Un código de verificación SMS es una firma de un solo uso: quien lo recibe puede autorizar en tu nombre lo que el mensaje indique, ya sea un pago con tarjeta, el alta de tu número en WhatsApp o el cambio de contraseña de tu correo. Por eso ninguna empresa seria te lo pedirá jamás por teléfono, chat o mensaje. Si alguien te lo reclama, es un intento de fraude, sin excepciones.
Qué es realmente ese código de seis cifras
Los servicios que usan SMS envían un número temporal, normalmente de seis cifras, que caduca en pocos minutos. Su función es comprobar que tienes el móvil en la mano. Es la segunda llave de una cerradura de dos: la primera es tu contraseña o los datos de tu tarjeta, y esos datos los estafadores ya los suelen tener por filtraciones o por phishing previo.
Ahí está el problema. El estafador no necesita adivinar nada. Provoca que el servicio te mande el código a ti y luego te convence de que se lo leas. Tú haces de cerrajero sin saberlo.
En pagos con tarjeta, esta segunda llave viene de la autenticación reforzada (SCA) que exige la normativa europea de servicios de pago, incorporada a nuestro ordenamiento por el Real Decreto-ley 19/2018. Si quieres entender por qué el banco debe devolverte un cargo cuando esa autenticación falla, lo explicamos en nuestro artículo sobre la SCA. Aquí nos centramos en el caso contrario: el código lo entregaste tú.
Qué puede hacer alguien con cada tipo de código
No todos los códigos valen lo mismo. Esta tabla resume los que más se piden y lo que consigue el estafador con ellos.
| Código que compartes | Para qué lo usa el estafador | Daño típico |
|---|---|---|
| Verificación de WhatsApp | Registrar tu número en su móvil y expulsarte | Pierde tu cuenta y escribe a tus contactos pidiendo dinero |
| Pago con tarjeta (3D Secure) | Autorizar una compra o transferencia | Cargo de cientos o miles de euros |
| Alta o cambio en Bizum | Activar Bizum con tu número en otro dispositivo | Envíos a cuentas de terceros |
| Recuperar contraseña (correo, redes) | Tomar el control de la cuenta | Acceso a todo lo vinculado a ese email |
| Verificación de Wallapop, Vinted o Google | Crear cuentas a tu nombre | Estafas a terceros que salpican a tu identidad |
| Acceso a la banca online | Entrar en tu cuenta | Vaciado de saldo |
El SMS casi siempre te dice para qué sirve, y muchas veces incluye el comercio y el importe. Lo que falla es que lo lees con prisa mientras alguien te habla por teléfono.
Los guiones que más se repiten
El "código enviado por error". Te escribe por WhatsApp alguien, a menudo un contacto cuya cuenta ya han robado, y dice: "Te ha llegado un código por error, ¿me lo pasas?". Ese código es el de verificación de WhatsApp de tu propio número, que el estafador acaba de solicitar. Si lo envías, la cuenta pasa a ser suya.
El comprador o vendedor de segunda mano. En Wallapop, Vinted o Milanuncios, un supuesto comprador dice que necesita "verificarte" antes de pagar y te pide el código que te llega. En realidad está dando de alta un servicio con tu número. Más sobre este entorno en nuestro artículo sobre estafas en Wallapop, Vinted y Milanuncios.
El falso antifraude del banco. Te llaman, a veces con el número del banco suplantado, y te dicen que hay un cargo sospechoso. Para "cancelarlo" te piden el código que te acaba de llegar. Ese código es justo el que autoriza el cargo. Si te has visto en esta situación por SMS, tienes el detalle en SMS falso del banco.
La ayuda al familiar. Un supuesto hijo o hija con número nuevo necesita "un código para entrar en su cuenta". Es una variante de la estafa del hijo por WhatsApp, y los mayores caen mucho.
Un caso con números
Javier, de 47 años, recibe el 4 de septiembre una llamada de un "agente del departamento antifraude" que conoce su nombre y los cuatro últimos dígitos de su tarjeta. Le dice que hay un intento de compra de 1.850 € en una tienda de electrónica y que le va a llegar un código para bloquearlo. A los dos minutos suena el móvil: "Código 482913 para autorizar pago de 1.850,00 € en...". Javier se lo dicta. La compra se ejecuta.
Javier llama al banco a los 20 minutos, bloquea la tarjeta y presenta denuncia esa misma tarde. El banco le deniega la devolución alegando que él facilitó el código. Javier reclama por escrito al servicio de atención al cliente y, pasado el plazo de respuesta sin solución, puede acudir al Banco de España. El resultado no está garantizado, pero la rapidez de su reacción y la denuncia le dan una posición mucho mejor que si hubiera esperado semanas.
Qué hacer si ya compartiste el código
El orden importa. Estos son los pasos, con el margen de tiempo que conviene respetar.
| Paso | Qué hacer | Cuándo |
|---|---|---|
| 1 | Lee el SMS entero: qué servicio, qué importe, qué comercio | En el momento |
| 2 | Si hay dinero de por medio, llama a tu banco y bloquea tarjeta o acceso | En minutos |
| 3 | Cambia la contraseña del servicio afectado y cierra todas las sesiones abiertas | Mismo día |
| 4 | Si es WhatsApp, vuelve a registrar tu número y activa la verificación en dos pasos | Mismo día |
| 5 | Avisa a tus contactos por otro canal de que no atiendan mensajes tuyos | Mismo día |
| 6 | Denuncia en Policía Nacional o Guardia Civil y guarda capturas, SMS y registro de llamadas | Primeras 24-48 horas |
| 7 | Reclama por escrito al banco y, si no responde o lo deniega, al Banco de España | Cuanto antes; tienes hasta 13 meses desde el cargo para notificar |
Si no sabes por dónde empezar, INCIBE tiene una línea gratuita de ayuda en ciberseguridad, el 017. Y si ya has perdido saldo, repasa qué hacer en las primeras 24 horas tras un vaciado de cuenta.
El caso de WhatsApp
Si te han quitado la cuenta, instala la aplicación, introduce tu número y pide un código nuevo. Al recibirlo, la sesión del estafador se cierra. Si él activó la verificación en dos pasos con su PIN, WhatsApp te pedirá ese PIN y, según su centro de ayuda, podrías tener que esperar hasta 7 días para poder restablecerlo sin él. Comprueba en el centro de ayuda de WhatsApp el plazo vigente. Durante ese tiempo, avisa a tus contactos por llamada o por otra red.
Qué pasa con el dinero: la cuestión de la negligencia
La normativa de servicios de pago establece que, ante una operación no autorizada, el banco debe devolver el importe de forma inmediata, como muy tarde al final del día hábil siguiente, salvo que tenga sospechas fundadas de fraude por parte del cliente. También recoge que el pagador puede soportar las pérdidas si actuó con negligencia grave o de forma fraudulenta.
Aquí está el conflicto. Cuando tú entregas el código, el banco sostiene que la operación sí estaba autorizada o que hubo negligencia grave. Tú puedes defender que te engañaron con suplantación del propio banco. La jurisprudencia y las resoluciones no son uniformes: dependen de cómo fue el engaño, del texto del SMS, de si el banco detectó algo raro y de si su sistema de alertas funcionó. Según la última información publicada por el Banco de España, sus resoluciones en estos casos se valoran una a una. Comprueba en su web el criterio más reciente antes de reclamar.
Lo que sí puedes controlar es la prueba: capturas de pantalla, número desde el que llamaron, hora exacta, denuncia y copia de tu reclamación. Nuestro artículo sobre cómo reclamar un cargo no autorizado incluye plazos y modelo de escrito.
Errores habituales
- Leer el código "solo para comprobar". Un código no se lee para comprobar nada. Si te lo piden, lo quieren usar.
- Fiarse del número que llama. El número de tu banco se puede falsificar en pantalla. Cuelga y llama tú al que figura en tu tarjeta.
- Pensar que "solo es un código". Es la misma firma que tu huella o tu PIN.
- Tardar en avisar. Cada hora cuenta, sobre todo si el dinero sale por transferencia inmediata.
- Reutilizar la misma contraseña en varios servicios: el código deja de ser la única defensa.
- No activar el bloqueo de WhatsApp. Sin verificación en dos pasos, un código robado basta para perder la cuenta.
Nuestra recomendación
Adopta una regla sin excepciones: un código que te llega por SMS no sale de tu cabeza ni de tu pantalla, ni por voz, ni por escrito, ni para un familiar, ni para "un agente del banco". Si te presionan con prisa, esa prisa es la señal. Además, activa la verificación en dos pasos con PIN en WhatsApp y usa una app autenticadora en lugar de SMS en los servicios que la admitan. Un código SMS puede acabar en manos ajenas por un duplicado de tarjeta SIM, como contamos en el artículo sobre SIM swapping.
Cuándo pedir ayuda profesional
Busca asesoramiento jurídico si el banco te deniega la devolución de una cantidad relevante, si el importe supera varios miles de euros o si han abierto productos financieros a tu nombre. Muchas asociaciones de consumidores ofrecen orientación previa. Para dudas técnicas inmediatas, el 017 de INCIBE es gratuito y confidencial.
Preguntas frecuentes
¿Puede alguien hacerme daño solo con el código SMS?
Sí, si ya tiene el resto de datos. El código es la última pieza: con tu número y un dato más, un estafador puede activar tu WhatsApp, autorizar un pago o entrar en una cuenta.
¿Un banco me pide alguna vez el código por teléfono?
No. Ni por llamada, ni por SMS ni por WhatsApp. Si quien llama te pide un código para "cancelar" o "verificar" algo, cuelga y llama tú al número oficial de tu banco.
¿Me devuelve el banco el dinero si di yo el código?
No es automático. La norma obliga a devolver las operaciones no autorizadas, pero el banco puede alegar negligencia grave si entregaste el código. Reclama por escrito y, si te lo deniegan, acude al Banco de España.
¿Qué hago si un desconocido me pidió un código y se lo di?
Averigua para qué servía el código leyendo el SMS completo, cambia la contraseña de ese servicio, cierra las sesiones abiertas y avisa al banco si hay dinero de por medio.
Este artículo es informativo y se revisa periódicamente. Normativa, precios y plazos pueden cambiar: contrasta siempre con la fuente oficial antes de tomar decisiones.
Seguir leyendo en Vurnix
Estafa del QR falso en parquímetros y restaurantes (qué hacer)
Me han vaciado la cuenta: qué hacer en las primeras 24 horas
Phishing por email: cómo comprobar remitente y enlace antes de clicar
