Te llega un SMS que dice que tu tarjeta fue bloqueada por un cargo sospechoso, o un WhatsApp de “tu banco” con un enlace para “aclarar un movimiento”. Tienes segundos para decidir y el mensaje está hecho para que no lo pienses. Así empieza hoy la mayoría de los fraudes bancarios en México.
Respuesta rápida: tu banco nunca te pedirá por SMS o WhatsApp tu NIP, contraseña, código de verificación ni que instales una app desde un enlace. Si un mensaje te pide cualquiera de esas cosas con urgencia, es fraude. Cierra el mensaje y entra a tu app oficial o llama al número que está al reverso de tu tarjeta.
Por qué los fraudes se mudaron al celular
Durante años el engaño típico era una llamada de alguien que decía ser del banco. Según Condusef, ese modelo perdió fuerza porque cada vez menos personas contestan números desconocidos, así que los delincuentes cambiaron a mensajes masivos por SMS y WhatsApp.
Las cifras lo reflejan. Entre enero y julio de 2026, Condusef atendió 48,593 reclamaciones por posible fraude, 15.9% más que en el mismo periodo de 2025. Casi todas (93.7%) fueron contra bancos, y los productos más afectados fueron la tarjeta de crédito (38%) y la de débito (36.1%).
El cambio de canal también cambió a las víctimas. Los grupos que más crecieron en reclamaciones fueron las personas de 50 a 59 años y de 40 a 49 años, no los adultos mayores. La lógica es de volumen: el presidente de Condusef, Óscar Rosado, explicó que con unos 10,000 pesos se puede enviar un millón de mensajes. Si cae una fracción mínima de quienes los reciben, el negocio ya funciona.
Las modalidades más comunes por SMS y WhatsApp
Todas usan la misma base: la ingeniería social, es decir, manipularte para que tú entregues el dato o hagas el clic. Lo que cambia es el pretexto.
Aviso falso de bloqueo o cargo no reconocido
El mensaje dice que tu cuenta fue bloqueada o que hay una compra que no hiciste, e incluye un enlace o un número para “resolverlo”. El enlace lleva a una página que copia el diseño de tu banco. Ahí capturas usuario, contraseña y el código que te llega por SMS, y en ese momento los delincuentes entran a tu cuenta real.
Paquete retenido, multa o devolución de impuestos
Un supuesto aviso de paquetería, una fotomulta o una devolución del SAT pendiente. Te piden pagar una cantidad pequeña con tarjeta para “liberar” el trámite. El cargo chico no es el objetivo: lo que buscan son los datos completos de tu tarjeta.
Robo de tu cuenta de WhatsApp con un código
Alguien te escribe, a veces desde el número de un conocido, y te pide “por error” el código de 6 dígitos que te acaba de llegar por SMS. Ese código es el que WhatsApp envía para activar tu cuenta en otro teléfono. Si lo compartes, pierdes el control de tu WhatsApp y los delincuentes lo usan para pedir dinero prestado a tus contactos en tu nombre.
App falsa o acceso remoto al celular
Esta es la modalidad más reciente. El 10 de septiembre de 2026, Condusef y la Asociación de Bancos de México (ABM) emitieron una alerta conjunta sobre malware que se instala desde enlaces recibidos por mensaje. Una vez dentro, puede capturar tus claves, interceptar códigos de verificación, mostrar pantallas falsas encima de la app del banco e incluso controlar el teléfono para hacer transferencias.
Una variante frecuente: te piden instalar una app de “soporte” o de control remoto para que un falso ejecutivo “te ayude” a cancelar un cargo. Ninguna institución seria te pedirá eso.
Préstamos y ofertas demasiado buenas
Aquí entran los préstamos aprobados sin revisar Buró de Crédito, los aumentos de línea “preautorizados” y los premios que solo requieren un pago previo. Condusef también reporta que 11 instituciones financieras avisaron en agosto de 2026 que alguien usaba su nombre o logotipo para engañar a usuarios.
| Modalidad | Qué te piden | Señal más clara |
|---|---|---|
| Bloqueo falso | Entrar a un enlace e iniciar sesión | Link que no es el sitio oficial |
| Paquete o multa | Pago pequeño con tarjeta | Cobro inesperado por mensaje |
| Código de WhatsApp | Reenviar 6 dígitos | Nadie legítimo pide ese código |
| App falsa | Instalar algo desde un enlace | Descarga fuera de la tienda oficial |
| Préstamo fácil | Pago por adelantado | Te cobran antes de prestarte |
7 señales para detectar un mensaje fraudulento
- Urgencia o amenaza: “tu cuenta se cancelará hoy”, “último aviso”. Los bancos no resuelven problemas serios con un ultimátum por SMS.
- Te piden datos que el banco nunca pide por mensaje: NIP, contraseña, CVV, token o códigos de verificación.
- El enlace no coincide con el sitio oficial: dominios con letras cambiadas, extensiones raras o acortadores de links. Ante la duda, no lo abras.
- Número desconocido o de otro país: tu banco usa canales oficiales identificables, no un WhatsApp personal con foto de logotipo.
- Te piden instalar algo: una app, un archivo o una herramienta de acceso remoto. Solo descarga apps desde Google Play o App Store.
- Errores y tono extraño: faltas de ortografía, saludos genéricos (“Estimado cliente”) o un trato demasiado informal.
- Un código que no solicitaste: si te llega un código de verificación sin que hayas hecho ningún trámite, alguien lo está intentando usar. No lo compartas con nadie.
La regla que resume todas: si el mensaje llegó a ti, no respondas por ese mismo canal. Busca tú el contacto oficial del banco y verifica desde ahí.
Entérate más: Qué hacer si tu tarjeta fue clonada: pasos inmediatos y plazos de reclamo
Qué hacer si ya diste clic o compartiste un dato
Caer en uno de estos mensajes le pasa a personas de todas las edades y niveles de estudio. Lo importante es actuar rápido, porque cada minuto cuenta.
- Detén cualquier operación en curso: si estabas en medio de una transferencia o un pago, no la concluyas.
- Desconecta el celular de internet: es la recomendación de Condusef y la ABM si sospechas que instalaste algo malicioso.
- Llama a tu banco por sus canales oficiales: usa el número al reverso de tu tarjeta y pide el bloqueo inmediato de tarjetas y accesos.
- Cambia tus contraseñas desde otro dispositivo seguro: banca en línea, correo y cualquier servicio donde repitas la misma clave.
- Recupera tu WhatsApp: reinstala la app, vuelve a registrar tu número y activa la verificación en dos pasos en Ajustes. Avisa a tus contactos que no atiendan pedidos de dinero.
- Presenta tu reclamación por escrito y guarda el folio: si ya hay cargos, tienes 90 días naturales desde el movimiento para reclamar ante el banco. Si su respuesta no te convence, acude a Condusef al 800 999 8080.
Por qué prevenir pesa más que reclamar
Esto es lo que casi nadie te explica. Cuando un fraude se hace con tus propias claves, tu token o un código que tú compartiste, el banco puede argumentar que la operación fue autorizada con tus credenciales y negarse a devolverte el dinero.
La alerta de Condusef y la ABM va en la misma línea: el malware opera usando credenciales legítimas, y eso dificulta que el banco identifique de inmediato que la operación es fraudulenta. El reclamo sigue siendo tu derecho, pero el resultado no está garantizado.
Por eso los hábitos preventivos valen más que cualquier trámite posterior:
- Activa las alertas de movimientos en tu app para enterarte de cualquier cargo en tiempo real.
- Mantén actualizados el sistema operativo del celular, el navegador y la app del banco.
- Revisa monto, beneficiario y cuenta destino antes de autorizar cualquier transferencia.
- Activa la verificación en dos pasos en WhatsApp y en tu correo electrónico.
- Consulta tus movimientos solo desde la app oficial, nunca desde un enlace que te llegó por mensaje.
Hoy mismo dedica 10 minutos a revisar tu celular: activa las alertas del banco, pon la verificación en dos pasos en WhatsApp y borra cualquier app que no recuerdes haber instalado. Es la forma más barata de proteger tu dinero.
Entérate más: Qué pasa realmente cuando disputas un cargo no reconocido en tu tarjeta
