"Compra no reconocida en Amazon": la llamada o el SMS falso para "cancelarla"

"Le llamamos del departamento de seguridad de Amazon. Hemos detectado una compra de un iPhone por 1.149 euros en su cuenta. Si no la ha realizado usted, pulse 1." A veces es una voz grabada, a veces una persona con un guion muy ensayado, y a veces es un SMS con un enlace para "cancelar el pedido". El nombre puede ser Amazon, El Corte Inglés, AliExpress, PayPal o cualquier tienda conocida. Lo que nunca cambia es el objetivo: que, con las prisas por frenar un cargo que no existe, les des los datos de tu tarjeta, un código de tu banco o el control de tu móvil u ordenador.

¿Cómo funciona esta estafa?

El guion se repite con pocas variaciones:

1. El anzuelo. Una llamada automática, un SMS o un WhatsApp te avisa de un pedido caro que no reconoces: un móvil, un portátil, una consola, tarjetas regalo. El importe es alto a propósito, para que te asustes.
2. El paso a un "agente". Si pulsas una tecla, devuelves la llamada o tocas el enlace, te atiende alguien que se presenta como servicio de seguridad o de atención al cliente. Suele conocer tu nombre, y a veces tu dirección, porque esos datos circulan por filtraciones antiguas.
3. La "cancelación". Para "anular la compra" o "devolverte el dinero" te piden una de estas cosas:
   • los datos completos de tu tarjeta, "para verificar que eres el titular";
   • el código que te acaba de llegar por SMS, que en realidad autoriza un pago o un cambio en tu banca online;
   • que instales una aplicación de "soporte" o "acceso remoto" (AnyDesk, TeamViewer, QuickSupport o similares) para que "un técnico lo solucione";
   • que entres en tu banca online "mientras ellos lo ven" para "procesar el reembolso".
4. El golpe. Con tu tarjeta hacen compras; con el código autorizan pagos o añaden tu tarjeta a su propio móvil; con el acceso remoto ven tu pantalla, leen tus SMS y mueven tu dinero mientras tú crees que te están ayudando.

Hay una variante especialmente retorcida: el falso "reembolso de más". Con acceso remoto, el estafador manipula lo que ves en pantalla para que parezca que te han devuelto 1.000 euros en lugar de 100, y te pide angustiado que "devuelvas la diferencia" por transferencia o con tarjetas regalo. No hubo ningún reembolso: el dinero que envías es tuyo.

¿Cuáles son las señales de alarma?

• Te avisan de una compra que no puedes ver en la app oficial de la tienda. Si el pedido no aparece en "Mis pedidos", no existe.
• Te meten prisa: "la compra se procesa en 30 minutos", "si cuelga no podremos detenerla".
• Te piden instalar una app para cancelar un pedido. Ninguna tienda necesita controlar tu dispositivo para anular una compra.
• Te piden códigos que llegan por SMS. Esos códigos son tu firma: quien te los pide por teléfono quiere usarlos.
• Te piden pagar para recibir dinero: tarjetas regalo, transferencias o "devolver la diferencia".
• El enlace del SMS no lleva a la web oficial, sino a una dirección parecida con letras o palabras añadidas.
• El número parece legítimo. No te fíes: el número que aparece en pantalla se puede falsificar (spoofing), y un nombre conocido en el identificador de llamadas no demuestra nada.

¿Qué hago ahora mismo si me llaman o me llega el SMS?

1. Cuelga o no respondas. No pulses ninguna tecla, no devuelvas la llamada al número que te dan y no toques el enlace.
2. Comprueba tú mismo, por tu cuenta. Abre la app oficial de la tienda o escribe su dirección a mano en el navegador y revisa tus pedidos. Si no hay nada raro, ya tienes la respuesta.
3. Si de verdad hay un pedido que no reconoces, cancélalo desde la propia app o contacta con la tienda a través del apartado de ayuda de su web o app oficial, nunca con el teléfono que te dio quien te llamó.
4. No des datos, códigos ni contraseñas, aunque la persona sepa tu nombre, tu dirección o los últimos dígitos de tu tarjeta.
5. No instales nada que te pida alguien que te ha contactado sin que tú lo pidieras.
6. Bloquea el número y repórtalo en el directorio de números spam para avisar a otras personas.

Una regla sencilla resume todo lo anterior: si te llaman ellos, cuelga y llama tú por un canal que hayas buscado tú mismo.

¿Y si ya he dado datos o he instalado la app?

Actúa rápido y en este orden:

1. Corta la conexión. Si instalaste una app de acceso remoto, cierra la sesión, desconecta el dispositivo de internet (modo avión o desconectar el wifi) y desinstala la aplicación.
2. Llama a tu banco ya, al número oficial que aparece en el reverso de tu tarjeta o en su app, no a uno que te hayan dado. Pide que bloqueen la tarjeta, que revisen operaciones recientes y que paren cualquier transferencia pendiente. Cuanto antes llames, más opciones hay.
3. Cambia tus contraseñas desde otro dispositivo limpio si puedes: primero el correo electrónico, después la banca online y la cuenta de la tienda. Activa la verificación en dos pasos.
4. Revisa la cuenta de la tienda: dispositivos conectados, direcciones de envío nuevas, tarjetas guardadas y saldo de tarjetas regalo. Elimina lo que no reconozcas.
5. Revisa el dispositivo. Si alguien tuvo acceso remoto, pasa un antivirus de confianza y, si tienes dudas, haz una copia de tus datos y restablece el equipo.
6. Guarda las pruebas: capturas de los SMS, el número que te llamó, la hora, los justificantes de pago y el nombre de la app que instalaste.
7. Denuncia ante la Policía Nacional o la Guardia Civil, aportando todo lo anterior. Tu banco suele pedir la denuncia para tramitar una reclamación.

Si ya ha habido cargos o transferencias, en cómo recuperar el dinero de una estafa telefónica explicamos las vías de reclamación.

¿Dónde lo denuncio y a quién pido ayuda?

• Policía Nacional (091) o Guardia Civil (062): para presentar denuncia, en comisaría o cuartel. Si estás en una situación de peligro inmediato, llama al 112.
• INCIBE, teléfono 017: línea gratuita y confidencial de ayuda en ciberseguridad. Te orientan sobre qué hacer con tus cuentas y dispositivos.
• OSI (Oficina de Seguridad del Internauta), de INCIBE: publica avisos sobre las campañas de fraude activas, útiles para comprobar si el mensaje que recibiste ya circula.
• Tu banco, siempre por sus canales oficiales.
• La propia tienda: las grandes plataformas tienen en su ayuda un apartado para informar de mensajes o llamadas sospechosas que usan su nombre.

Preguntas frecuentes

¿Amazon me llama alguna vez por una compra sospechosa? Una tienda puede contactarte, pero no te pedirá por teléfono los datos de tu tarjeta, códigos de tu banco ni que instales programas de acceso remoto. Ante cualquier duda, cuelga y revisa tus pedidos en la app oficial.

No tengo cuenta en Amazon y me han llamado igual. ¿Por qué? Porque las llamadas son masivas. Usan el nombre de la tienda más conocida sabiendo que mucha gente tendrá cuenta. Que no la tengas confirma que es un fraude.

Solo pulsé 1 y colgué. ¿Pasa algo? Normalmente no. Lo más probable es que hayan confirmado que tu número está activo y recibas más intentos. No des datos en las siguientes llamadas y bloquea los números.

Les di los datos de la tarjeta pero no el código del SMS. ¿Estoy a salvo? No del todo. Llama a tu banco para bloquear la tarjeta: con esos datos pueden intentar compras en comercios que no piden verificación adicional, y volverán a llamarte para conseguir el código.

En resumen

Una compra que no reconoces se comprueba en la app oficial de la tienda, nunca desde la llamada o el enlace que te la anuncia. Nadie legítimo necesita tus códigos, tu tarjeta ni el control de tu móvil para cancelar un pedido. Si ya caíste, corta el acceso, llama a tu banco, cambia contraseñas y denuncia. Una app como NoCall puede avisarte de que un número ya ha sido reportado por otras personas antes de que contestes, y si te llega una de estas llamadas, repórtala en el directorio de números spam de NoCall: tu aviso ayuda a que otras personas cuelguen a tiempo.