Seguridad de la banca en línea: lista para terminar hoy

7 de noviembre de 2026 · PlayCISO

El núcleo de la seguridad de la banca en línea es una contraseña única, el segundo factor más robusto que ofrezca tu banco, alertas que de verdad veas y el hábito de no actuar nunca ante una llamada o un mensaje inesperados. Si alguien te contacta diciendo ser tu banco, cuelga y contacta tú mismo con el banco, en el número de tu tarjeta o a través de su app oficial. Las secciones siguientes te guían por la configuración, las estafas que cabe esperar y qué hacer en la primera hora si sale dinero de tu cuenta. No nombramos ni favorecemos a ningún banco: los menús y las funciones difieren, así que consulta las páginas de ayuda de tu propio banco.

Primero, un límite honesto. Lo que te protege después de una pérdida, como si un banco reembolsa un pago que te engañaron para hacer, difiere entre países, bancos y tipos de pago. Nadie puede prometerlo desde un artículo de blog. Al final señalamos a los reguladores para que compruebes tu propia situación.

Haz esto ya: la configuración de 15 minutos

Dale al banco su propia contraseña. Que sea larga y única, y guárdala en un gestor de contraseñas. El FBI aconseja contraseñas robustas y únicas, y dice a las víctimas que restablezcan cualquier otra cuenta en la que se reutilizó una contraseña comprometida. Nuestra herramienta Password Strength te permite probar una candidata.
Activa el segundo factor más robusto que ofrezca tu banco. El FBI dice que actives la autenticación multifactor siempre que se ofrezca y que no la desactives nunca. Si tu banco admite una passkey o aprobación mediante una app, prefiérela a un código por SMS; prueba el Passkey Lab para ver la diferencia. Qué métodos existen depende del banco.
Activa las alertas en tiempo real de pagos, nuevos beneficiarios, inicios de sesión y cambios en tus datos de contacto, entregadas donde las veas primero, normalmente la app.
Guarda en marcadores la web de tu banco e instala la app solo desde la tienda oficial de tu teléfono, accediendo desde el propio sitio del banco. El FBI recomienda los marcadores porque la autenticación multifactor no ayuda si escribes tus datos en una página de inicio de sesión falsa.
Mira los controles de la tarjeta. Muchos bancos te permiten bloquear una tarjeta, fijar límites y bloquear ciertos pagos. Fija límites acordes con tu gasto real, para que una tarjeta robada o una transferencia engañosa tenga un tope.
Guarda el número de teléfono real de tu banco, el del reverso de tu tarjeta, en tus contactos, para poder llamarlo cuando algo parezca raro.

Cómo reconocer una estafa

La llamada del "equipo antifraude" y la cuenta segura

La estafa clásica de suplantación de un banco es una llamada, a menudo con un identificador de llamada que parece correcto, que dice que salen pagos sospechosos de tu cuenta y que debes mover tu dinero a una cuenta "segura" ya. Scamwatch enumera justo esto: peticiones de descargar software, mover dinero a una "cuenta segura" o entregar efectivo a un mensajero. Dice que los bancos nunca te pedirían nada de eso y que los estafadores pueden conocer ya algunos de tus datos. El FBI añade que no confíes en el identificador de llamada; termina la llamada, encuentra tú mismo el número real y llama a ese. Take Five, la campaña del Reino Unido liderada por UK Finance, lo resume en parar, cuestionar y proteger: solo los delincuentes intentarán apresurarte o asustarte.

No leas nunca en voz alta un código, un PIN o una contraseña

El FBI dice que las empresas legítimas en general no te pedirán tu nombre de usuario, contraseña ni código de un solo uso. Scamwatch enumera las peticiones de una contraseña de un solo uso o de un PIN de seguridad como señales de alerta aunque quien llama conozca algunos de tus datos. Un código es el último paso de un inicio de sesión o un pago. Entregarlo le da al estafador la línea de meta.

SMS, correos y enlaces

La FTC dice que los estafadores suelen hacerse pasar por bancos con afirmaciones de actividad sospechosa, problemas en la cuenta o un enlace para confirmar datos, y que un correo de phishing puede usar el logotipo de una empresa real. Scamwatch advierte de que los mensajes falsos pueden aparecer en el mismo hilo que los genuinos. Si tienes una cuenta, no uses los datos de contacto del mensaje: contacta con la empresa a través de un número o un sitio web que sepas que es genuino. En EE. UU. puedes reenviar los SMS de estafa al 7726 (SPAM) y denunciar en ReportFraud.ftc.gov, según la FTC.

Apps y sitios falsos

La alerta del FBI de noviembre de 2025 sobre la toma de control de cuentas describe a delincuentes que suplantan a entidades financieras, y aconseja evitar los resultados de búsqueda o los anuncios para llegar a los sitios de banca. Usa el marcador o escribe tú mismo la dirección. Trata cualquier petición de instalar una app de "seguridad" o de "ayuda" como una señal de alerta, ya que Scamwatch enumera descargar software como algo que los bancos nunca pedirían.

Estafas de pago autorizado (authorised push payment)

En estas estafas envías el dinero tú mismo: un "casero" con nuevos datos bancarios, una factura de un "proveedor", un amigo cuya cuenta ha sido tomada. Como autorizaste el pago, es más difícil revertirlo. Frena, comprueba los datos a través de un contacto en el que ya confíes y trata la urgencia como una advertencia. Que puedas reclamar el dinero depende de tu país y de tu banco, así que compruébalo antes de dar nada por supuesto.

Equilibrios que valorar

Passkeys y aprobaciones en la app frente a códigos por SMS: en general son más robustos, pero no todos los bancos los ofrecen, y necesitas un plan de recuperación si pierdes el teléfono.
Límites bajos frente a comodidad: un límite bajo acota las pérdidas, pero si lo desactivas continuamente no te protege.
Alertas frente a ruido: si hay demasiadas alertas se ignoran. Quédate con las de movimientos de dinero, nuevos beneficiarios, inicios de sesión y cambios de datos de contacto.
Wi-Fi público: los datos móviles o esperar cuestan un poco de datos o de tiempo. Las redes abiertas se comparten y pueden ser imitadas, así que usa la app oficial y no ignores nunca una advertencia de seguridad.
Congelaciones: una congelación de crédito, gratuita en EE. UU. según la FTC, impide nuevo crédito a tu nombre pero hay que levantarla cuando solicitas crédito.

Si se produce una transferencia fraudulenta: la primera hora

Llama a tu banco de inmediato al número de tu tarjeta o de su app oficial. El FBI dice que pidas la anulación o reversión de las transferencias, y que actuar con rapidez puede reducir o eliminar las pérdidas. Scamwatch dice que pidas a tu banco que detenga cualquier transacción.
Cambia tus credenciales: el acceso al banco, tu correo y cualquier cuenta que compartiera la contraseña. Elimina cualquier software que te dijeron que instalaras; Scamwatch aconseja que lo haga un técnico cualificado.
Denúncialo. EE. UU.: el Centro de Quejas de Delitos en Internet del FBI (ic3.gov) y ReportFraud.ftc.gov. Reino Unido: tu banco y luego la policía en reportfraud.police.uk, como aconseja Take Five. Australia: Scamwatch y ayuda gratuita de IDCARE.
Considera una congelación de crédito si se compartieron datos personales. La FTC dice que una congelación impide que nadie abra crédito nuevo a tu nombre, es gratuita, no afecta a tu puntuación de crédito y se puede levantar cuando necesites crédito. Contactas con cada una de las tres agencias de crédito de EE. UU. La FTC remite a IdentityTheft.gov para la información personal expuesta.
Ignora a los "agentes de recuperación". El FBI advierte de que IC3 nunca te pedirá un pago para recuperar fondos perdidos.
Guarda registros: capturas de pantalla, fechas, números de teléfono y números de referencia ayudan al banco y a la policía.

Qué varía según el país

Las normas sobre transacciones no autorizadas, fraude en cuentas bancarias y estafas de pago se fijan a nivel nacional y cambian. En EE. UU., la CFPB gestiona las quejas de consumidores sobre bancos y publica orientación sobre transferencias electrónicas de fondos. En el Reino Unido, los reguladores y organismos de defensa del cliente, como la Financial Conduct Authority y el Financial Ombudsman Service, son los lugares donde comprobarlo. En Australia, consulta Moneysmart de ASIC y la Australian Financial Complaints Authority. Tómalos como puntos de partida, lee las condiciones de tu banco y no des por hecho que ninguna protección se aplica a tu caso.

Prevenirlo la próxima vez: una lista de comprobación

Contraseña única en un gestor, más el segundo factor más robusto disponible.
Alertas activadas y un vistazo a la cuenta cada pocos días.
Solo marcador o app oficial; nunca un enlace de un mensaje o de un anuncio.
Una regla del hogar: nadie mueve dinero a raíz de una llamada entrante.
El número real de tu banco guardado en tu teléfono.
Ayuda a tus familiares mayores a adquirir los mismos hábitos. La Voice Clone Fraud Defense Checklist ayuda a las familias a acordar una forma de verificarse entre sí.
Ensaya la llamada en el Online Banking Security Lab. Para una estafa de suplantación parecida, lee Estafas de Amazon: cómo reconocerlas.

Preguntas frecuentes

¿Cuál es el paso más importante para la seguridad de la banca en línea?

Usa una contraseña larga y única con la autenticación multifactor activada, y no compartas nunca un código ni un PIN con nadie que te contacte. El FBI aconseja contraseñas robustas y únicas y autenticación multifactor siempre que se ofrezca, y dice que no la desactives.

¿Mi banco me pediría alguna vez que mueva dinero a una cuenta segura?

Scamwatch dice que los bancos nunca te pedirían que muevas dinero a una cuenta "segura", que descargues software o que entregues efectivo a un mensajero. Si alguien lo pide, cuelga y contacta con tu banco en un número que encuentres tú mismo.

¿Es seguro usar la banca en una red Wi-Fi pública?

Es más seguro usar los datos móviles del teléfono o esperar. Las redes abiertas se comparten con desconocidos y pueden ser imitadas, así que usa la app oficial y no ignores nunca una advertencia de seguridad. Es una precaución general, no una regla de un solo organismo.

¿Una passkey es mejor que un código por SMS?

Cuando tu banco ofrece passkeys o aprobación mediante una app, en general son más difíciles de interceptar que un código enviado por SMS. Qué opciones existen depende de tu banco, así que consulta sus ajustes de seguridad. Ningún método ayuda si introduces un código en una página falsa, por eso el FBI recomienda también guardar en marcadores el sitio de tu banco.

¿Me reembolsará mi banco si me engañan para que envíe dinero?

Varía según el país, el banco y cómo se hizo el pago, así que nadie puede prometerlo. Contacta con tu banco de inmediato y busca a tu regulador nacional: la CFPB en EE. UU., la Financial Conduct Authority y el Financial Ombudsman Service en el Reino Unido, o la Australian Securities and Investments Commission y la Australian Financial Complaints Authority en Australia.

¿Qué hago primero si sale dinero de mi cuenta?

Llama a tu banco enseguida al número que figura en tu tarjeta o en su app oficial, informa de la transferencia y pide que la anule. El FBI dice que actuar con rapidez puede reducir o eliminar las pérdidas. Después cambia tus credenciales, denuncia el delito y considera congelar tu crédito.

Fuentes

Esta es una guía general, no asesoramiento legal ni financiero. Las funciones, los menús y las protecciones legales de los bancos cambian y difieren según el país; sigue las páginas de ayuda de tu banco y a tu regulador para conocer las normas vigentes.