Qué es el spoofing y por qué el móvil te enseña el nombre de tu banco

17 de octubre de 2026

Suena el móvil y en la pantalla aparece el nombre de tu banco, tal como lo guardaste en la agenda el día que abriste la cuenta. Una voz tranquila del «departamento de seguridad» te avisa de unas transferencias que tú no has hecho y, para frenarlas, te pide el código que te acaba de llegar por SMS. El número coincide, el nombre coincide y la prisa parece razonable.

Ese truco se llama spoofing, un término inglés que significa «falsificar», como recuerda el INCIBE (Instituto Nacional de Ciberseguridad). Consiste en disfrazar el remitente de una llamada, un SMS, un correo o una web para hacerse pasar por alguien de confianza. El móvil no comprueba quién llama. Enseña el número que le llega, que en una llamada falsificada ha elegido el estafador, y si ese número está en tu agenda le pone el nombre con el que lo guardaste. La Policía Nacional contó el viernes 16 de octubre de 2026 cómo le sacaron 468.950 euros a una empresa de Albacete con una «llamada enmascarada», y de ellos solo se han recuperado 215.662.

Por qué en la pantalla sale el nombre de tu banco

¿Cómo puede aparecer el número de tu banco en una llamada que no hace tu banco? El número que ves al recibir una llamada viaja dentro de la propia llamada, en un campo que los técnicos llaman CLI (identificación de la línea llamante). La red telefónica tradicional usa un protocolo, el SS7, que no se diseñó para comprobar ese dato, y con la telefonía por internet (VoIP) quien llama puede escribir el número que quiera, como explicaba Xataka Móvil el 23 de agosto de 2026. El INCIBE lo describe en su guía sobre el spoofing telefónico: los estafadores usan programas o servicios en línea que cambian el número de origen, y la víctima ve en la pantalla el nombre o el número de la empresa legítima.

El nombre lo pone tu teléfono. Cuando entra una llamada, busca el número en tus contactos y, si lo encuentra, enseña el nombre que tú le diste, sin forma de saber si la llamada sale del banco o solo lleva su número. Un periodista de Xataka México lo comprobó en 2022 con un experto en ciberseguridad, al que él mismo dio el número de un amigo. El experto le llamó con ese número mientras el amigo estaba en la habitación de al lado, con su móvil sobre el escritorio. En la pantalla salió el nombre del amigo.

Por eso a veces el propio estafador te anima a buscar en Google el número desde el que llama. Coincide, claro, porque es el que ha copiado. Así convenció un falso empleado de ING a una familia que perdió sus ahorros en las navidades de 2023, como contó Genbeta en febrero de 2024. La víctima buscó el número en internet, vio que era el de una sucursal de ING en Madrid y dejó de dudar.

Lo que bloquean las operadoras y lo que se les escapa

Desde el 7 de marzo de 2025, la Orden TDF/149/2025 obliga a las operadoras a bloquear las llamadas que llegan sin número o con un número español que no existe o que la CNMC (Comisión Nacional de los Mercados y la Competencia) no ha asignado a nadie. Desde junio de 2025 tienen que cortar también las que entran desde el extranjero con un número español, salvo que se trate de alguien de viaje con su línea (itinerancia). El Ministerio para la Transformación Digital cifró el 16 de octubre de 2026, en su nota sobre el prefijo 400, en más de 400 millones las llamadas fraudulentas bloqueadas desde 2025, y en cerca de 32 millones los SMS.

La norma no cierra del todo, según Xataka Móvil, la puerta a las llamadas que entran por rutas españolas con números que sí existen. Hay call centers y agregadores que alquilan bloques de numeración a operadoras con red propia y los usan en redes de terceros con menos controles. Para saber si quien entrega una llamada tiene derecho a enseñar el número de tu banco haría falta un sistema de firma y verificación entre operadoras que España todavía no tiene, y que Francia puso en marcha en 2024.

La misma nota del ministerio dice que, desde el sábado 17 de octubre de 2026, las operadoras bloquean las llamadas comerciales que no salgan de un número 400, fijándose en patrones como un volumen muy alto de llamadas. Esa medida va contra el telemarketing, y el prefijo solo identifica a quien quiere venderte algo, un rastro que ningún estafador va a dejar, como explicamos en el artículo del prefijo 400.

Tampoco lo resuelve Soy Yo, la web que estrenó Adigital el 15 de octubre para saber qué empresa ha registrado un número. Te dice de quién es, pero la propia web avisa de que no puede confirmar quién hizo una llamada concreta, porque alguien podría mostrar un número ajeno (lo contamos en el artículo sobre Soy Yo).

Así perdió una empresa de Albacete 468.950 euros

El caso que contó la Policía Nacional el 16 de octubre sigue ese guion. El estafador llamó a la víctima, una empresa de Albacete, se presentó como empleado del servicio de seguridad y antifraude de su banco y le avisó de unas transferencias inusuales y de importe elevado que salían de su cuenta y podían ser una estafa. Para «paralizar y retroceder» esas transferencias, le dijo, necesitaba los códigos que iban llegando al móvil. La víctima se los fue dando, convencida de que protegía su dinero, y lo que hacía en realidad era autorizar las transferencias, hasta sumar 468.950 euros, según la nota policial que recogieron COPE y Europa Press. La Policía lo llama «llamada enmascarada», su nombre para el spoofing. En su nota, define el spoofing como la técnica con la que los estafadores consiguen que en la pantalla aparezcan el nombre o el número real del banco, y no cuenta qué vio en la suya esta empresa.

Después, la Policía mandó requerimientos a los bancos que habían recibido el dinero y consiguió recuperar 215.662 euros, que ya han vuelto a la cuenta de la empresa. Es el 46 % de lo robado. Ninguna de las dos crónicas menciona detenidos ni dice qué banco suplantaron.

Por qué el SMS falso cae en el mismo hilo que los de tu banco

En los mensajes, el disfraz es el nombre del remitente. Muchos SMS de bancos o de Correos llegan firmados con un nombre en lugar de un número, lo que se llama alias. El INCIBE le explicó a Maldita en 2021 que es una función de los servicios de SMS que cambia el número del remitente por un texto de hasta 11 caracteres. Ese texto lo escribe quien envía el mensaje, y durante años nadie comprobaba que quien firmaba como «BBVA» fuera el BBVA, como recordaba Genbeta en 2024.

La aplicación de mensajes de tu móvil agrupa las conversaciones por remitente. Si un SMS falso llega firmado con el mismo alias que tu banco, se coloca en esa conversación, debajo de los avisos auténticos de tus pagos con Bizum o con tarjeta. El INCIBE lo describió así a Maldita: los estafadores daban de alta un alias idéntico al de la entidad y conseguían que el teléfono metiera el mensaje en la conversación legítima. Tampoco podías contestar para comprobarlo, porque un alias informa de quién manda y a él no se puede responder, como lo define la propia Orden TDF/149/2025.

Desde el 15 de septiembre de 2026 eso debería ser mucho más difícil. Las operadoras tienen que bloquear los SMS, MMS y RCS que usan un alias que no está inscrito en el Registro de alias de la CNMC o que llegan por un proveedor que el dueño del alias no ha autorizado. En su nota del 16 de octubre, el ministerio dice que desde entonces han bloqueado más de seis millones de mensajes así, y que con el registro el usuario sabe que los SMS con alias vienen de quien dicen ser. Si dudas de un remitente, puedes buscarlo en la consulta pública de la CNMC, como explicamos con los SMS falsos de Amazon.

Aun así, el hilo no basta como prueba. El registro todavía se está completando, y la CNMC permite que los alias pedidos antes del 14 de septiembre a las 15:00 se sigan usando mientras los revisa, durante un máximo de tres meses (Circular 3/2026). Además, la Policía Nacional avisó en agosto, según Xataka Móvil, de SMS falsos que se colaban en el mismo hilo que los del banco, con la misma numeración corta que los avisos reales, y pedían llamar a un teléfono donde esperaba un falso empleado.

Bloquear al remitente frena los SMS falsos, pero si el mensaje usaba el nombre o el número de tu banco, puedes dejar de recibir también los avisos auténticos. Le pasó a un usuario cuya historia contó Xataka Móvil en junio de 2025, que bloqueó, sin ser cliente, un SMS falso del BBVA y meses después, al abrirse una cuenta en ese banco, no recibía el SMS que necesitaba para completarla.

En el correo y en las webs, el disfraz cambia

El correo electrónico arrastra el mismo fallo de fábrica. El protocolo con el que se envían los emails, el SMTP, no incorpora ningún mecanismo para autenticar al remitente, explica el INCIBE, y alguien con conocimientos puede cambiar las cabeceras para que el mensaje parezca de cualquier persona o empresa. Por eso a veces llegan correos fraudulentos que parecen enviados desde tu propia dirección.

Las empresas pueden proteger su dominio con tres comprobaciones, SPF, DKIM y DMARC, que permiten al servidor que recibe un correo saber si salió de un servidor autorizado y qué hacer si no (el INCIBE las explica en una guía para empresas). Funcionan cuando el dominio suplantado las tiene bien configuradas, y no sirven si el estafador te escribe desde una dirección que solo se parece a la de tu banco. En Gmail, en el ordenador, un signo de interrogación junto al nombre del remitente significa que el mensaje no se ha podido autenticar, y si pulsas la flecha que hay debajo de ese nombre, un correo autenticado enseña «enviado por» y «firmado por» con su dominio, explica la ayuda de Gmail. La opción «Mostrar original», en el menú «Más», enseña además la cabecera completa.

En las webs, el disfraz está en la dirección. Se llama cybersquatting y consiste en registrar un dominio casi igual al oficial, según la definición del INCIBE que recoge Maldita junto a ejemplos reales: agenciatributaria-es.online por agenciatributaria.es, portavanturaworld.com por portaventuraworld.com o mercadona.es-celebrar.com, que parece de Mercadona y pertenece a otro dominio, es-celebrar.com. Lo que identifica una web es el último trozo de su nombre, el que va justo antes de la primera barra de la dirección. La página, además, suele copiar casi al detalle el diseño del banco, y basta con escribir las claves una vez para que se queden con la cuenta, según cuenta Xataka Móvil de la alerta de la Policía Nacional de agosto.

Canal	Qué falsifican	Por qué cuela	Cómo comprobarlo
Llamada	El número que sale en la pantalla	El móvil le pone el nombre que tienes en la agenda	Cuelga y llama tú al número de la tarjeta, de la app o de la web oficial
SMS	El nombre del remitente (alias)	El móvil lo mete en la misma conversación que los avisos auténticos	No pulses el enlace ni llames al número del mensaje; busca el alias en la consulta de la CNMC
Correo	La dirección del remitente	El protocolo del correo no autentica a quien escribe	Mira la dirección entera y, en Gmail, si sale un signo de interrogación junto al remitente
Web	La dirección y el diseño de la página	El dominio se parece mucho al oficial	Escribe tú la dirección o entra desde la app oficial

Cómo se disfraza cada canal y qué hacer. Fuentes: INCIBE, Orden TDF/149/2025, CNMC y Maldita.

Las señales que delatan el engaño

Ni el número, ni el nombre del remitente de un SMS, ni la dirección del correo prueban nada, y la voz tampoco, porque ya se clonan con IA, como la del obispo de Coria-Cáceres. Lo que delata el engaño es lo que te piden. El INCIBE recuerda que los bancos y las entidades serias nunca piden por teléfono contraseñas, números de tarjeta ni códigos de verificación, y en el caso de Albacete los códigos eran justo lo que autorizaba las transferencias.

Desconfía también de la prisa. El guion casi siempre arranca con un cargo que no has hecho, una cuenta bloqueada o unas transferencias que hay que parar ya, y termina pidiéndote un código, que instales una aplicación de control remoto, que marques el *21 para desviar tus llamadas o que muevas el dinero a una «cuenta segura». Pulsar el código en el teclado durante la llamada, en lugar de decirlo en voz alta, no te protege. El estafador puede saber qué teclas pulsas, igual que las centralitas de atención al cliente, advertía Genbeta en noviembre de 2024.

La salida es siempre la misma. Cuelga, busca tú el número del banco en el dorso de la tarjeta, en su app o en la web que escribes a mano, y llama. La Policía da el mismo consejo en su nota: ante la duda, cuelga y llama a tu banco a un número que uses habitualmente, y no des códigos ni claves por teléfono. Si era tu banco, te lo confirmarán ahí, y si no lo era, el estafador se ha quedado sin su llamada.

Qué hacer si ya has caído

Cuenta cada minuto. En Albacete se recuperó casi la mitad del dinero con los requerimientos de la Policía a los bancos que lo habían recibido, una acción que la propia Policía describe como ágil y urgente. Lo más urgente, por este orden:

Llama a tu banco por su número oficial, el de la tarjeta o el de la app, nunca el que aparece en el SMS, y pide que bloqueen tarjetas y accesos y que intenten frenar las transferencias.
Guarda capturas del número y la hora de las llamadas, de los SMS y de los movimientos de la cuenta, y denuncia en la Policía Nacional o en la Guardia Civil.
Si diste contraseñas, cámbialas desde la app o la web oficial, y revisa los movimientos los días siguientes con los avisos de la app activados.
Si instalaste algo que te pidieron o no sabes qué más pudieron ver, llama al 017 del INCIBE. Es gratuito y confidencial, atiende todos los días de 8:00 a 23:00 y también por WhatsApp, en el 900 116 117.

Si el banco no te devuelve el dinero, la sentencia del Tribunal de Justicia de la UE del 15 de octubre de 2026 puede darte argumentos para reclamarlo. Habla de operaciones no autorizadas, y si fuiste tú quien dio los códigos, como en Albacete, el banco puede alegar que las autorizaste.

La llamada del principio traía el nombre de tu banco porque lo escribiste tú en la agenda, y su número, porque lo eligió el estafador. Lo que el estafador no controla es la llamada que haces tú, con la tarjeta en la mano, al número que lleva detrás.

Comparte este artículo