Cuidado con este SMS que imita al BBVA y amenaza con desactivar tu tarjeta: quieren tus datos bancarios

Un nuevo fraude de smishing circula en España con un SMS que advierte de la desactivación de tu tarjeta del BBVA si no actualizas la seguridad desde un enlace. El objetivo es llevarte a una web falsa que clona la imagen del banco para robar credenciales y datos financieros.

“BBVA: Su tarjeta será desactivada el 16/09/2025 si no actualiza la seguridad de su cuenta” es exactamente lo que dice este mensaje de texto. A continuación aparece un link que te lleva a una página que no pertenece a BBVA, aunque la apariencia sea idéntica. Allí piden usuario y contraseña de banca online e incluso códigos OTP para validar operaciones, una técnica clásica de ingeniería social: generar prisa para que el usuario actúe sin verificar.

Fuente: Elaboración propia

Este intento de estafa no es nuevo, de hecho, tirando un poco de hemeroteca, existen noticias de mayo de este mismo año y de octubre de 2024 en las que se alerta de la difusión de este mismo mensaje. También el propio BBVA advirtió el pasado mes de agosto de otro SMS malicioso que trataba de engañar a los destinatarios haciendo alusión a la realización de transferencias.

MÁS ESTAFAS, MISMO PATRÓN. La actual campaña, por tanto, se suma a otras olas de phishing que usan distintos pretextos (pagos automáticos, verificación de cuenta, etc.), pero siempre con el mismo hilo conductor: urgencia + enlace externo + solicitud de datos sensibles. Y, por supuesto, el BBVA no es la única entidad cuya identidad se intenta suplantar, este tipo de mensajes también han llegado en nombre del Banco Santander o la Caixa.

En este sentido, es muy importante recordar que ningún banco envía SMS con enlaces ni solicita claves, datos personales o códigos de un solo uso por estos canales. Si recibes un mensaje así —aunque aparezca en el hilo del banco—, es falso. La recomendación es no pulsar el enlace, bloquear al remitente, eliminar el mensaje y acudir siempre a los canales oficiales del banco (app o web tecleada a mano y teléfono verificado).

Sin embargo, a veces resulta imposible no caer en el engaño de los ciberdelincuentes. Si introdujiste credenciales o compartiste un OTP, debes actuar rápido:

• Contacta con tu banco para bloquear accesos/tarjetas y revisar movimientos.
• Cambia contraseñas y activa (o revisa) la doble autenticación.
• Reporta el fraude al 017 (INCIBE) y guarda evidencias del SMS/web. INCIBE advierte de no responder a mensajes alarmistas y de no facilitar datos desde enlaces recibidos por SMS.

Para evitar estas estafas también es importante fijarse en la URL y en otros indicios que hacen sospechoso el mensaje, como las faltas de ortografía o errores gramaticales. Desconfiar de los mensajes alarmantes o que invitan a actuar con urgencia, también es vital par ano caer en este tipo de trampas.