He metido mi tarjeta en una web falsa: qué hacer ahora.

Meter la tarjeta en una web falsa es urgente, pero no es lo mismo que perder el control. Las páginas de pago falsas suelen imitar una tienda real, una empresa de mensajería o una pasarela de pago, y piden el número de tarjeta, la fecha de caducidad, el CVV, el nombre, la dirección de facturación y, a veces, un código de un solo uso enviado por SMS. Si has introducido alguno de esos datos en una página que ahora sospechas que era falsa, el objetivo es sencillo: reducir al máximo el margen de uso de la tarjeta y conservar pruebas mientras lo haces.

1. Contacta con tu banco inmediatamente

Usa la app oficial de tu banco o el teléfono que aparece al dorso de la tarjeta – nunca un enlace o número que venga del SMS o del correo sospechoso que te llevó hasta la web falsa. Pide que bloqueen la tarjeta o que limiten las operaciones online mientras se investiga. La mayoría de las apps bancarias permiten congelar la tarjeta al instante desde el propio móvil; hazlo primero, y llama después para asegurarte de que queda constancia formal del fraude en tu cuenta.

Si en la misma web falsa también introdujiste las claves de tu banca online, cámbialas cuanto antes, y hazlo desde un dispositivo de confianza, no desde el mismo en el que pudiste haber sido comprometido.

2. Revisa movimientos y operaciones pendientes

Los cargos pendientes suelen aparecer antes de que la operación quede confirmada, no esperes a que un movimiento se "confirme" para reportarlo. Revisa también las autorizaciones y preautorizaciones, no solo los cargos ya liquidados. Anota el importe exacto, el comercio que aparece y la fecha de cada movimiento que no reconozcas, por pequeño que sea; los cargos de prueba de un euro o menos son una forma habitual de comprobar que una tarjeta sigue siendo válida antes de un cargo mayor.

El Banco de España recomienda avisar de inmediato a tu entidad en cuanto detectes un uso fraudulento de la tarjeta: cuanto antes lo comuniques, más margen tiene el banco para bloquear operaciones posteriores y menor es tu responsabilidad sobre los cargos no autorizados.

3. No confirmes códigos SMS ni llamadas posteriores

Es habitual que, tras introducir los datos en una web falsa, llegue una segunda oleada: una llamada o un SMS haciéndose pasar por el "departamento de fraude" de tu banco, pidiéndote que "canceles" una operación leyendo un código que te acaba de llegar. Ese código es, casi siempre, el que autorizaría una transferencia real o el alta de la tarjeta en un monedero digital ajeno.

Ningún departamento de fraude legítimo necesita que le leas un código para cancelar nada. Cuelga, y llama tú mismo al número oficial de tu banco. Nunca compartas códigos de un solo uso, el PIN ni tus contraseñas por teléfono, por SMS ni por correo, sea quien sea quien lo pida.

4. Guarda todas las pruebas

Las webs falsas suelen darse de baja rápido, a veces en cuestión de horas. Antes de que desaparezca, guarda:

• La URL completa, copiada de la barra de direcciones, no escrita de memoria
• Capturas de pantalla de la página, especialmente del formulario de pago
• El SMS o correo que te llevó hasta allí, con el remitente o número de origen
• La fecha y hora de la visita, y qué datos llegaste a introducir exactamente
• Cualquier cargo o intento de cargo relacionado, con capturas del extracto

5. Reporta la web fraudulenta

Reporta la web a INCIBE a través de su canal de ayuda ante fraude, en incibe.es/ciudadania/ayuda/reporte-de-fraude. Es el punto de entrada del Instituto Nacional de Ciberseguridad para que la ciudadanía reporte fraudes y webs fraudulentas, y ayuda a que se investigue y se dé de baja la infraestructura detrás del engaño.

Repórtala también a Google Safe Browsing y a Microsoft, para que la marquen como peligrosa en Chrome y en Edge y protejan a quien haga clic en el mismo enlace después de ti. Si la web suplantaba a una marca o entidad concreta (un banco, una tienda, una empresa de paquetería), repórtala además a esa empresa por su canal oficial de phishing o abuso; casi todas las grandes marcas tienen una dirección o formulario específico para esto.

6. Cambia contraseñas si reutilizaste datos

Si en la web falsa también dejaste tu correo electrónico, una contraseña o tu DNI, cambia esa contraseña en todos los sitios donde la hayas reutilizado, empezando por tu correo principal, que suele ser la vía de recuperación de todo lo demás. Activa la verificación en dos pasos en todo lo que puedas, si todavía no lo has hecho.

7. Vigila intentos de fraude posteriores

Quien ha conseguido datos reales tuyos una vez suele intentarlo de nuevo, usando lo que ya sabe para sonar más creíble la segunda vez: un "reembolso" que pide pagar antes una pequeña cantidad, una "entrega bloqueada" que pide confirmar la dirección, una "alerta de seguridad" con otro enlace urgente. Trata cualquier contacto inesperado relacionado con este incidente con la misma desconfianza que la web original.

Variantes de la web de pago falsa

Saber cómo llegaste hasta allí ayuda a valorar qué se expuso y qué vendrá después. La ruta más común es la falsa tasa de aduanas o de reparto: un SMS sobre un paquete retenido, a menudo suplantando a Correos o a una mensajería, lleva a un formulario que pide uno o dos euros: la tasa es el cebo, el formulario de tarjeta es el objetivo. Le sigue de cerca la tienda demasiado barata para ser verdad: un anuncio en redes sociales con un producto de marca a mitad de precio lleva a una tienda impecable que cobra y no envía nada (o envía una baratija para poder rebatir tu reclamación con un número de seguimiento).

Variantes más sutiles: la página de "actualiza tus datos de pago" que imita a una plataforma de streaming tras un supuesto pago fallido; la falsa web de entradas o reservas que aparece en anuncios de buscadores para conciertos, vuelos o alquileres vacacionales; y el clon de una tienda real, copiado hasta en las fotos, colocado justo debajo de la web auténtica en los resultados. En todos los casos, la pista no es el diseño – los kits actuales son idénticos al original – sino el camino de llegada: un mensaje inesperado, un anuncio o un resultado de búsqueda, en lugar de un marcador o una dirección escrita por ti.

Cómo se vive desde dentro: un caso realista

Imagina a Marta, enfermera, comprando regalos desde el móvil entre turnos. Ve un anuncio de una freidora de aire a mitad de precio, entra en una tienda de aspecto impecable y paga en dos minutos: número, caducidad, CVV, dirección. El correo de confirmación nunca llega. Dos días después aparece un cargo de 0,83 € de un comercio desconocido, que ignora como un error. Al día siguiente: 612 € en una tienda de electrónica de otra ciudad, y una llamada del "departamento de fraude" pidiéndole confirmar un código para anular el cargo.

Ese es el momento en que el incidente se gana o se pierde. El cargo pequeño era la prueba; el grande, el robo; la llamada es la segunda oleada, a la caza del código de un solo uso que permitiría dar de alta su tarjeta en un monedero digital y seguir gastando después de cancelar el número. Marta está a punto de leerlo – quien llama sabe su nombre y el importe exacto, porque salieron del mismo formulario falso. En vez de eso cuelga, llama al número del dorso de su tarjeta y el banco confirma que nadie la había llamado. Tarjeta bloqueada, cargos devueltos, y la lección que conviene memorizar: el código que llega a tu móvil es la llave de tu dinero, y ningún banco real te pide leérselo.

Hábitos de prevención para la próxima vez

Con la limpieza inmediata hecha, unos pocos cambios hacen muy improbable una repetición. Usa una tarjeta virtual para las compras online si tu banco la ofrece – muchas entidades españolas generan números de un solo uso o con límite que puedes cancelar sin tocar la tarjeta real. Activa las notificaciones de todos los movimientos, no solo los grandes, para que un cargo de prueba suene en tu móvil al instante en lugar de aparecer días después en el extracto.

Cambia también cómo llegas a las páginas de pago: compra desde marcadores o desde la app de la tienda, no desde anuncios ni resultados de búsqueda, y trata como no verificada cualquier tienda descubierta en un anuncio de redes sociales. Si un precio está muy por debajo del de todos los demás, deja que sea la señal que casi siempre es. Y pon al día a la familia con dos reglas sencillas: nadie introduce nunca una tarjeta en una página abierta desde un SMS, y cualquier llamada del "banco" que pida un código se corta y se devuelve al número del dorso de la tarjeta. Ante la duda, el 017 de INCIBE atiende gratis, y si hubo cargos, la denuncia ante la Policía Nacional o la Guardia Civil refuerza la reclamación al banco.

Preguntas frecuentes