Alerta por las "apps" bancarias falsas: así operan las nuevas estafas que roban claves y vacían cuentas desde el móvil

Las amenazas digitales están a la orden del día. Estas son cada vez más sofisticadas y frecuentes, afectando a empresas, administraciones y ciudadanos, con consecuencias económicas y operativas que van mucho más allá del ámbito tecnológico. España se ha convertido en uno de los países europeos con mayor exposición a las ciberamenazas. Solo en el segundo semestre de 2025 se registraron 605 incidentes relevantes, una cifra que equivale a una media de tres ataques graves al día.

Uno de los principales vectores de ataque contra los usuarios son las aplicaciones fraudulentas descargadas fuera de las tiendas oficiales, como Google Play o App Store. A través de ellas, los ciberdelincuentes distribuyen programas que imitan aplicaciones bancarias legítimas o se presentan como herramientas financieras aparentemente útiles. En realidad, su objetivo suele ser robar credenciales de acceso —usuario, contraseña o datos de tarjeta—, interceptar códigos de verificación enviados por SMS o notificaciones, o instalar malware capaz de espiar la actividad del usuario, registrar pulsaciones o incluso controlar el dispositivo a distancia.

"Este tipo de engaños busca aprovechar el momento de mayor vulnerabilidad: cuando la víctima tiene prisa, está preocupada o cree estar resolviendo un problema urgente de su cuenta", explican desde BBVA.

La distribución de estas aplicaciones maliciosas se realiza habitualmente mediante enlaces o archivos enviados por correo electrónico o a través de aplicaciones de mensajería. También pueden difundirse desde páginas web fraudulentas o perfiles en redes sociales que suplantan la identidad de entidades financieras. En algunos casos, incluso llegan a aparecer de forma temporal en tiendas legítimas antes de ser detectadas y retiradas.

El patrón más común es la suplantación de identidad. Los mensajes reproducen logotipos, colores corporativos y un lenguaje muy similar al utilizado por las entidades financieras en sus comunicaciones oficiales. Esta apariencia de legitimidad reduce las sospechas iniciales y aumenta la probabilidad de que el usuario instale la aplicación o comparta información sensible.

Para lograr que la víctima complete la descarga, los ciberdelincuentes recurren con frecuencia a técnicas de ingeniería social. Un ejemplo habitual es el aviso de un supuesto problema de seguridad con la aplicación bancaria instalada. Bajo ese pretexto, solicitan descargar una nueva versión desde un enlace incluido en el mensaje. "Estos mensajes están diseñados para crear urgencia y alarma: último aviso, bloqueo inmediato, actividad sospechosa, verifica ahora", señalan.

Otra modalidad de fraude se apoya en tendencias financieras recientes. Con el auge de las criptomonedas y las promesas de rentabilidades rápidas, han proliferado supuestos grupos de inversión exclusivos en redes sociales o aplicaciones de mensajería. En ellos se utiliza la imagen de entidades financieras como BBVA para ofrecer beneficios elevados y sin riesgo mediante una nueva aplicación de inversión. Una vez instalada la app, el fraude se materializa mediante el robo de credenciales o recomendaciones de inversión que acaban en pérdidas económicas.

¿Cómo puedo evitar caer en una estafa?

Existen varios indicios que pueden ayudar a detectar este tipo de engaños antes de que sea demasiado tarde. Entre ellos destacan los contactos realizados a través de canales no oficiales o poco habituales, las promociones difundidas desde perfiles que suplantan a entidades financieras o las invitaciones a grupos de inversión que no coinciden con los canales oficiales del banco. Desde la entidad explican que también se deberá desconfiar de las ofertas que prometen beneficios elevados, rápidos y sin riesgo, así como de los mensajes que incluyen enlaces directos para descargar aplicaciones desde tiendas no oficiales.

Para reducir el riesgo, los expertos recomiendan adoptar algunas medidas básicas de ciberseguridad:

• Verificar siempre el canal de comunicación utilizado por la entidad financiera.
• Descargar aplicaciones únicamente desde tiendas oficiales.
• Evitar enlaces o archivos recibidos en mensajes o publicaciones no verificadas.
• Comprobar el nombre del desarrollador.
• Revisar los permisos que solicita la aplicación.
• Analizar indicadores de confianza como el número de descargas o las valoraciones de otros usuarios.

Si existe sospecha de haber descargado una aplicación fraudulenta, es fundamental actuar con rapidez para limitar los daños. Las recomendaciones pasan por desinstalar la aplicación, analizar el dispositivo con herramientas de seguridad, cambiar las contraseñas desde un canal seguro y revisar los movimientos de la cuenta. Además, conviene contactar con la entidad financiera a través de sus canales oficiales para recibir orientación y, si es necesario, bloquear operaciones o credenciales comprometidas.