La alerta corre de boca en boca: una estafa veloz, silenciosa y quirúrgica está vaciando cuentas en apps de pago y monederos digitales. Los delincuentes combinan ingeniería social con accesos “legítimos” para extraer el dinero sin disparar alarmas. Lo más inquietante: muchas víctimas no ven nada raro hasta que ya es tarde. La buena noticia es que un único cambio en la configuración puede frenarla en seco.
Cómo opera el engaño
Los atacantes inician con un mensaje persuasivo: un chat de “soporte”, un correo de “actualización de seguridad” o una notificación que exige “verificar la cuenta”. El objetivo es conseguir el usuario y la contraseña, o empujar a la víctima a aprobar un acceso en un dispositivo nuevo.
Una vez dentro, configuran su propio teléfono como equipo confiable, cambian datos de recuperación y ajustan límites de transferencia. Con eso listo, vacían la billetera en minutos a destinos que ya tienen preparados.
“Es una campaña de bajo ruido y de alta eficiencia: priorizan tomar control de la sesión antes que forzar transferencias visibles”, explica un analista de ciberseguridad que siguió varios casos recientes.
El detalle técnico que la vuelve peligrosa
El truco clave es evitar el bloqueo de segundo factor cuando depende de SMS. Al capturar el código por reenvío, malware o suplantación de SIM, la barrera cae. Y si la app permite “recordar este dispositivo” sin verificación fuerte, el criminal queda dentro por días.
En algunos casos, los atacantes explotan las aprobaciones push: envían ráfagas de solicitudes esperando que alguien canse y toque “Aceptar” por inercia. “El bombardeo de notificaciones funciona porque la gente asume que es un error del sistema”, relata “María G.”, una afectada que perdió el acceso por varias horas.
El ajuste que corta la estafa
El freno más efectivo es cambiar el segundo factor de verificación de SMS a una aplicación autenticadora (por ejemplo, un generador de códigos TOTP), y exigir aprobación biométrica para iniciar sesión y confirmar transferencias.
“Activar 2FA con app autenticadora reduce de forma drástica el ataque: el código ya no viaja por canales frágiles, y la huella o el rostro sellan cada movimiento”, resume un especialista en fraude digital de una firma regional.
- Activa 2FA con una app de códigos (no SMS), obliga biometría para acceder y transferir, y deshabilita “recordar este dispositivo” en equipos que no controles de cerca.
Señales de alarma que no debes ignorar
Si recibes un pedido de verificación fuera de hora, desconfía. Si aparecen solicitudes de aprobación que no iniciaste, es una alerta roja. Si notas un nuevo dispositivo enlazado o un cambio en métodos de recuperación, actúa de inmediato.
“Lo más útil es reaccionar al primer indicio. Un inicio de sesión extraño no se investiga ‘después’: se bloquea ya”, aconseja un investigador de respuestas a incidentes con varios años en banca digital.
Pasos rápidos para blindar tu billetera
Empieza revisando la configuración de seguridad dentro de tu app. Cambia el segundo factor a un autenticador, activa biometría y reduce al mínimo los dispositivos de confianza. Si la aplicación ofrece cerrar todas las sesiones, ejecútalo y vuelve a entrar desde cero.
Aprovecha las alertas en tiempo real por movimientos y establece topes de transferencia más bajos. Quita tarjetas o cuentas de retiro que no uses y limpia las conexiones con servicios externos que ya no necesitas.
Por último, guarda tu frase o claves de recuperación fuera del correo y de la nube sin cifrar. Un atacante con ese dato puede saltarse controles y rehacer tu cuenta desde la base.
Cómo reconocer los cebos más comunes
Los mensajes que urgen “validar la identidad” o “evitar el bloqueo” en menos de 24 horas suelen ser trampas. Enlaces con dominios parecidos, pero no idénticos, redirigen a páginas que clonan el diseño de tu billetera. También circulan números de WhatsApp que se hacen pasar por agentes y piden capturas de tu pantalla.
Una regla de oro: el soporte legítimo nunca pide tu contraseña, tus códigos ni que aceptes un acceso entrante para “verificar la cuenta”. Si lo hacen, es fraude.
Qué hacer si ya caíste
Si aprobaste algo que no reconoces, corta el acceso: cierra todas las sesiones, cambia la contraseña y migra el 2FA a una app autenticadora. Revisa dispositivos vinculados, borra los que no conozcas y reporta el incidente al soporte desde el canal oficial.
Contacta a tu banco o emisor de tarjeta para bloquear retiros no autorizados y registra la denuncia. Guarda correos, IPs y pantallas: esa evidencia acelera la respuesta y ayuda a otros usuarios.
La estafa prospera porque explota hábitos cómodos y fallas de atención. Cambiar un solo ajuste, reforzar el hábito de desconfiar y mantener la biometría activa te coloca otra vez en ventaja. Y recuerda: lo que no apruebas tú, no debe moverse de tu billetera.
