El phishing ha cambiado: ya no quieren tu contraseña, quieren tu identidad digital

El mensaje falso ya no se conforma con una clave. Quiere tu DNI, tu selfie, tu número de móvil, tus códigos y hasta el acceso silencioso a tus sesiones. Con esas piezas pueden hacerse pasar por ti, abrir cuentas, pedir dinero a tus contactos o intentar contratar productos a tu nombre.

La contraseña era solo la puerta de entrada

Durante años resumimos el phishing como un correo falso que quería robarte la contraseña del banco. Esa descripción ya se queda corta. El fraude actual combina correo, SMS, llamadas, mensajería y páginas clonadas para reunir un paquete completo: nombre, DNI, móvil, dirección, tarjeta, códigos de un solo uso, imágenes del documento y, en ocasiones, una selfie o una videollamada de supuesta verificación.

El objetivo no siempre es vaciar una cuenta en el momento. Con suficientes piezas, un delincuente puede intentar recuperar otras cuentas, hacerse pasar por ti ante tus contactos, abrir perfiles, solicitar servicios o dar credibilidad a una segunda estafa. El INCIBE recuerda que nuestra identidad digital incluye datos tan cotidianos como el correo, el teléfono, la dirección o la información bancaria, y que esos datos pueden proceder de filtraciones, malware, engaños o de lo que publicamos nosotros mismos.

Por qué los mensajes falsos resultan cada vez más creíbles

La ortografía desastrosa ya no es una señal suficiente. La inteligencia artificial permite crear textos naturales, adaptar el mensaje con información pública e imitar voces, imágenes o vídeos. Un documento divulgado por el Banco de España y las autoridades europeas advierte de que el número que aparece en pantalla puede estar falsificado y de que conocer tus datos personales no convierte al interlocutor en alguien de confianza.

El problema no es marginal. En el panorama de riesgos financieros de 2026, el Banco de España señala que las estafas aumentaron entre 2024 y 2025 en el 69% de los países consultados por la OCDE. Phishing, smishing y vishing aparecen entre las técnicas más frecuentes, y la IA está haciendo más difícil distinguir un mensaje real de uno fabricado.

Las cinco piezas que forman tu “doble” digital

Tu correo principal funciona como llave maestra porque recibe avisos y enlaces para recuperar otras cuentas. Tu móvil aporta llamadas, SMS y códigos de verificación. El DNI y una selfie pueden servir para superar controles mal planteados. Tus redes sociales revelan familia, trabajo, viajes y rutinas. Y una cookie o sesión activa puede permitir el acceso sin volver a escribir la contraseña.

Un ejemplo reciente es el llamado ghostpairing de WhatsApp. Mediante ingeniería social, el atacante intenta vincular la cuenta de la víctima a un dispositivo bajo su control. Lo inquietante es que el propietario puede seguir usando WhatsApp y tardar en darse cuenta de que otra persona también está leyendo o actuando desde la cuenta.

Por eso debes desconfiar si te piden escanear un QR, vincular un dispositivo, reenviar un código, instalar una aplicación de asistencia remota o repetir una prueba de identidad desde un enlace recibido. Que el mensaje incluya tu nombre, los últimos dígitos de una tarjeta o aparezca en el mismo hilo de SMS del banco tampoco demuestra que sea auténtico.

La regla que corta casi todos los engaños

Sal del canal por el que te han contactado. No pulses el enlace, no llames al número del mensaje y no continúes una conversación que te mete prisa. Abre tú la aplicación oficial o escribe la dirección de la entidad en el navegador. Si necesitas hablar con el banco, utiliza el teléfono que figura en la app, en la tarjeta o en su web oficial.

Protege primero el correo principal con una contraseña única y doble factor, porque desde ahí se pueden restablecer muchas otras cuentas. Revisa sesiones abiertas y dispositivos vinculados, elimina los que no reconozcas y activa avisos de acceso y de operaciones. Nunca facilites un código de verificación: si tú no has iniciado la operación, ese código no está confirmando tu identidad, está autorizando la acción de otra persona.

Si ya has picado, cada minuto cuenta

Contacta inmediatamente con tu banco desde un canal oficial, bloquea tarjetas si procede y explica exactamente qué datos entregaste. Desde un dispositivo fiable, cambia las claves empezando por el correo, cierra sesiones y revisa WhatsApp y redes sociales. Avisa a tus contactos si existe riesgo de que reciban mensajes en tu nombre y guarda capturas, correos, números y justificantes.

Si te han suplantado, la AEPD aconseja denunciar ante Policía Nacional, Guardia Civil o AlertCops y utilizar los formularios de las plataformas para reportar perfiles falsos. Para recibir orientación técnica, legal y confidencial puedes llamar al 017 de INCIBE, disponible todos los días de 8:00 a 23:00.

Quédate con esto: hoy el phishing no busca una palabra secreta; busca construir una versión utilizable de ti. La mejor defensa es romper la urgencia, verificar por un canal distinto y tratar cada documento, código, selfie o sesión como lo que realmente es: una pieza de tu identidad digital.

TerritorioFintech es un medio digital dirigido a la Digital Money Generation y especializado en la actualidad de los nuevos modelos bancarios y financieros. Su equipo editorial publica contenidos informativos y divulgativos con el objetivo de contribuir a mejorar la educación financiera de sus lectores.

Todos los contenidos tienen una finalidad exclusivamente informativa y educativa. En ningún caso deben interpretarse como asesoramiento financiero ni como recomendaciones de inversión.