Nunca compartas tu código de verificación: cómo funcionan las estafas OTP

Nunca compartas tu código de verificación: esa sola frase es la defensa más importante contra las estafas de OTP (contraseña de un solo uso). Un código de seis dígitos que llega por SMS es la llave para iniciar sesión en una cuenta o aprobar una transacción. Por eso los estafadores no se molestan en descifrar tu contraseña; intentan convencerte de que les leas el código. En este artículo explicamos cómo funcionan las estafas de OTP y cómo protegerte.

¿Qué es un OTP y por qué es tan valioso?

Un OTP, o contraseña de un solo uso, es un código de vida corta que se envía durante un inicio de sesión o una transacción para confirmar que la cuenta realmente es tuya. Llega por SMS, por correo o como notificación de una app.

El código es valioso porque es el segundo paso: ni siquiera alguien que conoce tu contraseña puede entrar sin él. Pero si el código se le dice a otra persona, esa protección desaparece. Por eso ninguna organización real, empleado o amigo te pedirá que le leas un código por teléfono, en un mensaje o por cualquier otro canal.

La regla de oro: un código llega solo por una acción que tú iniciaste, y se introduce únicamente en la pantalla de la app o el sitio correspondiente. Nunca se le comunica a nadie, en ningún otro lugar.

¿Cómo funciona una estafa de OTP?

El estafador intenta iniciar sesión en una cuenta o empezar una transacción, y en ese momento el servicio envía un código a tu número. Luego intenta convencerte de que se lo digas. Para eso te inventa un «motivo». Los patrones habituales son:

• Una llamada falsa del banco o de una agencia: «Hay actividad sospechosa en tu cuenta; lee el código que llegó a tu teléfono para verificarla».
• Un comprador de un anuncio de segunda mano: «Ya envié el pago; reenvíame el código que recibiste para confirmarlo».
• Un mensaje que se hace pasar por alguien que conoces: «Escribí tu número por error, ¿me puedes enviar el código que te llegó?».
• Un mensajero o repartidor: «Dime el código para la entrega».
• Soporte técnico falso: «Comparte el código para que recuperemos tu cuenta».
• Un sorteo o premio: «Necesitamos verificar tu identidad para tu regalo».

Todos llegan al mismo punto: el código sustituye a tu aprobación. Al leerlo, en la práctica autorizas con tus propias manos la acción del estafador.

Señales de alerta: cómo reconocer al estafador

1. Urgencia y presión: «Dímelo ya, o tu cuenta se cerrará / tu dinero desaparecerá».
2. Un código que no esperabas: Si llega un código sin ninguna acción tuya, alguien puede estar intentando entrar en tu cuenta. No lo compartas con nadie.
3. Cualquiera que te pida leer un código: Sea cual sea el motivo, quien pide un código es falso.
4. Parecer conocer los datos de la organización: Un estafador puede saber tu nombre, tu banco o tu última transacción; eso no prueba que sea auténtico.
5. No dejarte colgar: Mantenerte en la línea o decirte que «no consultes con nadie» es una advertencia grave.
6. Generar una sensación de confianza: Un tono amable o muy profesional no es prueba de honestidad.

Los códigos en los mensajes suelen llevar la advertencia «No compartas este código con nadie». Tómatela en serio.

Qué hacer si compartiste el código

Actúa rápido, sin pánico:

1. Termina la conversación de inmediato y deja de hablar con la otra persona.
2. Desde un dispositivo seguro, cambia la contraseña de la cuenta afectada y cierra todas las sesiones.
3. Revisa tu configuración de verificación en dos pasos y tus datos de recuperación (correo, teléfono) y elimina los dispositivos que no reconozcas.
4. Si compartiste un código bancario o de pago, llama de inmediato a tu banco y pide que tu tarjeta o cuenta quede protegida.
5. Si reutilizaste la contraseña en otro lugar, cámbiala también allí.
6. Denuncia el incidente ante el servicio, tu banco y las autoridades correspondientes, y guarda los registros de mensajes y llamadas.

No te avergüences: estos métodos están diseñados para ser muy convincentes y hasta los usuarios cuidadosos caen en ellos. Lo que importa es denunciar pronto.

Hábitos de protección

• Grábate la regla: «Código = no se lo digo a nadie». Háblalo también en familia.
• No confíes en llamadas que tú no iniciaste. Aunque quien llama diga pertenecer a una organización, cuelga y llama tú mismo al número oficial.
• Revisa para qué acción es el código. El mensaje suele indicar el servicio; si tú no iniciaste nada con él, no introduzcas el código.
• Usa un método más fuerte que el SMS. Las apps de autenticación y las passkeys reducen el riesgo de leer un código. Para compararlas, consulta nuestro artículo sobre verificación en dos pasos.
• Mantén activadas las notificaciones de la cuenta. Reacciona de inmediato cuando llegue una alerta de inicio de sesión desde un dispositivo nuevo.
• Oculta la vista previa de los mensajes en la pantalla de bloqueo. Un código visible en una pantalla bloqueada es un riesgo si alguien está cerca.

El otro lado: limitar los lugares donde se puede llegar a tus códigos

Otra forma de protegerte de las estafas de códigos es limitar los lugares que tienen tu número. Cuando entregas tu número real a cada sitio, aumenta la posibilidad de que el sitio y sus socios te contacten por llamada y mensaje, y también la de recibir mensajes de estafa. Lo explicamos en por qué no deberías compartir tu número de teléfono en todas partes.

Para registros triviales o temporales, puedes usar un número virtual de un solo uso en lugar del tuyo. El código llega solo a tu propio panel y no hay nadie a quien tengas que compartirlo. Puedes ver las opciones en la página de precios. Los números virtuales no son permanentes y algunas plataformas pueden restringirlos, así que en tus cuentas valiosas usa tu propio número y métodos de verificación fuertes.

Si un código no llega, mantén la calma y no le pidas a nadie que te lo consiga; para conocer las posibles causas, lee por qué no llega tu código SMS.

Errores comunes

Algunos hábitos facilitan el trabajo de los estafadores:

• Escribir o leer el código sin pensar, diciendo «lo arreglo rápido».
• Aprobar sin leer para qué acción es el código.
• Llamar al número que aparece en el mensaje o que te dio quien llama para «verificar».
• Denunciar tarde por vergüenza; las denuncias tempranas suelen reducir el daño.
• No contarle nunca a la familia que existe este tipo de estafa.

Cuando llegue una petición de código, detenerte un minuto para preguntarte «¿yo inicié esto?» basta para frenar la mayoría de los ataques.

Preguntas frecuentes

¿Podría mi banco pedirme que le lea un código por teléfono?

No. Un empleado real del banco no te pedirá un OTP, una contraseña ni un código de verificación de tarjeta. Si llega una petición así, cuelga y llama tú mismo al número oficial del banco.

Llegó un código aunque yo no hice nada. ¿Qué debo hacer?

No compartas ni introduzcas el código con nadie. Alguien puede estar intentando entrar en tu cuenta; cambia tu contraseña y revisa tu verificación en dos pasos.

¿Puedo compartir el código si alguien que conozco me lo pide?

No, porque quien te escribe puede haberse apoderado de la cuenta de tu conocido y usar tu código para otra acción. Contacta a esa persona por otro canal, como una llamada de voz, para confirmarlo, y aun así no le leas el código.

Leí un código por error, pero no pasó nada con la cuenta. ¿Puedo tranquilizarme?

No del todo; toma precauciones de todos modos. Cambia la contraseña, cierra las sesiones y vigila las alertas. Para más información, consulta nuestra página de preguntas frecuentes.