Si el teléfono celular muestra un número que usted reconoce como perteneciente al banco, esto no es suficiente para concluir que la llamada es genuina. Los estafadores pueden enmascarar el origen de la llamada, técnica conocida como spoofing, y hacer que en pantalla aparezca un número oficial o similar al de la institución. La forma más segura de decidir es no basarse en una única señal, sino combinar el tipo de identificación que aparece en la pantalla con lo que la persona pide durante la conversación.
La regla general es simple: un número común en la pantalla es sólo una pista. Un sello de autenticación, cuando está disponible, es una indicación más sólida del origen. Aun así, ninguna identificación en pantalla debería llevarle a proporcionar una contraseña, token, código de seguridad, instalar una aplicación o mover dinero para “resolver” un problema. Cuando surja una solicitud de este tipo, finalice el contacto y comuníquese con el banco a través de un canal que usted mismo haya iniciado.
El número que aparece en la pantalla por sí solo no prueba el origen
El diagnóstico de ENCCLA sobre estafas de intercambio falso describe la suplantación de identidad telefónica como una técnica utilizada para enmascarar el origen de la llamada y hacer que aparezca un número confiable en el identificador, incluido el de una institución financiera. Febraban también advierte, en una guía publicada en julio de 2026, que los delincuentes simulan números bancarios oficiales para dar credibilidad al enfoque.
Esto cambia la pregunta que debes hacer. En lugar de “¿el número es del banco?”, piense “¿la llamada está autenticada o solo se muestra un número?”. Si es solo el identificador tradicional, incluso si el número es idéntico al que aparece en el sitio web o en el reverso de la tarjeta, trata la llamada como no verificada.
El estafador también puede conocer su nombre, agencia, parte de la tarjeta, CPF o detalles de compra. El diagnóstico de la ENCCLA señala que estos enfoques pueden utilizar información personal obtenida previamente para hacer más convincente la conversación. Por lo tanto, el conocimiento sobre uno mismo tampoco funciona como prueba de legitimidad.
Qué significa realmente “Número validado”
Anatel mantiene un sistema de autenticación e identificación de llamadas en Brasil basado en protocolos como STIR/SHAKEN y RCD. En una llamada autenticada, los operadores verifican el origen y pueden entregar datos enriquecidos al celular, como nombre de la empresa, número, sello visual, logo y motivo de contacto. Dependiendo del dispositivo, puede aparecer el texto “Número validado”.
Este sello es diferente del simple identificador de llamadas. Según Anatel, indica que el origen de la llamada fue verificado por los operadores involucrados en el tráfico y que el número mostrado fue efectivamente utilizado para originar la llamada. En la práctica, esto reduce precisamente el problema de que un delincuente falsifique el número y se haga pasar por el banco que aparece en la pantalla.
Pero el sello no transforma la llamada en autorización para ignorar las reglas básicas de seguridad. Autenticar el origen le ayuda a saber de dónde procede la llamada; no cambia el hecho de que una contraseña, un token, una transferencia a una “cuenta segura” o la instalación de una aplicación son solicitudes que son incompatibles con las pautas antifraude de la industria. Si el contenido de la conversación contradice estas reglas, finalice el contacto y valide por otro canal.
La apariencia también varía. Anatel informa que la identificación depende de la compatibilidad del smartphone, red 4G o 5G, VoLTE, sistema actualizado y soporte de red de voz. Algunos dispositivos muestran más elementos que otros.
Ningún sello también puede ser una conexión legítima
Tú puedes. La propia Anatel afirma que la autenticación y la identificación se están implementando progresivamente. Por lo tanto, las llamadas legítimas aún pueden llegar sin sello, sin logo o sin la expresión “Número Validado”. La ausencia de estos elementos no es prueba automática de fraude.
Este punto evita el error opuesto: pensar que toda conexión sin autenticación debe descartarse como falsa. Lo que cambia es el nivel de confianza. Sin precinto no tienes confirmación técnica del origen y debes depender aún más del segundo filtro: qué te piden y si puedes validar la situación por un canal independiente.
El segundo filtro: lo que piden
Febraban informa que los bancos pueden contactarlo para confirmar transacciones sospechosas. Esto significa que una llamada sobre una compra no estándar, por ejemplo, no es automáticamente una estafa. La cuenca es el trámite requerido al cliente.
El banco puede confirmar una transacción
Un contacto legítimo puede tener como objetivo averiguar si usted reconoce una determinada compra o movimiento. El Banco do Brasil, en su propia guía, pone como ejemplo una simple confirmación de “sí” o “no” para saber si la operación fue realizada por el cliente. El formato exacto varía según la institución, pero la idea es que la confirmación no dependa de que usted revele sus credenciales o ejecute una nueva transacción.
Si no se siente cómodo ni siquiera con esta confirmación, no es necesario resolver todo durante la llamada entrante. Puedes desconectarte y consultar por tu cuenta la solicitud, la tarjeta o el centro oficial del banco.
La contraseña, el token y los códigos quedan fuera de la conexión
En los lineamientos de Febraban, los bancos no deben llamar pidiendo contraseña, token, claves de seguridad, datos personales o financieros para resolver una sospecha. Itaú y Banco do Brasil publican directrices en el mismo sentido en sus canales de seguridad.
Existe una diferencia importante entre una llamada iniciada por el banco y un servicio iniciado por usted. Cuando se busca la institución a través de un canal oficial, pueden existir pasos específicos de autenticación en la aplicación, en la URA o en atención al cliente. Sin embargo, esto no justifica entregar credenciales a alguien que lo llamó inesperadamente. Si el supuesto asistente dice que necesita “validar su identidad” con una contraseña, token o código, finalice la llamada y reanude el contacto a través del canal oficial.
“Cuenta segura”, foto y reembolso por teléfono
El falso centro suele convertir una amenaza inventada en una acción urgente. El guión podría decir que su cuenta ha sido pirateada, que un empleado está bajo investigación o que su dinero debe transferirse a una "cuenta segura". ENCCLA y Febraban describen estas variaciones como parte de la estafa.
Los bancos no recomiendan a los clientes, en una llamada entrante, que transfieran fondos para proteger su saldo. Tampoco solicitan Pix de prueba, pago, reversión manual o movimiento para cancelar una operación sospechosa. Si la solución propuesta a un fraude requiere que usted mueva dinero, deténgase inmediatamente.
Solicitud y acceso remoto: finalizar contacto
Otra versión común es la del falso técnico. El encargado dice que necesita revisar su celular, hacer un escaneo, actualizar un módulo de seguridad o acceder a la cuenta de forma remota. ENCCLA documenta el uso de programas legítimos de acceso remoto en estas estafas, y Febraban advierte que los bancos no solicitan la instalación o actualización de aplicaciones durante el abordaje.
No instale una aplicación recomendada por la persona que llama, no comparta su pantalla y no otorgue permiso de acceso remoto. Incluso si la aplicación existe en una tienda oficial, la herramienta puede ser legítima y el uso solicitado por el estafador puede no serlo.
Cómo validar sin depender de la llamada recibida
No es necesario “desenmascarar” a la persona del otro lado ni demostrar que es un estafador. El procedimiento más seguro es reducir la dependencia de esa llamada.
Apagar. Luego, abra la aplicación bancaria usando el ícono que ya está en su dispositivo o ingrese usted mismo la dirección oficial de la institución. Si prefieres llamar, utiliza el número impreso en la tarjeta o publicado en la aplicación y en el sitio web oficial. No utilice un número de teléfono enviado por SMS, WhatsApp, correo electrónico o por el propio asistente para “continuar el caso”.
Al reabrir el contacto, describa lo que sucedió sin asumir que la primera llamada fue genuina. Digamos que recibió un contacto sobre una determinada compra, acceso o movimiento y desea verificar si hay alguna alerta real en la cuenta. De esta manera, la nueva conversación comienza en un canal cuyo origen hayas elegido tú.
Si la primera llamada tenía un sello de autenticación, aún puedes seguir el mismo procedimiento. El sello aumenta la confianza en su origen, pero aún tienes derecho a interrumpir la conversación y confirmar la solicitud a través de otro canal, especialmente si algo parece fuera de lugar.
Cuatro escenarios comunes
“Detectamos una compra sospechosa”
Esta es una razón plausible para que un banco se ponga en contacto. La respuesta segura es confirmar el reconocimiento de la operación sólo si se siente cómodo, sin proporcionar credenciales. Si se le solicita una contraseña, un token, un número de tarjeta completo, un código de seguridad, una foto o la instalación de una aplicación, deténgase. Luego, consulta la transacción en la app o busca el centro oficial.
“Enviar a una cuenta segura”
Finalizar la llamada. Febraban es explícito al decir que los bancos no solicitan transferencias para resolver problemas de cuentas. La idea de “proteger” el dinero transfiriéndolo a una cuenta indicada por el encargado es un patrón clásico del falso intercambio.
“Desliza el token para cancelar”
No ingrese ni ingrese códigos bajo la dirección de la persona que llama. Existen tokens, claves y códigos temporales para autorizar acciones sensibles. Un estafador puede intentar hacerte confirmar, sin darte cuenta, la transacción que quiere ejecutar.
“Instalar esta aplicación”
No instalar. El falso centro puede utilizar aplicaciones de acceso remoto para tomar el control del dispositivo, monitorizar lo que aparece en pantalla y realizar operaciones. Cuelga y habla con el banco en otro dispositivo o a través de un canal oficial si tienes alguna sospecha de que tu celular ha sido vulnerado.
Si ya has proporcionado datos o movido dinero
Si notaste la estafa después de compartir datos, instalar una aplicación o realizar una transferencia, la prioridad cambia de verificación a contención. Contacta con el banco lo antes posible a través de un canal oficial e infórmales exactamente qué se proporcionó y qué operaciones se realizaron. Febraban aconseja notificar inmediatamente a la institución para permitir medidas de seguridad adicionales, como bloqueo de acceso o credenciales.
Si hubo una transferencia vía Pix relacionada con fraude, solicita a tu banco que la impugne utilizando los mecanismos disponibles para fraude. El Banco Central mantiene el Mecanismo Especial de Devolución, el MED, para casos de sospecha fundada de fraude con Pix. La activación rápida aumenta la posibilidad de que se bloqueen los recursos, pero no debe entenderse como una garantía de recuperación total del valor.
Si ha instalado una aplicación de acceso remoto, no continúe operando la cuenta en el mismo entorno hasta que evalúe el riesgo. Interrumpa el acceso a Internet del dispositivo si es necesario, comuníquese con su banco para obtener otro dispositivo confiable y considere realizar una verificación técnica antes de volver a usar su teléfono celular para transacciones financieras.
También se recomienda registrar un informe policial cuando exista fraude o pérdida real, conservando recibos, números utilizados, horarios, mensajes, recibos y datos de transacciones. Estos registros ayudan tanto a la institución financiera como a cualquier investigación.
La decisión en 30 segundos
Si solo aparece el número del banco, no lo trate como prueba: la suplantación de identidad puede reproducir el identificador. Si aparece un sello de autenticación o un “Número validado”, considérelo una señal técnica de origen más fuerte, recordando que la tecnología aún no aparece en todas las llamadas y dispositivos.
Luego ignore el nombre en la pantalla por un momento y observe el orden. Confirmar que reconoce una transacción puede ser parte de un contacto legítimo. Proporcionar una contraseña, token, código, datos personales, crear Pix, transferir a una "cuenta segura", realizar una devolución de cargo, instalar una aplicación u otorgar acceso remoto no debe ser parte de la solución para una llamada entrante.
Cuando alguna pieza no encaja, la solución más segura es no seguir investigando con el propio encargado. Cuelgue y vuelva a abrir el contacto a través de la aplicación, número de tarjeta o sitio web oficial al que accedió por su cuenta. Este paso rompe la principal ventaja del falso centro: controlar la historia, el canal y la urgencia al mismo tiempo.
