Phishing por SMS a clientes de BBVA: campaña masiva para robar credenciales

Recientemente, muchos usuarios han recibido mensajes SMS supuestamente enviados por BBVA que informan de un “acceso indebido” o del bloqueo de su cuenta para instarles a reactivarla mediante un enlace o número de teléfono. Pero atención: se trata de un caso de phishing —una estafa que suplanta entidades legítimas buscando robar datos o conseguir dinero—. La propia entidad financiera lo ha confirmado como fraudulento, por lo que conviene extremar la precaución.

‍

_{¿Qué contiene el mensaje fraudulento?}

• El SMS alerta de un “acceso indebido desde un dispositivo no reconocido” o del bloqueo o eliminación de la cuenta, intentando presionar al usuario.
  
• Incluye un enlace o un número de teléfono con prefijo español +34 para que el receptor “reactive” su cuenta o se ponga en contacto si no reconoce el supuesto acceso.
  
• El remitente se presenta como BBVA, pero la URL no pertenece al dominio oficial del banco. Un análisis con herramientas de seguridad calificó esa web como “phishing”.

‍

_{Por qué sabemos que es un fraude}

• BBVA ha comunicado a medios de verificación que no envía jamás SMS ni correos con enlaces o teléfonos de contacto para alertar de supuestos accesos indebidos o reactivar cuentas.
• Los mensajes incluyen errores de ortografía, tono alarmista y urgencia injustificada — características típicas de campañas de phishing.
  
• Las páginas engañosas han sido analizadas por servicios de detección de malware y phishing, confirmando su peligrosidad.

‍

_{Cómo operan estas campañas de phishing financiero}

Los ciberdelincuentes que suplantan a entidades bancarias como BBVA utilizan infraestructuras cada vez más sofisticadas para multiplicar el alcance de sus ataques. Suelen registrar dominios que imitan a los originales, emplean pasarelas de envío masivo de SMS y replican con precisión las interfaces de acceso a banca online. El objetivo no es únicamente robar credenciales: en muchos casos buscan obtener códigos de verificación, segundas claves o información suficiente para iniciar transferencias fraudulentas en cuestión de minutos.

‍

_{Qué hacer si recibes uno de estos SMS}

• No pulses ningún enlace ni llames al número que aparece en el mensaje.
• Verifica siempre desde canales oficiales —la app del banco o su página web escribiendo la URL manualmente.
• Si ya has accedido al enlace o compartido datos, contacta con tu banco de inmediato y revisa tu cuenta para detectar movimientos extraños.
• Activa siempre medidas de seguridad adicionales como autenticación de doble factor (2FA) y mantén tu sistema actualizado.

‍

_{Protege tu banca ante el phishing}

Si quieres blindar tu seguridad digital, mantener tus datos a salvo y detectar intentos de suplantación antes de que causen daño, en Apolo Cybersecurity podemos ayudarte. Auditorías, formación y estrategias proactivas son la mejor defensa. No esperes a que los ciberdelincuentes activen el siguiente ataque — refuerza tu seguridad hoy.