Cómo protegerte en internet: guía práctica contra estafas, phishing, suplantación y deepfakes

La mayoría de los ataques en internet no buscan a una víctima concreta: buscan a cualquiera que tenga prisa, confíe demasiado o no haya activado una protección básica. La buena noticia es que unas pocas costumbres te dejan fuera del blanco más fácil.

Las cifras explican por qué merece la pena. Según el Balance de Criminalidad del Ministerio del Interior, en 2025 se registraron en España 430.493 estafas informáticas, el 88% de toda la cibercriminalidad. Y la línea de ayuda 017 de INCIBE atendió 142.767 consultas, un 44,9% más que el año anterior.

1. Fraude en marketplaces: Wallapop, Vinted y compraventa entre particulares

Según INCIBE, el 16% de las personas que contactaron con el 017 en 2025 necesitaron ayuda por compras fraudulentas en internet. Los engaños más habituales siguen patrones reconocibles:

• Sacarte de la plataforma: el "comprador" o "vendedor" te pide seguir por WhatsApp o email y pagar por transferencia o Bizum. Fuera de la plataforma pierdes su protección.
• Enlaces de pago falsos: te envían un enlace que imita la web del marketplace o de una empresa de mensajería para "cobrar" una venta. En realidad te piden los datos de tu tarjeta.
• Reclamaciones falsas: el comprador asegura que el producto llegó roto o distinto y exige la devolución del dinero sin devolver el artículo.

Regla de oro: paga, cobra y conversa siempre dentro de la plataforma, y fotografía el artículo y el embalaje antes de enviarlo.

2. Phishing, smishing y vishing: el engaño que llega por email, SMS o llamada

Un 28% de los usuarios del 017 recibió algún intento de phishing por correo, smishing (SMS) o vishing (llamada). El guion casi siempre es el mismo: una supuesta empresa conocida —tu banco, Correos, Hacienda, una eléctrica— te avisa de un problema urgente y te pide actuar ya.

• No pulses enlaces de mensajes inesperados: entra tú en la web o la app oficial escribiendo la dirección.
• Tu banco nunca te pedirá claves completas, códigos de confirmación ni que "muevas el dinero a una cuenta segura".
• Si te llaman, cuelga y llama tú al número oficial que aparece en tu tarjeta o en la web de la entidad.

3. Suplantación de identidad

El 14% de quienes contactaron con el 017 lo hicieron por algún tipo de suplantación de identidad digital: perfiles falsos con tus fotos, cuentas robadas usadas para pedir dinero a tus contactos o tus datos empleados para contratar servicios.

• No compartas fotos de tu DNI salvo con entidades verificadas y, si lo haces, añade una marca de agua con el destinatario y la fecha.
• Busca de vez en cuando tu nombre y tus fotos en buscadores y redes.
• Revisa la privacidad de tus perfiles: cuanta menos información pública, más difícil es suplantarte.

4. Deepfakes y voces clonadas con IA

INCIBE documenta casos reales en los que una persona recibe una llamada con la voz de un familiar generada con inteligencia artificial, a partir de unos pocos segundos de grabación. Su recomendación es clara: contrastar la información llamando tú directamente a esa persona y acordar una palabra clave con familiares y amigos para verificar la identidad en situaciones sospechosas.

Una llamada o un vídeo pueden parecer auténticos. La urgencia —"no se lo digas a nadie", "tiene que ser ahora"— es la señal de alarma, no la voz.

5. Seguridad de tus cuentas: 2FA y passkeys

INCIBE define la autenticación en dos factores como una medida adicional a la contraseña: aunque un factor se vea comprometido, el otro sigue siendo necesario para entrar. Actívala al menos en tu correo, banca, redes sociales, almacenamiento en la nube y tiendas online, y guarda los códigos de recuperación en un lugar seguro.

Un paso más allá son las llaves de acceso o passkeys: te permiten iniciar sesión con el mismo gesto con el que desbloqueas el móvil (huella, cara o PIN). La FIDO Alliance, que impulsa el estándar, las describe como resistentes al phishing, porque no hay una contraseña que puedas entregar por error en una web falsa.

• Usa un gestor de contraseñas y una contraseña distinta para cada servicio.
• Prefiere una app de autenticación o una passkey antes que el SMS cuando el servicio lo permita.
• Mantén actualizado el sistema del móvil y del ordenador.

6. Protege tus fotos y documentos

Tus fotos son hoy tan valiosas como tus contraseñas: sirven para suplantarte, para crear montajes y, en sentido contrario, para defenderte. Antes de publicarlas, elimina la ubicación de los metadatos y piensa quién podrá verlas.

Y cuando una foto sea tu prueba —el estado de un piso de alquiler, un coche que vendes, un paquete que envías, un daño que reclamas al seguro—, no basta con hacerla: conviene poder demostrar que no se ha alterado y cuándo se tomó. Una captura o una foto reenviada por mensajería es fácil de discutir; una imagen con evidencia verificable, no.

Checklist: qué hacer si te ha pasado

1. Llama a tu banco de inmediato si hay dinero o tarjetas implicados, y bloquea la tarjeta. El Banco de España recuerda que debes notificarlo lo antes posible y que tienes un plazo legal de 13 meses para reclamar un cargo no autorizado.
2. Cambia las contraseñas de las cuentas afectadas, empezando por el correo, y cierra las sesiones abiertas.
3. Guarda pruebas: capturas de conversaciones, números, enlaces, justificantes de pago y el anuncio original.
4. Contacta con el 017 de INCIBE: gratuito y confidencial, de 8:00 a 23:00 todos los días, también por WhatsApp (900 116 117) y Telegram (@INCIBE017).
5. Denuncia: en comisaría de la Policía Nacional o en un cuartel de la Guardia Civil. La Guardia Civil permite además denunciar por vía telemática, con firma electrónica, algunos delitos como los cargos fraudulentos por medios electrónicos.
6. Avisa a la plataforma donde ocurrió (marketplace, red social) y a tus contactos si han suplantado tu cuenta.

Denunciar importa más de lo que parece. Según la Agencia de los Derechos Fundamentales de la UE (FRA), una de cada cuatro personas en la UE ha sido víctima de fraude online a lo largo de su vida, pero solo el 15% de las víctimas lo denuncia a la policía.

Si vendes, alquilas o reclamas a menudo, en Reality Check puedes hacer tus fotos con un certificado de autenticidad que prueba que son originales y de qué fecha son, por si algún día tienes que demostrarlo.

Preguntas frecuentes

¿Qué es el 017 de INCIBE?

Es la línea de ayuda en ciberseguridad del Instituto Nacional de Ciberseguridad: un servicio nacional, gratuito y confidencial que ofrece asesoramiento técnico, legal y psicosocial a ciudadanos, empresas y menores. Funciona de 8:00 a 23:00 los 365 días del año.

¿El banco me devuelve el dinero si me han estafado?

Depende del caso. Ante una operación que no has autorizado, la entidad debe devolver el importe, salvo que considere que hubo fraude o negligencia grave por tu parte. Si no estás de acuerdo con su respuesta, puedes reclamar al servicio de atención al cliente de tu banco y después ante el Banco de España.

¿Cómo sé si una llamada con la voz de un familiar es falsa?

No te fíes solo de la voz. Cuelga y llama tú a esa persona a su número habitual, o pregúntale la palabra clave que hayáis acordado. Si te presionan para pagar con urgencia o en secreto, trátalo como un intento de fraude.

¿Puedo denunciar una estafa online por internet?

En parte. La Guardia Civil permite la denuncia telemática, con firma electrónica, de algunos delitos, entre ellos los cargos fraudulentos por medios electrónicos. Para otros casos, acude a una comisaría o cuartel con todas las pruebas que hayas guardado.