Mientras hablas por teléfono con quien crees que es tu banco, alguien puede estar vaciando tu cuenta en un cajero en ese mismo instante. No es una película: es una estafa real que la Policía Nacional alertó el 27 de octubre de 2026 y que se conoce como ataque de relevo (relay attack). El engaño mezcla SMS, suplantación telefónica y un cómplice físico en el cajero, y funciona porque juega con el miedo y la prisa. Te explico cómo opera paso a paso, la variante del paquete no entregado, las recomendaciones oficiales y qué hacer si ya has caído.
Qué es el ataque de relevo
El ataque de relevo es una estafa por la que el delincuente consigue tus credenciales por teléfono mientras un cómplice las usa en tiempo real en un cajero para sacar efectivo. El nombre viene de que hay un «relevo»: tú pasas los datos a un falso empleado y, casi a la vez, otra persona los utiliza contra tu cuenta. El daño se hace mientras tú sigues en la llamada, creyendo que están cancelando un cargo que nunca existió.
Cómo funciona, paso a paso
Según la alerta de la Policía Nacional, el ataque sigue cuatro fases encadenadas:
- SMS falso del banco: recibes un mensaje que simula ser de tu entidad y avisa de un cargo no autorizado o de un pago retenido. Incluye un número de atención al cliente falso para que llames.
- Llamada al falso empleado: llamas asustado y te atiende alguien que se hace pasar por tu banco, muy amable, que con la excusa de cancelar el cargo te va pidiendo credenciales y códigos.
- Cómplice en el cajero: al mismo tiempo, otra persona está frente a un cajero e introduce esos datos en tiempo real para retirar dinero de tu cuenta.
- Cierre de la llamada: cuando cuelgas, crees que el problema está resuelto. En realidad, la cuenta ya está vaciada.
El daño no ocurre cuando cuelgas: ocurre mientras hablas. Cada dato que das, el cómplice lo usa contra tu cuenta en el cajero.
La variante del paquete no entregado
Existe una variante que no empieza con un cargo del banco, sino con un falso aviso de paquete no entregado. El SMS lleva a una web clonada donde te piden un micropago de céntimos, aparentemente inofensivo. Ese pequeño pago sirve para capturar tu tarjeta y, a partir de ahí, montar el mismo relevo: llamada, extracción de datos y retirada en cajero por el cómplice.
Recomendaciones oficiales para no caer
La Policía Nacional insiste en una idea: ningún banco legítimo actúa así. Aplica estas reglas:
- No sigas enlaces de SMS que llegan de tu banco ni devuelvas llamadas al número que aparece en el mensaje.
- Busca el número oficial en el reverso de tu tarjeta o dentro de la app de tu banco, y llama tú a ese.
- Escribe tú mismo la dirección de la web del banco en el navegador; no entres desde enlaces.
- Recuerda que ningún banco pide por teléfono claves completas, PIN ni códigos de un solo uso.
Qué hacer si ya has caído
Si has dado datos o hecho el micropago, actúa rápido, pero por los canales correctos:
- Llama a tu banco por un canal oficial (número de la tarjeta o la app) y pide un bloqueo preventivo de las tarjetas.
- Revisa los movimientos de la cuenta y anota la hora de la llamada fraudulenta.
- Guarda pruebas: capturas del SMS con remitente, fecha y enlace; extractos bancarios y las comunicaciones.
- Denuncia en persona ante las fuerzas y cuerpos de seguridad con todo el material recogido.
El bloqueo preventivo y la denuncia cuanto antes son lo que de verdad frena el saqueo y dejan rastro para la investigación.
La regla mental que te salva
Detrás del ataque de relevo hay un solo mecanismo: crearte urgencia y darte un camino fácil (un número en el SMS) para que no verifiques. Rompe ese mecanismo con una costumbre simple: si un mensaje te asusta con un cargo, no uses el número ni el enlace del SMS; cuelga o ignora y llama tú al número que viene en tu tarjeta. Si de verdad es tu banco, lo encontrarás ahí; si es una estafa, acabas de cortar el relevo.
La fuente de esta alerta es la Policía Nacional, recogida por moncloa.com el 27 de octubre de 2026. La estafa es nueva en su forma combinada, pero la defensa es la de siempre: no des claves por teléfono y verifica siempre por el canal oficial antes de actuar.