Un mensaje de un amigo o de un hijo pide una transferencia urgente: ha superado el límite del banco, mañana lo devuelve. El remitente parece de confianza, pero no lo es. El Instituto Nacional de Ciberseguridad (INCIBE) ha emitido un aviso de importancia alta tras detectar una oleada de consultas de usuarios cuyos contactos reciben mensajes de WhatsApp que ellos nunca han escrito. Los mensajes reclaman dinero por una supuesta urgencia —980 y 970 euros en los ejemplos recogidos— e indican la cuenta donde pagar. Lo más desconcertante: el titular sigue teniendo acceso a su WhatsApp y los mensajes no aparecen en su historial.
Según INCIBE, en los casos atendidos predominan los iPhone con versiones anteriores a iOS 18, aunque también se han registrado con iOS 26 en versiones previas a la 26.7.
El aviso llega en pleno cambio de reglas para la banca. El Tribunal de Justicia de la Unión Europea (TJUE), en su sentencia del 15 de octubre (asunto C-70/25), resolvió el caso de una mujer polaca que perdió unos 700 euros tras pinchar un enlace falso. El tribunal establece que las entidades deben devolver las operaciones no autorizadas como máximo al final del día hábil siguiente a la notificación del cliente, aunque consideren que actuó con negligencia grave. Solo después, y con pruebas, podrán reclamarle el importe.
La diferencia clave: quién dio la orden de pago
No todas las víctimas están en la misma posición, y ese es el matiz que muchos afectados desconocen.
“Si un delincuente entra en tu banca online y te vacía la cuenta, es una operación no autorizada y el banco tiene que devolverte el dinero de inmediato, aunque alegue que fuiste descuidado. Pero quien recibe un WhatsApp de un supuesto familiar y hace él mismo la transferencia ha autorizado esa orden. La sentencia no le ampara de la misma manera; por eso la prevención y la rapidez lo son todo”, explica José Montero, director de Montero de Cisneros Abogados y fundador de Defensa Contra Fondos.
En la estafa de WhatsApp, la víctima económica no suele ser el titular de la cuenta suplantada, sino el amigo o familiar que paga, use el teléfono que use. Para él, la vía es avisar al banco de inmediato para intentar frenar o recuperar la transferencia —algo que, como recuerda INCIBE, no está garantizado— y denunciar.
“La ventana es de horas. Una transferencia inmediata puede salir de la cuenta del estafador en minutos. Quien llama a su banco esa misma tarde tiene opciones; quien espera al lunes, casi ninguna”, advierte Montero.
Hay además una barrera reciente que conviene no ignorar. Desde octubre de 2025, los bancos de la zona euro están obligados a comprobar, antes de ejecutar una transferencia, si el nombre del beneficiario coincide con el titular del IBAN. “Si la app de tu banco te avisa de que el nombre no coincide, detente: esa alerta es la última oportunidad de no perder el dinero. Y si el banco no hizo esa comprobación o no avisó de la discrepancia, el afectado puede tener base para reclamarle”, añade el abogado.
Una ola de fraude que no afloja
Según el Informe sobre la Cibercriminalidad en España 2025 del Ministerio del Interior, el año pasado se registraron 429.677 fraudes informáticos, casi nueve de cada diez ciberdelitos conocidos por las fuerzas de seguridad. En el primer semestre de 2026, las estafas informáticas sumaron 214.621 infracciones penales, el 87,3% de toda la cibercriminalidad, con un perfil de víctima concentrado entre los 51 y los 65 años.
“Detrás de cada una de esas cifras hay alguien que ha visto cómo desaparecía su dinero en minutos y que, en muchos casos, se ha encontrado después con un ‘no’ de su banco por respuesta”, señala Montero.
Seis claves para protegerse y reclamar
- Blindar la cuenta de WhatsApp: actualizar iOS y WhatsApp (con copia de seguridad previa), activar la verificación en dos pasos con PIN y correo de recuperación, y cerrar los dispositivos vinculados que no se reconozcan.
- Comprobar antes de pagar: ante cualquier petición de dinero, llamar a esa persona por teléfono, nunca responder en el mismo chat, y desconfiar de las prisas.
- Si ya ha pagado, llamar al banco en el momento por sus canales oficiales, guardar mensajes y justificante y denunciar ante la Policía Nacional, la Guardia Civil o la policía autonómica.
- Si le han vaciado la cuenta sin dar la orden, exigir la devolución en un día hábil citando la sentencia del TJUE (C-70/25) y el artículo 45 del Real Decreto-ley 19/2018.
- Si el banco no devuelve en plazo, reclamar ante su servicio de atención al cliente y, después, ante el Banco de España o por la vía judicial.
- Pedir ayuda: la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, es gratuita y confidencial.
“A quien su banco le haya denegado una devolución en los últimos meses alegando negligencia, le recomendaría revisar su caso. Esta sentencia cambia el punto de partida de la negociación”, concluye José Montero.
Más información
Gustavo Egusquiza · Comunicación Montero de Cisneros Abogados
- 674 959 421 · gustavoegusquizaprensa@gmail.com
José Montero, disponible para entrevistas en radio, televisión, prensa y podcast.
