Fraude por WhatsApp: guía de 7 señales

Este mensaje es un ejemplo inventado para que reconozcas la forma del engaño. No es una captura, no es un chat real y no es una cita de ningún banco: «Su tarjeta será bloqueada. Confirme aquí para evitar el bloqueo.»

El ejemplo habla de usted y suena a oficina. Este artículo te habla de tú. Esa diferencia es parte del disfraz.

Un tono serio no prueba que quien escribe trabaje en el banco que te emitió el plástico.

Abajo van siete señales. En cada una verás por qué el engaño alcanza a funcionar y qué haces en ese minuto. No hay cifras de cuántas personas caen en esto: este texto no las trae porque no están en las fuentes revisadas.

Tampoco te voy a pedir tu NIP, tu CVV, tu token ni una foto de la tarjeta. Si alguien te los pide por aquí, es la misma señal que vas a leer.

Señal 1. Urgencia y amenaza de bloqueo

El ejemplo de arriba cabe entero en esta señal. También cabe esta variante, marcada otra vez como ejemplo inventado y no como mensaje real: «Tiene hasta las 22:00 de hoy. Si no confirma, la tarjeta queda bloqueada y el saldo pasa a cobranza.»

Funciona porque mezcla dos miedos en una sola frase. El primero es quedarte sin el plástico con el que pagas la despensa o el camión. El segundo es que el problema crezca y llegue un despacho.

El reloj inventado aprieta. Cuando el cuerpo siente prisa, la mano abre la liga antes de que leas el dominio.

Hay otro motivo. La fecha límite de pago sí existe, y sí importa. Banxico explica que la fecha de corte no es la fecha de pago: desde el corte, según el banco, puedes tener hasta unos 20 días, y ese día se llama fecha límite de pago.

Quien arma el mensaje toma ese hecho y le pone una hora que él mismo acaba de inventar. Tú no puedes distinguir la hora falsa dentro del chat. Sí puedes salir del chat.

En ese minuto no contestes y no abras nada. Si de verdad te preocupa un bloqueo, abre tú la aplicación del banco que ya tenías instalada, o marca el teléfono impreso en el plástico o en el estado de cuenta. No uses el número que llegó en el mismo mensaje.

El estado de cuenta te dice la fecha límite y el pago mínimo. Esas dos líneas valen más que la hora que te acaban de escribir.

El error de ese minuto es contestar «dígame» para ganar tiempo. La respuesta le confirma a la otra persona que el número está activo y que tú sí lees. Silencio es una respuesta completa.

Señal 2. Liga acortada

Ejemplo inventado, no es una liga real ni la copies: un texto de dos líneas y, al final, una dirección cortísima que no muestra el nombre del banco, solo un puñado de letras y una diagonal.

Funciona porque la liga corta cabe en un celular y parece ordenada. El dominio de verdad queda escondido hasta que tocas. En la vista previa a veces se ve un candado o una palabra como «seguro», «cliente» o «banca».

Esas palabras no son el dominio. El dominio es lo que viene después de tocar, y para entonces ya entraste.

También funciona el contexto. Si el mensaje de la señal 1 ya te asustó, la liga se siente como la salida. Confirmar «aquí» parece más rápido que buscar el estado de cuenta en un cajón. Esa rapidez es el producto que te están vendiendo.

En ese minuto no toques la liga. No la reenvíes a la familia «para ver si a ustedes también les llegó» con la liga todavía viva. Si quieres avisar, describe el patrón con tus palabras: amenaza de bloqueo y liga corta. Quien reciba tu aviso no necesita el atajo.

Si ya la abriste y no escribiste nada, cierra la página. No instales lo que te ofrezca. No marques el teléfono que aparezca dentro de esa página.

Entra a tu banco por el camino que ya usabas antes de este mensaje. Revisa movimientos. Si algo no cuadra, sigue la ruta de la última parte de esta guía.

El error de ese minuto es «solo ver» la página y, ya adentro, teclear el usuario «para comprobar que es falsa». Esa comprobación le entrega el usuario a la página. La comprobación correcta se hace fuera: tú abres tu canal, no el de ellos.

Señal 3. Pedido de NIP, CVV o token

Ejemplo inventado, no lo contestes nunca: «Para cancelar el bloqueo, envíe el NIP, los tres números de atrás de la tarjeta y el código que le acabamos de mandar.»

Funciona porque cada dato, por separado, suena a un trámite. El NIP es la clave que usas en el cajero y en algunas compras. El CVV es el código de la tarjeta cuando la compra no usa el plástico físico.

El token, o el código de un solo uso, es lo que el banco manda para confirmar una operación en ese momento. Quien junta los tres no necesita convencerte con un discurso largo. Con eso puede intentar mover dinero mientras el código sigue vivo.

Funciona también el orden. A veces piden primero un dato que parece menor, como la fecha de vencimiento. Si lo das, el siguiente mensaje ya te llama por tu nombre y pide el token «para revertir».

El segundo mensaje se siente distinto. Es el mismo engaño, un paso más adelante.

En ese minuto no escribas ningún número en el chat. No dictes el NIP en una nota de voz. No mandes una foto del plástico, ni de frente ni por detrás, ni con los dígitos tapados a medias.

Una foto «recortada» sigue siendo una foto de la tarjeta. Cuelga si es una llamada y deja de teclear si es un chat.

Luego marca tú el número del plástico o del estado de cuenta. Di que alguien te pidió NIP, CVV o token. Pide el bloqueo.

No le mandes al extraño un segundo código «para anular el primero». Quien te pide el segundo código está usando el mismo canal.

El error de ese minuto es creer que, como tú llamaste a un número que venía en el chat, ya estás hablando con el banco. El número del chat no es el número del plástico. Aunque la voz diga el nombre de tu banco, tú no marcaste el teléfono impreso.

Señal 4. Cuenta puente o cuenta segura

Ejemplo inventado, no hagas esta transferencia: «Su dinero está en riesgo. Páselo ahora a la cuenta puente, también llamada cuenta segura, y en 24 horas se lo devolvemos a su tarjeta.»

Funciona porque se disfraza de un trámite que sí existe, pero en otro lugar. Cuando tú presentas una aclaración, CONDUSEF describe un abono provisional mientras el banco investiga. Quien llama voltea esa idea.

Te pide que saques tú el dinero y lo pongas en una cuenta que él te dicta. Si el banco de verdad bloquea, lo bloquea en su sistema. No necesita que tú le deposites a un tercero para «cuidarte».

La frase «cuenta puente» suena técnica. «Cuenta segura» suena amable. Las dos describen lo mismo en este ejemplo: una cuenta que no es la tuya y que no viene en tu estado de cuenta.

A veces agregan un plazo corto y un monto pequeño «de prueba». El monto pequeño baja la guardia. El siguiente mensaje pide el resto.

En ese minuto no hagas la transferencia. No «apartes» el dinero en una CLABE dictada por voz o por chat. Abre la aplicación tú mismo, o llama al número del plástico, y pregunta si hay un bloqueo real.

Si la respuesta oficial es que no hay bloqueo, el mensaje era falso. Si sí hay un problema en la cuenta, lo resuelves con ese banco, en el canal que tú marcaste, sin pasar por la cuenta de un desconocido.

Si ya transferiste, no mandes un segundo abono «para que liberen el primero». Esa segunda salida es el mismo hueco. Anota monto, hora y la CLABE a la que salió el dinero, y dilo en la llamada al número del plástico. La ruta de aclaración está más abajo.

El error de ese minuto es pedir prestado a un familiar para completar el «rescate». El familiar pierde el dinero y, además, entra al mismo chat. Si alguien de tu casa ya está a punto de transferir, dile que se detenga y que use el teléfono impreso en su propio plástico.

Señal 5. Identificador oculto

Ejemplo inventado de lo que se ve en la pantalla, no es el registro de una llamada real: la pantalla dice «Número privado» o no muestra dígitos, y la voz dice que llama de la banca telefónica por un cargo extraño.

Funciona porque el hueco de información lo llenas tú. Si no ves el número, no puedes compararlo con el del plástico en el momento. La voz ocupa ese silencio con palabras que sí conoces: el nombre de tu banco, la palabra «fraude», la palabra «bloqueo».

Tú pones el resto. Además, devolver la llamada es imposible si no hay número, así que te piden que no cuelgues.

Esta señal no vive solo en el fraude de tarjeta. En cobranza, el REDECO de CONDUSEF dice que un despacho no debe usar identificador oculto. El detalle de ese derecho está en la guía de cobranza abusiva y el REDECO.

Si un cobrador de verdad tiene que llamarte, la regla le pide identificarse y mostrar el número. Un identificador vacío no cumple esa regla. Tampoco te obliga a seguir en la línea «porque si no, es peor».

En ese minuto cuelga. No dictes datos para «verificar que eres tú». No marques un número que la voz te dicte para «regresar a la extensión».

Espera, toma el plástico o el estado de cuenta y marca ese teléfono, el impreso. Si había un cargo raro, el banco te lo va a ver en el canal oficial. Si no había nada, la llamada privada era el engaño.

Anota la hora y, si el teléfono alcanzó a guardar algo, el dato que sí se vio. Eso sirve si más tarde presentas una queja. No sirve para devolver la llamada al vacío.

El error de ese minuto es quedarte «solo para escuchar». Mientras escuchas, la otra persona pide un sí, un dato o una transferencia. Colgar es la acción. Escuchar hasta el final no te da más certeza.

Señal 6. Nombre que parece institución pública

Ejemplo inventado, no es un organismo real: «Le habla la Unidad Nacional de Protección al Tarjetahabiente. Tenemos un expediente abierto a su nombre.»

Funciona porque el nombre imita el uniforme de una autoridad. Lleva palabras como nacional, unidad, comisión, fiscalía o protección.

Tú conoces instituciones de verdad, y el oído junta el nombre falso con el recuerdo del nombre real. En un chat no hay un edificio que puedas visitar. Solo hay el texto.

CONDUSEF, en las reglas que alimentan el REDECO, dice que quien cobra, negocia o reestructura por cuenta de una entidad financiera no debe usar un nombre parecido al de una institución pública. Esa prohibición está publicada en el propio sitio del REDECO.

No es un consejo de redes sociales. Es una regla del registro de despachos. Si un nombre se disfraza de autoridad, estás frente a una señal, aunque también te hablen de una deuda.

El parecido no se limita a la cobranza. Un mensaje puede disfrazarse de sociedad de información crediticia, de un juzgado o de «la comisión que vigila a los bancos». Los nombres correctos de Buró de Crédito y de Círculo de Crédito existen, y también existe CONDUSEF.

Que alguien los pronuncie no lo convierte en empleado. Tú llegas a esas instituciones por la dirección que ellas publican, no por la liga del chat.

En ese minuto no confirmes tu domicilio, tu trabajo ni tu número de tarjeta «para ubicar el expediente». Pregúntate una sola cosa: ¿abriste tú el sitio oficial, o te hablaron ellos con un nombre largo? Si te hablaron ellos, cuelga y entra tú.

Si de verdad hay un despacho cobrando una deuda de una entidad financiera, la queja se presenta en REDECO contra esa entidad, no pagando en el chat. La guía enlazada en la señal 5 recorre ese trámite.

El error de ese minuto es corregirles el nombre y seguir la plática. Aunque les digas «ustedes no son la autoridad», si sigues contestando preguntas ya les estás dando el expediente que no tenían.

Señal 7. Alguien que ofrece «limpiar el buró» y cobra por adelantado

Ejemplo inventado, no es una oferta de Buró de Crédito ni de Círculo de Crédito: «Vemos que tiene manchas. Con un anticipo se las limpiamos esta semana y queda listo para que le aprueben.»

Funciona por una confusión de palabras. «Estar en el Buró» suena a lista negra. No lo es.

El comparador de Banxico lo dice con claridad: quien ha tenido crédito tiene historial, haya pagado bien o mal. Hay dos sociedades de información crediticia: Buró de Crédito y Círculo de Crédito. El historial cubre créditos de los últimos 6 años, con montos, plazos, comportamiento, atrasos e incumplimientos.

El anticipo funciona, además, porque llega antes de cualquier resultado. Te piden el dinero cuando todavía no has visto tu reporte. Si pagas, el siguiente mensaje puede pedir otra cantidad «porque el tache es más difícil».

No hay una cifra oficial de este engaño en las fuentes de esta guía, y no voy a inventarla. La señal es el pedido de dinero por adelantado a cambio de borrar historia.

Conviene tener a la vista lo que el propio centro de ayuda de Buró describe, consultado el 18 de octubre de 2026. Palomita verde: al corriente. Admiración amarilla: atraso de 1 a 89 días.

Tache rojo: atraso de más de 90 días. Una quita puede dejar el tache rojo aunque ya hayas pagado, porque hubo quebranto. Un crédito no se borra solo a los 6 años si sigue abierto.

Si está cerrado y liquidado, el reporte muestra fecha de eliminación. Ni Buró ni el banco prometen que, por pagar, te aprueben un crédito nuevo. Eso lo decide cada otorgante.

También tienes un derecho que no pasa por un desconocido de WhatsApp. Puedes pedir un reporte de crédito especial gratis cada 12 meses si la entrega es por internet, aplicación, correo electrónico o unidad especializada. El correo postal y la mensajería pueden cobrar el envío incluso en esa consulta.

El paso a paso está en la guía del reporte de crédito especial gratis. Si ya usaste la consulta del periodo, el centro de ayuda publica precios distintos según el canal. No son una «cuota de limpieza». Confírmalos en la página de la sociedad el día que los vayas a pagar.

En ese minuto no pagues el anticipo. No mandes tu RFC, tu identificación ni el número de la tarjeta a esa persona para que «arme el trámite». No puedes pedir el reporte de otra persona, ni el de alguien que falleció, así que tampoco le pidas a un tercero que lo saque con tus datos.

Si quieres ver tu historia, entra tú al canal de la sociedad. Si algo está mal, usa el camino que esa sociedad publica. Pagarle a un particular por adelantado no es ese camino.

El error de ese minuto es aceptar porque «total, si no funciona, lo reporto». El anticipo ya salió. Recuperarlo es otro problema, distinto de tu historial. Primero no pagues.

Si ya diste un dato

Deja de escribir en el chat en ese instante. No mandes un código nuevo. No mandes una foto «para que vean que ya bloqueaste». No hagas otra transferencia «de recuperación».

Llama al número que viene impreso en el plástico o en el estado de cuenta. No llames al número que te mandaron en WhatsApp, ni al que apareció dentro de la liga, ni al que te dictaron en la llamada con identificador oculto.

En esa llamada, la que tú marcas, di qué alcanzaste a entregar: un token, el CVV, el NIP, un código, o un abono a una cuenta que te dictaron. Pide cancelar el plástico.

Ese orden sale de las fichas de CONDUSEF sobre cargos que no reconoces. Primero se llama al banco, se reporta y se cancela el plástico. Después se presenta la solicitud de aclaración en sucursal, en la unidad especializada o en el portal del banco.

La institución entrega un acuse con folio, fecha y hora. Consérvalo. No lo dejes solo en una captura que se puede borrar. Si puedes, guarda también el PDF o el correo del acuse.

Hay dos formas de contar el abono provisional, y las dos están publicadas por CONDUSEF. La revista dice que, a más tardar a los cuatro días de la reclamación, la institución abona de forma provisional.

La ficha de cargos no reconocidos dice que, en general, el abono ocurre después de 48 horas y que la investigación puede tardar hasta 45 días. No elijas la frase que más te tranquilice. Conserva el acuse: esa hoja es la que acredita cuándo empezó tu trámite.

El detalle de robos y clonaciones, cuando el caso es ese, está en la guía de qué hacer si te roban la cartera o un dato.

El dictamen, según la revista de CONDUSEF, tiene un plazo de 45 días naturales en operaciones nacionales y de 180 días naturales si la operación es en el extranjero. Si no hay dictamen en ese plazo, el abono no se revierte. El banco sí puede revertir el abono si prueba que el titular o un adicional autorizó la operación.

Mientras la aclaración sigue abierta, no puede cobrarte intereses moratorios por el cargo reclamado ni reportar ese cargo al buró. En compras por internet, el banco debe probar que usó autentificación. No te cobra comisión por tramitar una objeción que resulte procedente.

Tienes 90 días naturales para reclamar ante quien emite el estado de cuenta. La revista de CONDUSEF los cuenta desde la fecha de corte o desde la fecha del cargo no reconocido, y cita el artículo 23 de la Ley para la Transparencia y Ordenamiento de los Servicios Financieros y a Banxico.

No esperes al último día. Ese plazo no te impide acudir después a CONDUSEF.

Si lo que pasó no es un cargo en una tarjeta que ya tienes, sino que alguien contrató un producto a tu nombre, el camino puede ser otro. CONDUSEF indica que esa suplantación puede no caber en la queja electrónica y que la cita es presencial, por medio del CCAMER, al 55 5340 0999.

La página de contexto de la queja electrónica y las reglas de procedencia están en el Registro de Usuarios de Trámites. Mientras tanto, pide tu reporte de crédito especial por el canal oficial, para ver si apareció un crédito que tú no abriste.

Si solo alcanzaste a decir tu nombre, también te sales del chat. El siguiente mensaje va a usar ese nombre para sonar más creíble. Revisa los movimientos desde la aplicación que tú abriste.

Si no hay cargos raros, de todos modos no regreses a dar el token «para quedar en paz».

Guarda los comprobantes de cualquier transferencia que sí hayas hecho, hasta cotejar el estado de cuenta. Si el nombre del comercio en el estado de cuenta no coincide con el del voucher, CONDUSEF advierte que aun así puede ser un cargo lícito con otro nombre fiscal.

En el caso del chat, tú no estás cazando un comercio: estás reportando un dato que salió de tus manos. Dilo así en la aclaración, con la hora.

Errores que alargan el problema

El primer error es seguir la conversación para «no ser grosero». No le debes una despedida a ese chat. Cerrar la ventana es suficiente.

El segundo error es publicar en redes la liga, aunque sea para burlarte de ella. Quien la abre desde tu publicación entra al mismo atajo. Si cuentas lo que pasó, cuenta el patrón, no la dirección.

El tercer error es pagar una cantidad pequeña de «verificación». Ejemplo ilustrativo, no es la tasa ni el saldo de ningún banco: te piden 200 pesos «para confirmar la cuenta» y luego te piden el resto. Esos 200 pesos no comprueban nada. Comprueban que sí transfieres.

El cuarto error es tratar el segundo contacto como si fuera el departamento de fraudes. Acabas de colgar, o acabas de llamar al plástico, y entra otro mensaje: «soy del área que va a reversar lo que diste». No les des el código nuevo.

El reverso, si procede, lo trabaja el banco en la aclaración que tú abriste con el acuse, no un chat que llegó después.

El quinto error es pedirle a otra persona que saque tu reporte de crédito o que marque «por ti» y dicte tus datos. El reporte es tuyo. La llamada al banco la haces tú, o estás tú presente en la sucursal, con el número que viene en tus documentos. No se lo entregues a un perfil de WhatsApp que se ofreció a ayudar.

Un mensaje parecido puede llegar por SMS o por correo. Las siete señales no cambian de traje porque cambie la aplicación. Esta guía se queda en WhatsApp porque es el canal del ejemplo, pero el minuto es el mismo: no toques, no dictes, marca el plástico.

Si además de la señal hay llamadas de un despacho, no mezcles los pagos. La deuda, si existe, se paga a la entidad que otorgó el crédito, nunca a una cuenta personal dictada por teléfono. Eso también está en las reglas del REDECO, y se desarrolla en la guía de cobranza ya enlazada.

Un desconocido que te apura por WhatsApp no se convierte en tu banco porque pronuncie la palabra «adeudo».

Aviso: este texto es informativo. No es asesoría personal ni una oferta de ningún banco. No dictes tu NIP, tu CVV ni tu token, y no mandes fotos de tu tarjeta.

Confirma plazos y teléfonos en la fuente el día que los uses. La decisión de un crédito nuevo la toma quien lo otorga. Nadie puede prometerte que un pago borra el historial.

Referencias

•  Comparador de información de créditos, Banco de México. Sostiene que estar en el Buró no es una lista negra, que existen dos sociedades de información crediticia y que el historial cubre los créditos de los últimos 6 años. También distingue la fecha de corte de la fecha límite de pago. https://comparador.banxico.org.mx/ComparadorCrediticio/informacion-de-creditos-preguntas.jsp Fecha de consulta: 18 de octubre de 2026.

•  REDECO, CONDUSEF. Sostiene la prohibición de usar un nombre parecido al de una institución pública y de usar identificador de llamada oculto, y que los pagos se hacen a la entidad que otorgó el crédito. https://eduweb.condusef.gob.mx/redeco/redeco.aspx Fecha de consulta: 18 de octubre de 2026.

•  Ficha de cargos no reconocidos, CONDUSEF. Sostiene el orden de llamar, reportar y cancelar el plástico, el acuse con folio, y la formulación de abono en general después de 48 horas, con investigación que puede tardar hasta 45 días. https://www.condusef.gob.mx/?idc=1731&idcat=3&p=contenido Fecha de consulta: 18 de octubre de 2026.

•  Revista CONDUSEF, cargos que no reconoces. Sostiene el plazo de 90 días naturales, el abono provisional a más tardar a los cuatro días, el dictamen de 45 días naturales en el país y 180 en el extranjero, y las reglas de intereses moratorios, buró, autentificación y comisión. https://revista.condusef.gob.mx/usuario-inteligente/a-tu-favor/2018/02/cargos-en-tu-tarjeta-que-no-reconoces/ Fecha de consulta: 18 de octubre de 2026.

•  Queja electrónica, CONDUSEF. Contexto de que la suplantación al contratar un producto puede no caber en la queja electrónica y de que la cita presencial se pide por el CCAMER, 55 5340 0999. https://tramites.condusef.gob.mx/QuejaElectronica/registro.php?ban=true Fecha de consulta: 18 de octubre de 2026.

•  Registro de Usuarios de Trámites (RUT), CONDUSEF. Reglas de procedencia de la queja. https://rut.condusef.gob.mx/public/ Fecha de consulta: 18 de octubre de 2026.

•  Centro de ayuda del Reporte de Crédito Especial, Buró de Crédito. Sostiene los símbolos de pago, el tache rojo en una quita con quebranto, que un crédito abierto no se borra solo a los 6 años, el derecho al reporte y que no se puede pedir el de otra persona. https://www.burodecredito.com.mx/generales/centro-de-ayuda/reporte-de-cr%C3%A9dito-especial.html Fecha de consulta: 18 de octubre de 2026.

•  Reglas de Banxico para sociedades de información crediticia, Circular 27/2008. Base del reporte gratuito en los artículos 40 y 41 de la Ley para Regular las Sociedades de Información Crediticia y en las reglas Tercera, Cuarta y Quinta. https://www.banxico.org.mx/marco-normativo/normativa-emitida-por-el-banco-de-mexico/circular-27-2008/%7BBC4333FE-070F-E727-199E-CA6BCF2CBA66%7D.pdf Fecha de consulta: 18 de octubre de 2026.

•  Estado de cuenta, CONDUSEF. Sostiene que un cargo puede aparecer con una razón social distinta a la del voucher y seguir siendo lícito. https://www.condusef.gob.mx/?idc=905&idcat=1&p=contenido Fecha de consulta: 18 de octubre de 2026.