Guía práctica para protegerte de las ciberestafas

bancarias en la era de la inteligencia artificial

Una amenaza que nos afecta a todos

Imagina esta situación: recibes una llamada de tu banco. En la pantalla de tu móvil aparece el número oficial de la entidad. La persona que te habla conoce tu nombre, tu número de cuenta y el último movimiento de tu tarjeta. Te explica que han detectado un cargo sospechoso y que necesitan que les confirmes un código que vas a recibir por SMS para cancelar la operación. Tú, preocupado, haces lo que te piden. Minutos después, tu cuenta está vacía.

No era tu banco. Era un estafador que, gracias a la inteligencia artificial, había clonado la voz de un operador telefónico, suplantado el número de tu entidad y accedido a datos reales tuyos para que todo pareciera legítimo. Y no es ciencia ficción: esto está pasando ahora mismo en España.

Los números son alarmantes. Según el último informe de la Asociación Española de Banca (AEB) de marzo de 2026, casi 1 de cada 5 españoles ya ha sufrido una ciberestafa con pérdidas económicas. Los cargos no autorizados en tarjetas son la trampa más habitual, seguidos de las compras en tiendas online falsas y las llamadas fraudulentas que nos engañan para que entreguemos nuestro dinero.

¿Cómo nos engañan? Las trampas más habituales

Los estafadores de hoy no son los mismos de hace cinco años. Ya no envían correos mal escritos desde direcciones extrañas. Ahora utilizan inteligencia artificial para crear engaños que, en muchos casos, son prácticamente imposibles de distinguir de una comunicación real. Estas son las trampas con las que debes tener más cuidado:

El SMS o email que parece de tu banco (phishing / smishing)

Recibes un mensaje que parece idéntico a los que te envía tu banco habitualmente. Mismo logotipo, mismo tono, mismo formato. A veces, incluso aparece en el mismo hilo de conversación de mensajes legítimos anteriores de tu entidad. El mensaje te dice que hay un problema urgente con tu cuenta y te pide que pulses un enlace para solucionarlo. Ese enlace te lleva a una página web que es una copia exacta de la web de tu banco. Si introduces ahí tu usuario, contraseña o códigos, se los estás entregando directamente al estafador.

La llamada con la voz clonada de tu gestor (vishing)

Esta es quizás la trampa más inquietante. Mediante tecnología de clonación de voz por inteligencia artificial (lo que se conoce como deepfake de audio), los delincuentes pueden reproducir con fidelidad la voz de un empleado de tu banco. Además, suplantan el número de teléfono de la entidad (técnica llamada spoofing), con lo que en tu pantalla aparece el número oficial del banco. Te piden que autorices una operación, que confirmes un código o que traslades tu dinero a una “cuenta segura”. Todo suena creíble, pero es mentira.

El código QR trampa (QRishing)

Lo encuentras pegado en la mesa de un restaurante, en una parada de autobús o junto a un parkímetro. Al escanearlo con el móvil, puede instalarse un programa malicioso que captura tus claves bancarias sin que te enteres, o puede redirigirte a una página de pago falsa. Una trampa silenciosa que cada vez se extiende más.

La tienda online demasiado buena para ser verdad

En rebajas, Black Friday y campañas especiales aparecen cientos de tiendas online falsas con descuentos imposibles (“80% solo hoy”, “liquidación por cierre”). Imitan a marcas conocidas, pero su único objetivo es quedarse con tus datos de pago o cobrarte por un producto que nunca llegará. Las pistas: dominios raros, sin datos fiscales en el aviso legal y solo aceptan métodos de pago poco seguros.

¿Has caído? La ley te protege más de lo que crees

Si has sido víctima de una ciberestafa bancaria, lo primero que debes saber es que la ley está de tu lado. Es normal sentir vergüenza o pensar que ha sido culpa tuya, pero lo cierto es que el sistema legal español y europeo protege al consumidor de forma muy clara.

El Real Decreto-ley 19/2018 de servicios de pago (que transpone la Directiva europea PSD2) dice algo muy importante: cuando un consumidor niega haber autorizado una operación, se presume que dice la verdad y el banco debe devolverle el dinero de forma inmediata. La única excepción es que el banco demuestre que el cliente actuó de forma fraudulenta o con negligencia grave. Y aquí viene lo importante: la carga de probarlo es del banco, no tuya.

Además, el Tribunal Supremo ha reforzado esta protección con una sentencia histórica. En abril de 2025 (STS 571/2025), condenó a Ibercaja a devolver más de 83.000 euros a un cliente al que unos delincuentes le hicieron 15 transferencias no autorizadas en una sola noche, combinando phishing y duplicación de su tarjeta SIM. ¿Las claves de esta sentencia?

¿Qué hago si me pasa? Paso a paso

La rapidez es tu mejor aliado. Cada minuto cuenta para poder bloquear las operaciones y recuperar tu dinero. Esto es lo que debes hacer:

Juntos somos más fuertes

Las ciberestafas van a seguir creciendo en sofisticación, pero nuestros derechos como consumidores también son cada vez más fuertes. La ley y los tribunales están de nuestro lado. Lo que necesitamos es estar informados, actuar rápido si nos pasa y, sobre todo, no quedarnos callados.

Desde ADICAE llevamos más de 30 años defendiendo los derechos de los consumidores financieros. Si has sido víctima de una ciberestafa o simplemente quieres informarte, contacta con nosotros. Tu mejor defensa es saber que no estás solo.