Llega un SMS: seis dígitos, enviados porque alguien intenta entrar en una de tus cuentas. Minutos después, una llamada o un mensaje te pide que leas ese código o lo reenvíes. Este gesto está detrás de buena parte de los robos de cuentas denunciados a las autoridades: la FTC recibió más de 2,6 millones de denuncias de fraude de consumidores en 2023, y los consumidores declararon haber perdido 10.000 millones de dólares por fraude ese mismo año. El código en sí causa el daño, no un malware ni una contraseña robada.
Cómo seis dígitos se convierten en una cuenta robada
El ataque empieza con algo que ya cediste sin darte cuenta: tu número de teléfono, vinculado a un correo o usuario que apareció en alguna filtración de datos. El estafador introduce tu número y tu correo en la página de acceso de un banco, una app de mensajería o una cuenta de un marketplace como Wallapop o Vinted. La plataforma, siguiendo su proceso de seguridad habitual, envía un código de un solo uso a tu teléfono para confirmar que realmente eres tú. Segundos después, el estafador te contacta directamente por SMS o llamada, a veces haciéndose pasar por un repartidor, un empleado bancario o un agente de soporte, y te pide que leas o reenvíes el código que ‘recibiste por error’. En el momento en que cedes, él termina el inicio de sesión desde su lado. A partir de ahí, la cuenta le pertenece: tu número, tus opciones de recuperación de contraseña, tu doble factor, todo puede cambiarse en silencio antes de que notes algo raro. Esto explica por qué las cifras citadas arriba son tan altas: el fraude denunciado a la FTC abarca muchas categorías, pero el robo de cuenta mediante un código de verificación secuestrado sigue siendo uno de los métodos más rápidos y baratos disponibles, porque no exige ningún ataque técnico, solo una llamada o un mensaje convincente en el momento justo. Lo que hace este método tan duradero es que explota la confianza en un sistema diseñado para protegerte: el código existe precisamente porque la plataforma asume que un extraño no debería poder entrar sin demostrar que posee tu teléfono. La estafa no vence ese sistema técnicamente, lo vence socialmente, convenciendo al propio dueño del teléfono de convertirse en el eslabón débil de una cadena que, de otro modo, era sólida.
Un mensaje familiar
El siguiente es un escenario ilustrativo, no un caso real, pensado para mostrar cómo suele desarrollarse este tipo de estafa.
Imagina recibir un SMS de una empresa de transporte diciendo que un paquete no pudo entregarse y que se necesita un código para reprogramarlo. Minutos antes había llegado un código de verificación aparentemente ajeno, de una app de compras. Los dos mensajes parecen no tener relación, pero la tienen: alguien está intentando entrar en la cuenta de compras desde otro lugar, y el ‘mensaje de reparto’ es la misma persona pidiendo ese código bajo otro nombre. Quien lo reenvía, pensando que resuelve un problema de envío, descubre después que el método de pago guardado se usó para una compra que nunca hizo, y que la contraseña ya fue cambiada. Para cuando se da cuenta de lo ocurrido, el estafador suele haber cambiado también el correo y el número de recuperación asociados, dejando a la víctima fuera de su propia cuenta y transformando lo que parecía un contratiempo menor en una disputa larga con el servicio de atención al cliente, el banco, o ambos. El desconcierto que sigue es parte de lo que hace tan eficaz este engaño: la víctima no reacciona ante una amenaza evidente, reacciona ante algo cotidiano, un paquete no entregado, y esa es precisamente la razón por la que la guardia que normalmente se reserva para peticiones sospechosas nunca llega a levantarse a tiempo.
Cómo detener esto antes de que el código salga de tu teléfono
La solución tiene menos que ver con la tecnología y más con una regla fija: un código de verificación no está pensado para compartirse con nadie, bajo ninguna excusa, nunca. Las empresas legítimas jamás te pedirán que leas o reenvíes un código de un solo uso; solo te pedirán que lo introduzcas tú mismo en el sitio o la app que estás usando activamente. Adoptar unos pocos hábitos alrededor de tu número de teléfono cierra la mayor parte de esta puerta.
Trata toda petición de código como sospechosa por defecto
Si llega un código a tu teléfono sin que tú estés intentando entrar activamente en algo, esa es la señal de que algo va mal: alguien más está intentando acceder usando tu número o tu correo. No lo leas en voz alta, no lo reenvíes, no lo escribas en ningún chat, aunque diga ser soporte técnico. Borra el mensaje una vez que estés seguro de que no lo solicitaste, o haz una captura antes de borrarlo por si necesitas denunciarlo más tarde.
Verifica la petición por otro canal
Si una llamada o un mensaje dice ser de tu banco, una empresa de transporte o una plataforma que usas, cuelga o ignora el mensaje y contacta directamente a través del número o la app que ya conoces, nunca del que aparece en el mensaje sospechoso. El personal de soporte real puede consultar tu cuenta sin necesitar un código que acabas de recibir.
Separa tu número de teléfono de tus cuentas más sensibles
Cuando sea posible, usa una app de autenticación en lugar de SMS para el doble factor, ya que los códigos generados por app no dependen de un número que pueda manipularse socialmente en un intercambio de mensajes. Para registros que no necesitan tu número real en absoluto, un número secundario o virtual mantiene tu línea principal fuera de las bases de datos que terminan filtrándose o vendiéndose.
Ralentiza el intercambio a propósito
Los estafadores dependen de la urgencia para impedir que pienses con claridad: un paquete a punto de devolverse, una cuenta a punto de bloquearse, un pago a punto de fallar. Cuando un mensaje te empuja a actuar en pocos minutos, trata esa misma presión como una señal de alerta. Tomarte treinta segundos para dejar el teléfono y reconsiderar la petición suele bastar para romper el guion de quien llama o escribe. También ayuda contarle en voz alta a alguien de confianza qué te está pidiendo el mensaje; decir la petición en voz alta a otra persona a menudo revela lo extraña que suena en cuanto sale del contexto presionado de la pantalla.
Por qué un segundo número reduce esta exposición
Las estafas con códigos de verificación funcionan porque tu número de teléfono ocupa el centro de tu identidad en internet: está vinculado a tu banco, a la recuperación de tu correo, a tus cuentas de compras, y a menudo termina en listas de brokers de datos tras un solo formulario filtrado. Una app de privacidad telefónica que ofrece un número secundario y descartable te permite reservar tu número principal para el puñado de cuentas que realmente lo necesitan, como el banco, contactos cercanos o servicios oficiales, mientras que todo lo demás, desde registros comerciales hasta verificaciones puntuales, pasa por un número que puede cambiarse o eliminarse si empieza a atraer mensajes no deseados. Esto no te vuelve invisible ni te exime de ningún proceso de verificación; simplemente reduce el número de lugares donde aparece tu número real, y eso reduce las formas en que un estafador puede dirigirte una petición de código falsa en primer lugar. Menos puntos de entrada significa menos oportunidades para que la ingeniería social descrita antes llegue siquiera a tu línea principal. Con el tiempo, esto también reduce el volumen de llamadas y mensajes no solicitados que recibe tu teléfono, ya que un número que nunca aparece en bases de datos de marketing o listas revendidas tiene muchas menos posibilidades de terminar en las listas que los estafadores compran y marcan en masa.
Numero eSIMenlace de afiliado
Un segundo número sin tarjeta SIM, en más de 80 países