Los fraudes financieros en México casi nunca empiezan con un robo: empiezan con un mensaje, una llamada o una oferta que te convence de entregar tus datos. Phishing, vishing, smishing, créditos exprés y clonación de tarjetas son los más comunes según la CONDUSEF, y casi todos dependen de un dato que das tú.
Ese detalle cambia cómo hay que protegerse. Un antivirus ayuda, pero lo que de verdad frena estos engaños es saber cómo trabaja quien llama o escribe: qué pretexto usa, qué te pide y en qué momento te presiona. Por eso esta guía va tipo por tipo, con la señal que lo delata, y después explica qué hacer si ya caíste y cuándo el banco está obligado a devolverte el dinero.
El problema no es menor. Entre enero y mayo de 2026, la CONDUSEF recibió más de 35 mil reclamaciones por posible fraude, según datos de la Comisión que citó la Secretaría de Bienestar.
Los fraudes financieros más comunes en México, uno por uno
La CONDUSEF los describe en su Portal de Fraudes Financieros. Esta tabla resume cómo llegan y la señal que debería ponerte en alerta.
| Fraude | Cómo llega | Señal de alarma |
|---|---|---|
| Phishing | Correo que imita a tu banco y dice que hay un error en tu cuenta | Un enlace que te pide número de tarjeta, claves o los dígitos del token |
| Smishing | SMS o WhatsApp con un enlace | Urgencia («tu cuenta será bloqueada hoy») y una dirección web rara |
| Vishing | Llamada de un supuesto empleado del banco por «cargos irregulares» | Te pide datos o códigos mientras te guía por teléfono |
| Pharming | Ventanas emergentes que te llevan a una página falsa | «Eres el visitante un millón» o «error del sistema, da clic aquí» |
| Crédito exprés falso | Oferta de préstamo fácil, sin revisar tu historial | Te piden un depósito por adelantado «por apertura» |
| Apps de préstamo abusivas | Aplicación que pide acceso a tus contactos y fotos | Amenazas y exhibición ante tus conocidos si te atrasas |
| Clonación y «tallado» de tarjetas | Cajero alterado y alguien que «te ayuda» | Un desconocido que toma tu tarjeta para limpiarla |
| Pirámides y tandas | Redes sociales, compañeros de trabajo, vecinos | Ganancias altas a cambio de invitar a más personas |
Phishing, smishing y vishing: el mismo engaño por tres vías
Los tres buscan lo mismo: que tú escribas o digas tus datos. Cambia solo el canal. El correo de phishing usa el logotipo del banco y una dirección parecida a la real; el SMS de smishing te manda a una página que copia la del banco; la llamada de vishing pone a una persona amable al otro lado, que sabe tu nombre y a veces los últimos dígitos de tu tarjeta. Si quien recibe la llamada es una persona mayor, hay riesgos propios, como el falso familiar en apuros o la tarjeta de la pensión en manos de otro: los explicamos en prevención de fraudes a adultos mayores.
Una variante combina dos de ellos. La CONDUSEF documentó un caso así: primero llega un SMS sobre un cargo que no reconoces, con la instrucción de responder «NO» si no fuiste tú. Minutos después te llama una supuesta operadora del banco que te guía, paso a paso, para «cancelar la compra» en una página falsa, donde terminas escribiendo el número de tu tarjeta, el NIP y tus contraseñas.
La regla que lo desarma es corta. Los bancos y las empresas nunca te piden datos financieros, números de tarjeta ni códigos por teléfono, correo o mensaje cuando no fuiste tú quien inició la operación. Si te llaman, cuelga y marca tú al número que viene al reverso de tu tarjeta. Si te escriben, no uses el enlace: entra a la app o teclea la dirección del banco.
Créditos exprés, apps de préstamos y pirámides
Hay fraudes que no necesitan hackear nada porque se presentan como un negocio. El crédito exprés falso ofrece un préstamo rápido, con requisitos mínimos y tasa baja, y antes de entregarlo te pide un depósito por gastos de apertura o comisión. Cuando pagas, la empresa desaparece o te dice que el crédito no se aprobó, y el anticipo no regresa.
Las aplicaciones de préstamos abusivas sí prestan, pero a cambio de permisos sobre tus contactos, tu ubicación y tu galería. Si te atrasas, usan esa información para amenazarte y exhibirte ante tus conocidos. La CONDUSEF llama a esto doxing.
Las pirámides con nombre amable (flor de la abundancia, círculos de prosperidad) y las tandas mal administradas tienen un problema añadido: no son instituciones financieras, así que la CONDUSEF no puede defenderte si pierdes el dinero.
Antes de pedir un préstamo o de ahorrar en cualquier entidad, comprueba que esté registrada. La CONDUSEF tiene para eso el Sistema de Registro de Prestadores de Servicios Financieros (SIPRES) y el Buró de Entidades Financieras; en la guía para presentar una queja ante la CONDUSEF se explica cómo consultarlos. Si la app se presenta como fintech, revisa además si es una fintech autorizada por la CNBV o solo un prestamista.
Qué hacer en la primera hora si ya caíste
El orden importa, porque cada minuto cuenta para frenar nuevos cargos.
- Bloquea. Llama al número oficial de tu banco o usa la app para bloquear la tarjeta y, si diste claves de banca en línea, para suspender el acceso.
- Cambia contraseñas. Empieza por el correo electrónico ligado al banco y sigue con la banca móvil.
- Reporta los cargos que no reconoces. Pide una aclaración formal y exige el folio, con fecha y hora. Sin folio no hay reclamación que probar.
- Junta la evidencia. Capturas del mensaje o del correo, el número que te llamó, la dirección de la página falsa, estados de cuenta.
- Denuncia. Acude al Ministerio Público o a la fiscalía de tu estado; varias fiscalías reciben denuncias por fraude en línea. La denuncia sirve también si alguien abrió créditos a tu nombre.
Si además usaron tus datos para contratar productos, sigue la guía de robo de identidad financiera, que trata la limpieza del Buró de Crédito.
¿Te devuelven el dinero? Lo que dice la regulación
Para cargos con tarjeta, sí existe una obligación concreta. Desde 2019, las reglas del Banco de México para tarjetas de débito y de crédito (circulares publicadas en el DOF el 3 de octubre de 2018) obligan al banco a abonarte, a más tardar el segundo día hábil bancario, los cargos que reclames por operaciones de las 48 horas previas a tu aviso. También debe abonarte si no te exigió al menos dos elementos de autenticación para la operación. El banco solo puede revertir el abono si demuestra, con un dictamen y la evidencia de la autenticación, que el cargo se hizo conforme a las reglas.
Para cargos más antiguos se aplica la aclaración general del artículo 23 de la Ley para la Transparencia y Ordenamiento de los Servicios Financieros:
- Tienes 90 días naturales desde la fecha de corte o de la operación para presentarla, en la sucursal o en la Unidad Especializada de Atención a Usuarios del banco.
- Mientras se resuelve, no tienes que pagar la cantidad reclamada, y el banco no puede reportarla como vencida al Buró.
- El banco tiene 45 días para entregarte un dictamen con su evidencia; si la operación fue en el extranjero, 180.
Hay un caso que no entra en esa regla de las 48 horas: la transferencia que tú mismo autorizaste con tus claves, aunque te hayan engañado para hacerla. La regla del abono es de las circulares de tarjetas. Aun así, avisa al banco de inmediato: si el dinero no ha salido de la cuenta receptora, el banco puede intentar frenarlo, y tu reporte con folio será la base de la queja y de la denuncia.
Ejemplo: dos fraudes, dos resultados distintos
Ofelia tiene una papelería en Pachuca. Un martes por la noche le aparecen tres compras en línea con su tarjeta de débito que no hizo, por $2,150, $1,890 y $2,200. El miércoles en la mañana las reporta en la app y obtiene su folio. Como las tres operaciones son de las 48 horas previas al aviso, el banco debe abonarle los $6,240 a más tardar el segundo día hábil bancario, mientras investiga.
Su hermano Rubén recibe en la misma semana una llamada «del área de seguridad del banco»: le dicen que su cuenta está en riesgo y que debe mover sus ahorros a una «cuenta protegida». Él mismo hace la transferencia por $18,500 desde su app. Aquí no hay un abono automático, porque la operación la autorizó él. Rubén llama al banco, levanta la reclamación con folio, presenta la denuncia y, si el banco no responde, lleva el caso a la CONDUSEF. Recuperar el dinero depende de que se pueda frenar a tiempo y del resultado de la investigación.
Cuándo llevar el caso a la CONDUSEF
Si el banco rechaza tu reclamación, no contesta o te da un dictamen sin evidencia, puedes presentar una queja en la CONDUSEF. La Unidad Especializada del banco tiene 30 días hábiles para responderte, y reclamar ante ella suspende la prescripción. La queja puede hacerse en línea en el Portal de Queja Electrónica o con cita al 55 5340 0999.
También conviene reportar el fraude aunque no hayas perdido dinero. En el Portal de Fraudes Financieros, la sección «Comparte tu experiencia» recibe los números telefónicos, páginas, perfiles y correos que usaron contigo.
Un recordatorio para quienes cobran apoyos del Gobierno: los trámites de los Programas del Bienestar son gratuitos y nadie puede pedirte tu NIP. Si te robaron la tarjeta o te la quitaron con engaños, la reposición de la tarjeta Bienestar por robo tiene su propio procedimiento.
Preguntas frecuentes
¿El banco me puede llamar para verificar un cargo?
Sí, algunos bancos llaman o envían mensajes para confirmar operaciones inusuales. La diferencia está en lo que piden: una llamada legítima te pregunta si reconoces la compra, pero nunca te pide el NIP, la contraseña completa, el código del token ni que transfieras dinero a otra cuenta. Si tienes cualquier duda, cuelga y marca tú al número oficial del reverso de la tarjeta. No uses el número que te dieron en la llamada.
¿Qué hago si di el código que me llegó por SMS?
Llama a tu banco en ese momento para bloquear la tarjeta y la banca en línea, porque ese código puede servir para autorizar una operación o dar de alta un nuevo dispositivo. Después cambia tus contraseñas, revisa los movimientos de los últimos días y reclama con folio cualquier cargo que no reconozcas. Si se hizo una operación con tu autorización técnica, documenta el engaño con capturas de los mensajes y presenta la denuncia.
¿Cuánto tarda el banco en resolver una aclaración?
Para cargos con tarjeta reclamados dentro de las 48 horas siguientes, el abono provisional debe llegar a más tardar el segundo día hábil bancario. Para el resto, la ley da al banco hasta 45 días para entregarte un dictamen con la evidencia, o 180 si la operación fue en el extranjero. Mientras tanto no tienes que pagar lo que reclamaste. Si la respuesta no llega, la queja ante la CONDUSEF es el siguiente paso.
¿Las tiendas en línea falsas también son fraude financiero?
Sí, aunque el reclamo es distinto. Si pagaste con tarjeta a una tienda que nunca entregó, pide la aclaración del cargo a tu banco con las pruebas de la compra. Si el proveedor existe pero no cumple, la vía es la PROFECO. Para evitarlo, revisa que el sitio use una dirección con https y candado, que muestre razón social y domicilio, y desconfía de precios muy por debajo del mercado.
¿Sirve de algo denunciar si el monto es pequeño?
Sí. La denuncia deja constancia de que no autorizaste las operaciones, algo útil si después aparecen créditos o cargos a tu nombre. También ayuda a la autoridad a relacionar casos del mismo grupo. Y en varios estados se puede presentar en línea. Para un fraude con tarjeta de monto bajo, la reclamación al banco puede bastar para recuperar el dinero, pero la denuncia te protege a futuro.
Las herramientas de la Comisión, como la consulta de entidades, las quejas y el Buró de Crédito, están reunidas en la guía de la CONDUSEF. Y si el problema no es un fraude sino un cobro que consideras injusto, revisa cuáles son las comisiones bancarias que se pueden reclamar.