual de Denuncias de la Policía Nacional o por la denuncia electrónica de la Guardia Civil. El 017 de INCIBE te orienta gratis.

¿Cómo puedo proteger a mis padres o abuelos?

Acordad una regla sencilla en familia: ningún pago urgente pedido por mensaje o por teléfono se hace sin confirmarlo antes por otra vía. Revisar juntos los movimientos de la cuenta de vez en cuando y pedir el informe gratuito de la Central de Información de Riesgos del Banco de España también ayuda a detectar préstamos que nadie pidió.

Seguir leyendo

Ver todos los artículos

Comparte este artículo