FRAUDE BANCARIO

"Tu transferencia SPEI está retenida": el SMS falso del banco que vacía tu cuenta en minutos

La CONDUSEF mantiene una alerta activa por una de las modalidades de fraude más extendidas en México en 2026: un mensaje de texto que dice que tu transferencia SPEI está retenida o que hay un cargo sospechoso, y te pide "liberarla" o "verificarla" con un enlace. Ese enlace abre una página clonada de tu banco. En cuanto escribes tus claves, la cuenta queda en manos del estafador.

SB

SafeBrowz Threat Research Investigación de seguridad17 de junio de 20269 min de lectura

Por qué esto se está disparando ahora

El fraude de la "transferencia SPEI retenida" es hoy una de las modalidades destacadas que la CONDUSEF (Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros) ha colocado en su radar para 2026. La mecánica es smishing puro: un SMS, a veces un mensaje de WhatsApp o un correo, que se hace pasar por tu banco y empuja a la víctima a tocar un enlace con un argumento que mezcla miedo y urgencia.

Medios nacionales han documentado el repunte. El El Imparcial, en su cobertura del 27 de mayo de 2026, describió la oleada de mensajes que alertan sobre transferencias supuestamente retenidas y cargos no reconocidos, y la revista Proceso ha dado seguimiento al mismo patrón de suplantación de la banca. El hilo común en todos los reportes es el mismo gancho: convencerte de que tu propio dinero está atrapado y de que solo un clic urgente puede salvarlo.

El detalle técnico que vuelve tan peligroso este engaño es justamente el que el estafador tuerce a su favor. El SPEI, el Sistema de Pagos Electrónicos Interbancarios operado por el Banco de México, liquida transferencias en segundos y de forma definitiva. Una vez enviada, una transferencia SPEI no se "retiene" a la espera de que el cliente la apruebe con un enlace; o se ejecutó o no se ejecutó. Esa irreversibilidad, que es una virtud del sistema, es la que el estafador convierte en argumento: si crees que algo quedó "en pausa" y que puedes liberarlo, ya entraste en su guion.

Cómo se ve el mensaje y qué pasa después

El SMS llega corto y alarmante. Algunas variantes reales que circulan en México:

• "BBVA: Detectamos una transferencia SPEI retenida por $9,480. Si no la reconoces, libérala aquí: [enlace]"
• "BANORTE: Cargo sospechoso en tu cuenta. Verifica tu identidad para evitar el bloqueo: [enlace]"
• "Santander: Tu transferencia fue suspendida por seguridad. Confirma tus datos para desbloquearla: [enlace]"
• "Nu: Movimiento no reconocido. Cancela el cargo antes de 30 min: [enlace]"

El enlace no apunta al dominio real del banco. Apunta a una página alojada en un servicio gratuito o en un dominio desechable que imita, pixel por pixel, la pantalla de acceso de tu banca móvil o en línea: el logotipo, los colores, el campo de usuario y contraseña, hasta el botón. En cuanto escribes tus credenciales, viajan al estafador en tiempo real. Muchos de estos sitios además te piden el token o la clave dinámica "para confirmar"; con eso, el delincuente autoriza una transferencia SPEI saliente desde tu cuenta real mientras tú sigues mirando una pantalla de "validando...". El dinero sale por el mismo sistema instantáneo del que te asustaron, y por su naturaleza, no regresa.

Los enlaces falsos que SafeBrowz marca (ilustrativos)

La página clonada es la única pieza del fraude que vive en tu navegador, y por eso es la pieza que un escáner puede atrapar antes de que escribas una sola letra. Estas páginas se agrupan en alojamiento gratuito y dominios desechables. Los ejemplos de abajo son imitaciones ilustrativas, no servicios reales. Pega cualquiera en el verificador para ver cómo lo lee un análisis en vivo:

• bbva-spei-mx.vercel.app
• spei-banorte-mx.pages.dev
• transferencia-retenida.netlify.app

Fíjate en la forma. Una palabra de banco real ("bbva", "banorte") o una frase de la estafa ("transferencia-retenida") va pegada a un sufijo de alojamiento gratuito que ningún banco usa jamás para su acceso. Tu banca en línea de verdad vive en su propio dominio verificado, como bbva.mx, banorte.com o, para consultar la información oficial del propio sistema de pagos, el Banco de México en banxico.org.mx. Un banco nunca atiende su inicio de sesión desde un subdominio en vercel.app, pages.dev o netlify.app. Usa el cuadro de abajo para analizar cualquier enlace que te haya llegado por SMS antes de tocarlo.

Señales de alarma que marcan esto como fraude siempre

No necesitas ser experto en banca para detectarlo. La estructura del mensaje es la pista.

• Te dicen que una transferencia SPEI está "retenida" y que tú debes liberarla. Esta es la concluyente. El SPEI es instantáneo e irreversible; no hay ninguna retención que un cliente deba desbloquear con un enlace. La premisa misma del mensaje es falsa.
• El mensaje trae un enlace para "verificar", "validar", "liberar" o "desbloquear". Ningún banco en México te manda un enlace por SMS, WhatsApp o correo para que escribas tus claves. Te piden que entres por la app oficial o que llames al número del reverso de tu tarjeta, nunca que toques un enlace.
• Urgencia con cuenta regresiva. "Antes de 30 minutos", "para evitar el bloqueo", "tu cuenta será suspendida hoy". El reloj existe para que actúes sin pensar y sin consultar a nadie.
• El enlace no es el dominio real del banco. Si la dirección completa termina en vercel.app, pages.dev, netlify.app, en un acortador, o en un dominio con el nombre del banco pegado a palabras como "spei", "seguridad" o "verifica", no es tu banco.
• Te piden el token, la clave dinámica o el NIP "para confirmar". Esa clave autoriza movimientos. Un banco nunca te la pide por mensaje ni en una página a la que llegaste por un enlace. Entregarla es entregar el control de tu cuenta.
• El remitente parece oficial pero el número es raro. Los estafadores falsifican el nombre del remitente ("BBVA", "Banorte") para que el SMS caiga en el mismo hilo de los mensajes legítimos del banco. El nombre mostrado no prueba nada.
• Errores sutiles de redacción o de formato. Montos sin centavos, espacios raros, mezcla de mayúsculas, una despedida genérica. La banca real cuida ese detalle; las campañas masivas no siempre.

Lo que SafeBrowz ve en la red

El SMS y la llamada ocurren fuera del navegador, donde ningún software puede intervenir. Pero el enlace que hace posible todo el fraude, la página clonada del banco, es una página web, y ahí es donde la detección del lado del navegador se gana su lugar. En todo el motor de SafeBrowz, estas páginas se leen de forma consistente en las tres capas de detección.

Primero, los dominios son jóvenes y desechables. Un sitio de banca clonada casi siempre se registra horas o días antes de enviarse en la campaña de SMS, y se abandona en cuanto es denunciado. Los bancos mexicanos tienen dominios verificados de años de antigüedad. Solo las señales de edad del dominio ya marcan una gran parte de estos sitios antes de que cargue contenido alguno.

Segundo, el alojamiento delata. Una proporción enorme de estas páginas corre en alojamiento gratuito, una palabra de banco atornillada a un subdominio de vercel.app, pages.dev o netlify.app, porque los operadores queman cientos de sitios desechables y el alojamiento gratuito no cuesta nada. Un banco regulado no sirve su acceso desde un subdominio gratuito. La combinación de alojamiento gratuito más palabra de marca bancaria es en sí misma una señal de alta confianza, independiente de lo que diga la página.

Tercero, el contenido es un clon de inicio de sesión. Una pantalla que reproduce el logotipo, los colores y el formulario de acceso de un banco conocido, pidiendo usuario, contraseña y token, todo servido desde un host sin huella regulatoria, es un perfil de manual de suplantación de banca. El análisis a nivel de contenido atrapa una imitación recién creada que ninguna lista negra ha visto todavía, lo que importa porque estos sitios surgen más rápido de lo que cualquier lista estática puede seguir.

Cómo SafeBrowz bloquea esta amenaza

SafeBrowz ejecuta una arquitectura de detección de 3 capas: Local + APIs + IA.

• Capa 1 - Detección local: más de 60 patrones de URL + más de 550 firmas específicas de marcas (incluidas variantes homógrafas en cirílico y Punycode) + lista blanca/negra de la comunidad, todo corriendo directamente en la extensión antes de que la página se renderice. Atrapa al instante palabras de banco mexicano en subdominios de alojamiento gratuito, el abuso de TLD baratos y las familias de imitación tipo "spei", "transferencia-retenida" y "verifica-cuenta".
• Capa 2 - Verificaciones de API: agrega Google Safe Browsing, PhishTank, URLhaus, ScamAdviser, más la consulta de edad del dominio (la mayoría de estas páginas tienen días de vida) y más de 30 TLD de estafa.
• Capa 3 - Análisis profundo con IA: el análisis de suplantación de marca con conciencia de contenido en más de 100 idiomas atrapa una página de banca falsa recién creada que ninguna lista negra ha visto todavía, incluidas pantallas que imitan el acceso de un banco real.

Las firmas de detección se derivan de la investigación de inteligencia de amenazas y de nuestra base de datos interna de marcas, no de los datos de navegación de los usuarios. SafeBrowz no almacena el historial de navegación de cada usuario.

Para quienes no quieren instalar nada, el mismo motor impulsa el verificador de URL público gratuito. Pega cualquier enlace de un SMS de "tu banco" y obtén un veredicto en segundos.

Qué hacer ahora mismo

Si te llegó el mensaje, o si ya tocaste el enlace y escribiste algo, esta es la respuesta correcta.

1. No toques el enlace. Y si ya lo abriste, no escribas usuario, contraseña, token ni NIP. La página clona a tu banco, pero todo lo que escribas va al estafador.
2. Entra solo desde la app oficial o el sitio que ya conoces. Abre la app de tu banco que ya tienes instalada, o teclea tú mismo la dirección verificada, como bbva.mx o banorte.com. Nunca llegues a tu banca por un enlace que te enviaron.
3. Si ya entregaste tus claves, llama de inmediato a tu banco. Usa el número del reverso de tu tarjeta, no un número que venga en el mensaje. Pide que bloqueen tu acceso, cancelen la sesión y revisen movimientos. Cada minuto cuenta, porque el SPEI sale en segundos.
4. Cambia tu contraseña de banca en línea. Desde un dispositivo seguro y solo dentro de la app o el sitio oficial, no desde ningún enlace.
5. Reporta el fraude. Presenta tu queja ante la CONDUSEF en condusef.gob.mx o al teléfono 55 5340 0999, y denuncia el smishing ante la Policía Cibernética de la Guardia Nacional en gob.mx/gncertmx o por el correo cert-mx@gn.gob.mx. Para emergencias en curso, marca el 088 (línea de la Guardia Nacional) o el 911. Conserva el mensaje, el número remitente y el enlace como evidencia; no los borres.
6. Avisa a tu gente. Reenvía esta advertencia a familiares, sobre todo a quienes reciben muchos SMS y entran a su banca desde el celular. Un solo aviso a tiempo evita que toquen el enlace.

Cómo se conecta esto con otros fraudes bancarios

Si el gancho del "cargo sospechoso" te suena, es por algo. El smishing de la transferencia SPEI retenida es parte de una familia más amplia de suplantación de la banca que también llega por llamada falsa del "departamento de seguridad", por correo de phishing y por anuncios fraudulentos. La pieza que cambia es el pretexto; la maquinaria, llevarte a una pantalla de acceso clonada para robar tus claves, es la misma. Nuestra guía "Me estafaron, ¿qué hago ahora?" cubre en detalle los pasos de recuperación de la primera hora, que aplican igual cuando el fraude entró por un SMS bancario.

Lo nuevo en la ola de 2026 es el uso del SPEI como ancla emocional. Antes el pretexto era "tu tarjeta fue clonada"; ahora es "tu transferencia está retenida", porque el sistema de pagos instantáneo es de uso diario en México y la palabra SPEI inspira confianza. El truco no se volvió más sofisticado. Se volvió más local.

Preguntas frecuentes

¿Puede una transferencia SPEI quedar realmente "retenida" esperando que yo la libere?

No. El SPEI, operado por el Banco de México, liquida las transferencias en segundos y de forma irreversible. No existe un estado de "retención" que el cliente deba liberar con un enlace. Si un mensaje te dice que tu SPEI está retenida y que tú debes desbloquearla, la premisa es falsa y el mensaje es un fraude de smishing.

¿Mi banco me envía enlaces por SMS para verificar mi cuenta?

No. Ningún banco en México, ni BBVA, ni Banorte, ni Banamex, ni Santander, ni HSBC, ni Nu, te envía un enlace por SMS, WhatsApp o correo para que escribas tu usuario, contraseña o token. La banca legítima te pide entrar por la app oficial o llamar al número del reverso de tu tarjeta. Cualquier mensaje con un enlace para "liberar", "verificar" o "desbloquear" es smishing.

Toqué el enlace pero no escribí nada. ¿Estoy en riesgo?

Solo abrir la página rara vez basta para comprometer tu cuenta; el robo ocurre cuando escribes tus credenciales. Aun así, cierra la pestaña, no escribas nada, no descargues nada y, por precaución, entra a tu banca desde la app oficial para revisar movimientos. Si la página te pidió instalar una aplicación o dar permisos, no lo hagas y reporta el caso.

Ya escribí mi usuario, contraseña y token. ¿Qué hago de inmediato?

Llama ya mismo a tu banco con el número del reverso de tu tarjeta y pide que bloqueen tu acceso y revisen movimientos. Cambia tu contraseña de banca en línea desde la app oficial. Reporta el fraude a la CONDUSEF en condusef.gob.mx o al 55 5340 0999 y a la Policía Cibernética de la Guardia Nacional. El SPEI sale en segundos, así que actúa sin esperar.

¿Cómo distingo el dominio real del banco del falso?

La banca real vive en su propio dominio verificado, como bbva.mx o banorte.com, y la información oficial del sistema de pagos está en banxico.org.mx. Un enlace cuya dirección completa termina en vercel.app, pages.dev, netlify.app, en un acortador, o que pega el nombre del banco a palabras como "spei", "seguridad" o "verifica", no es tu banco. Ante la duda, no toques el enlace: entra por la app oficial.

¿Dónde reporto este fraude en México?

Reporta a la CONDUSEF en condusef.gob.mx o al 55 5340 0999, y denuncia el smishing ante la Policía Cibernética de la Guardia Nacional en gob.mx/gncertmx o por el correo cert-mx@gn.gob.mx. Para emergencias en curso puedes marcar el 088 de la Guardia Nacional o el 911. Conserva el SMS, el número remitente y el enlace como evidencia.

Instala SafeBrowz gratis

Agrega la extensión de navegador que analiza cada enlace, incluido el que un "banco" te manda por SMS, antes de que la página se renderice. Gratis para siempre.

Agregar a Chrome Agregar a Firefox Agregar a Edge