Pedir un préstamo, pagar un servicio o transferir dinero a un pariente hoy toma segundos gracias a las billeteras virtuales y las aplicaciones de banca digital. Esa misma velocidad, sin embargo, abrió una puerta enorme para las bandas que buscan vaciar cuentas ajenas.
El «phishing» se convirtió en el método favorito de los delincuentes para robar plata de cuentas bancarias en la Argentina, y las cifras confirman que el fenómeno no para de crecer.
Según el informe anual de seguridad digital de la consultora D’Alessio IROL junto a la empresa CertiSur, el 43% de los usuarios argentinos sufrió algún hackeo o estafa virtual. Hace apenas cuatro años ese número era de un dígito, el 9%. Después trepó al 31% en 2024 y al 33% en 2025, una curva que no muestra señales de freno.
Los números oficiales del Ministerio Público Fiscal de la Nación confirman el mismo diagnóstico. La Unidad Fiscal Especializada en Ciberdelincuencia (Ufeci) recibió 34.468 denuncias por delitos informáticos durante el último año relevado, un salto del 21,1% frente al período anterior. El fraude en línea concentra el 63% de esos reportes, el porcentaje más alto entre todas las modalidades registradas.
Parte de este avance responde a la profesionalización de las bandas delictivas, que ahora suman inteligencia artificial (IA) a sus herramientas para robar cuentas bancarias.
Los estafadores redactan mensajes cada vez más creíbles, imitan con precisión las comunicaciones bancarias e incluso recurren a clones de voz o imágenes de figuras públicas generadas por IA para promocionar inversiones que no existen. WhatsApp y las redes sociales se convirtieron en las vías de contacto más usadas para arrancar el engaño.
¿Cómo operan las bandas que clonan tu banca digital?
El phishing bancario apunta directo a la confianza del usuario. Todo arranca con un correo masivo que imita a la perfección la identidad de una entidad financiera real, con el mismo logo, los mismos colores institucionales y un diseño casi idéntico al original.
El mensaje suele apelar al miedo o a la urgencia, con la excusa de cuentas bancarias bloqueadas o una transferencia que necesita validación inmediata. Para resolver ese supuesto problema, incluye un enlace que lleva a una página web falsa.
Esa página reproduce con exactitud el portal de acceso al «home banking» verdadero. El usuario ve una interfaz conocida, no sospecha nada y termina cargando sus datos de acceso ahí mismo.
Incluso el candado de seguridad en la barra de direcciones, que muchas personas asocian con un sitio confiable, puede aparecer en estos dominios falsos. Ese ícono solo certifica que la conexión está cifrada, no que la página sea legítima.
Apenas la víctima escribe su usuario y contraseña, los delincuentes reciben esos datos de las cuentas bancarias al instante. Si la cuenta tiene doble factor de autenticación, la página falsa despliega un casillero extra para pedir el código de un solo uso enviado por SMS o el token.
Con esa información en mano, los estafadores ingresan en simultáneo al portal real del banco y ejecutan transferencias inmediatas e irreversibles hacia otras cuentas, o piden préstamos preaprobados que desvían en el acto.
¿Qué señales delatan un mensaje bancario falso por correo electrónico?
Ningún correo de phishing es perfecto. Siempre queda alguna pista que permite reconocerlo antes de caer en la trampa, empezando por la dirección del remitente.
Los bancos operan con dominios propios y registrados. Los estafadores, en cambio, recurren a cuentas gratuitas o a variaciones mínimas en las letras del dominio original, una técnica que en seguridad informática se conoce como «typosquatting».
Conviene tener a mano los dominios oficiales de cada entidad. Las comunicaciones válidas del Banco de la Provincia de Buenos Aires llegan desde direcciones terminadas en bpba.com.ar, bancoprovincia.com.ar, bancoprovinciamail.com.ar o prisma-mp.com, según detalló el Ministerio Público de la Provincia de Buenos Aires.
El Banco Galicia, por su parte, usa email.galicia.ar, mkt.bancogalicia.com.ar o bancogalicia.com.ar. Cualquier otra terminación es motivo suficiente para desconfiar.
Otra alerta aparece en los enlaces. Los bancos no incluyen enlaces de acceso directo a la banca digital en sus correos informativos habituales. Si pasas el cursor sobre el enlace sin cliquear, el navegador muestra la dirección real de destino, casi siempre un dominio extraño que nada tiene que ver con la entidad.
El tono del mensaje también es una pista. Las amenazas de suspensión, multas o pérdida de beneficios buscan apurar a la víctima y anular su capacidad de análisis. Ningún banco redacta sus comunicaciones oficiales con ese nivel de presión.
Por último, los errores de ortografía, la redacción torpe o un diseño gráfico descuidado son otra huella habitual, producto de campañas armadas en otros países con traductores automáticos que no manejan bien el lenguaje rioplatense. Si además el correo pide descargar un archivo ejecutable o comprimido, la sospecha debería ser total, porque ningún banco envía adjuntos que requieran instalación.
¿Qué conductas debes evitar ante un mensaje sospechoso?
Frente a cualquier correo o mensaje dudoso, la regla número uno es no tocar ningún enlace ni botón del cuerpo del mensaje. El Banco Central publicó sus propias pautas preventivas, y la Secretaría de Comercio Interior sumó una serie de consejos con el mismo objetivo.
Para revisar el estado de tus cuentas, siempre conviene escribir manualmente la dirección oficial en el navegador o abrir la aplicación móvil del banco desde el ícono guardado en el celular, nunca desde un enlace recibido.
Tampoco hay que descargar ni ejecutar archivos adjuntos de origen dudoso. Muchos esconden troyanos de acceso remoto o programas espía diseñados para robar información desde la computadora o el teléfono móvil. Mantener el sistema operativo actualizado y un antivirus activo ayuda a reducir ese riesgo.
Bajo ningún concepto corresponde compartir contraseñas, códigos PIN o números de token por canales informales. Son datos personales e intransferibles que ningún empleado bancario necesita para resolver un trámite, ni por teléfono ni por chat. Si alguien los pide, lo mejor es cortar la comunicación de inmediato.
Otro error común es publicar reclamos o consultas sobre una operación puntual en redes sociales de forma abierta. Las bandas monitorean los comentarios en las cuentas oficiales de los bancos en busca de clientes enojados, y después se contactan con perfiles falsos que simulan ser del servicio de atención al cliente para pedir datos reservados con la excusa de ayudar.
Tampoco conviene responder mensajes que avisan sobre una supuesta transferencia mal hecha a tu cuenta. Es una modalidad que crece, y en la que los delincuentes guían telefónicamente a la víctima hasta un cajero o su aplicación para que genere un código de token o revierta una operación que en realidad termina moviendo sus propios ahorros. Cualquier gestión sobre movimientos de fondos debe confirmarse solo por los canales oficiales del banco.
¿Cómo actuar si ya te vaciaron las cuentas?
Si la estafa ya ocurrió, la velocidad de reacción marca la diferencia en el monto que se puede recuperar. El primer paso es llamar al banco o a la billetera virtual por sus líneas de emergencia, disponibles todo el día.
Hay que pedir el bloqueo inmediato del usuario de banca digital, la baja de las tarjetas de débito y crédito, y la suspensión del token. Conviene exigir un número de reclamo que deje constancia formal del desconocimiento de las operaciones.
En paralelo, cambiar todas las contraseñas de los servicios digitales importantes, desde el correo personal hasta las redes sociales y las aplicaciones financieras, es una medida urgente. Ese cambio debe hacerse desde un dispositivo distinto al que se usó durante la estafa en las cuentas bancarias, para evitar que un posible virus espía siga activo en el equipo original.
Guardar la evidencia digital es igual de importante para el reclamo posterior. No conviene borrar mensajes de texto, el correo de phishing, las conversaciones de WhatsApp ni las capturas de llamadas relacionadas con el hecho.
También sirve guardar capturas de pantalla del remitente real del correo electrónico del número del estafador, además de los datos de las transferencias desde las cuentas bancarias, con los CBU o CVU de destino, porque esa información es clave para la fiscalía.
Con las pruebas reunidas, corresponde hacer la denuncia penal cuanto antes. En la Argentina se puede enviar un mensaje por correo electrónico con el detalle del caso a [email protected], o presentarse en la comisaría del barrio o en la fiscalía de turno, que están obligadas a tomar la denuncia sin costo.
Esa denuncia habilita a los investigadores a pedir el congelamiento urgente de los fondos de las cuentas bancarias en las plataformas financieras involucradas.
Si el banco no da una respuesta satisfactoria, el reclamo puede escalar a organismos de control. Existe la opción de hacer una presentación en línea y gratuita ante la Dirección Nacional de Defensa del Consumidor, y también un canal de reclamos no resueltos en el Banco Central para mediar entre el usuario y la entidad de las cuentas bancarias.
La Comunicación A 7996 del BCRA fija un plazo de 60 días para disputar débitos de transferencias inmediatas del tipo «pull», con la obligación de la entidad de devolver el dinero d e las cuentas bancarias afectadas dentro de los tres días hábiles siguientes.
Nota de R.: Este artículo acerca del robo de cuentas bancarias fue publicado originalmente en iProfesional.
Si te gustó o sirvió algo que publiqué, te ofrezco dos alternativas para agradecer y permitir la continuidad de mi trabajo en Bahía César:
Te invito a suscribirte gratis al boletín semanal de Bahía César para recibirlo en tu correo electrónico. Ingresa tu e-mail aquí.
