Un mensaje de tu billetera virtual te avisa que detectó un acceso sospechoso. Tiene el logo correcto, el tono correcto y un botón que dice "Verificar ahora".

Lo único que falta es que sea real. Según datos del Anti-Phishing Working Group, durante 2023 se registraron más de 4,7 millones de ataques de phishing a nivel global, y el sector financiero fue el más apuntado.

La mayoría de las víctimas no cayeron por descuido, sino porque el mensaje parecía legítimo.

El phishing es una técnica de suplantación donde alguien se hace pasar por una empresa, plataforma o persona de confianza para que entregues datos sensibles. Contraseñas, códigos de verificación, números de tarjeta, acceso a tu cuenta.

El mecanismo varía en formato, pero la lógica siempre es la misma: generar urgencia para que actúes antes de pensar.

Los canales más comunes son el correo electrónico, los SMS (una variante conocida como smishing), WhatsApp y las redes sociales.

Un mail puede imitar la estética completa de tu billetera virtual, con dominio parecido y firma corporativa incluida. Un SMS puede llegar con un enlace acortado y un aviso de "cuenta bloqueada".

En WhatsApp, el ataque suele venir con logo oficial y un supuesto agente de soporte que necesita "verificar tu identidad". Cada canal adapta el formato, pero todos buscan lo mismo: que hagas clic o compartas un dato sin detenerte a confirmar.

Cómo reconocer un mensaje de phishing

La diferencia entre caer y no caer está en detectar detalles que un mensaje legítimo nunca tendría. Hay cuatro señales que se repiten en casi todos los intentos.

Las cuatro señales de alerta más frecuentes

• El remitente no coincide con el dominio oficial. Un correo real de una plataforma financiera viene de un dominio verificado. Si el mail llega desde algo como "soporte@biiIletera-segura.com" (con letras duplicadas, caracteres extraños o dominios genéricos), es falso.
  
  En SMS, los números desconocidos o con prefijos internacionales que no corresponden a la empresa son una alerta inmediata.

• El enlace usa un dominio distinto al original. Antes de tocar cualquier link, mantenlo presionado para ver la URL completa. Los sitios de phishing usan dominios que se parecen al original pero incluyen palabras adicionales o extensiones raras, como "billetera-virtual-seguridad.site/verificar" en lugar del dominio real de la app.

• El mensaje genera urgencia fabricada. Frases como "Tu cuenta será suspendida en 2 horas" o "Si no respondes, perderás el acceso" están diseñadas para que no pienses. Ninguna plataforma seria te da un plazo de horas para resolver un problema de seguridad por mensaje.

• Te piden el código de verificación. Ese código que llega por SMS cuando inicias sesión o haces una operación existe para protegerte. Si alguien te lo pide por chat, por teléfono o por mail, está intentando entrar a tu cuenta desde otro dispositivo y necesita ese número para completar el acceso. Ninguna billetera virtual te va a pedir que compartas ese código por ningún canal.

Un mensaje simulado típico se ve así: "Estimado usuario, detectamos actividad inusual en tu cuenta. Para evitar el bloqueo, verifica tu identidad ingresando a [enlace sospechoso]. Tienes 24 hs."

Todo parece profesional, pero combina las cuatro señales: remitente genérico, enlace dudoso, urgencia y pedido implícito de credenciales.

Cómo evitar el phishing en tu billetera

Reconocer las señales ayuda, pero la protección real viene de hábitos que hacen inútil cualquier intento, incluso si un mensaje logra parecer convincente.

Activar el doble factor de autenticación es la medida más efectiva. Con el doble factor habilitado, aunque alguien obtenga tu contraseña, no puede acceder sin el segundo paso de verificación que solo tú controlas. La mayoría de las billeteras virtuales ofrecen esta opción en la configuración de seguridad.

Para confirmar si una comunicación es real, el camino más seguro es ir directamente a la app, sin seguir links de mensajes ni responder SMS, y sin chatear con "agentes" que te escriben primero.

En belo, toda la comunicación oficial con soporte se gestiona desde el Centro de Ayuda dentro de la app (perfil, Centro de Ayuda), con atención humana disponible las 24 horas.

Cualquier mensaje que llegue por fuera de ese canal pidiendo datos personales, contraseñas o códigos es falso.

Ninguna billetera virtual te va a pedir por mensaje tu contraseña, tu código de verificación, los datos completos de tu tarjeta ni que instales aplicaciones desde un enlace externo. Si un mensaje te pide alguna de esas cosas, ya tienes la respuesta.

Qué hacer si ya compartiste un dato

Si ya ingresaste datos en un sitio sospechoso o compartiste un código, cada minuto cuenta. El orden de acciones importa.

Pasos a seguir de forma inmediata

1. Cambia la contraseña de tu cuenta desde la app oficial, nunca desde ningún enlace que hayas recibido. Si usas la misma contraseña en otros servicios (correo, redes sociales), cámbialas también.

2. Revisa los movimientos recientes de tu cuenta para detectar operaciones que no reconozcas. Si encuentras algo extraño, toma capturas de pantalla de cada movimiento sospechoso, del mensaje que recibiste y de cualquier dato del remitente, ya que esas capturas funcionan como evidencia para el proceso de reclamo y para una eventual denuncia.

3. Contacta el soporte oficial de tu billetera virtual desde la app, nunca desde el mismo canal por el que llegó el mensaje fraudulento. Reporta lo ocurrido con el mayor detalle posible: qué datos compartiste, cuándo y a través de qué medio, para que el equipo pueda bloquear operaciones, desactivar tarjetas y asegurar tu cuenta.

4. Si hubo un perjuicio económico, haz la denuncia en la unidad de delitos informáticos de tu país. En Argentina, la Unidad Fiscal Especializada en Ciberdelincuencia (UFECI) recibe reportes de phishing. Guardar comprobantes, capturas y toda la secuencia de mensajes fortalece cualquier reclamo posterior.

La mecánica del phishing depende de que actúes rápido y sin verificar. Tu mejor herramienta es exactamente lo opuesto: frenar, revisar el remitente, confirmar desde la app y nunca compartir un dato que la plataforma ya tiene.

Preguntas frecuentes sobre qué es el phishing y cómo proteger tu billetera virtual

¿El phishing solo llega por correo electrónico?

No. Aunque el correo electrónico es uno de los canales más usados, los ataques de phishing también llegan por SMS, WhatsApp y redes sociales. Cada canal adapta el formato del mensaje, pero el objetivo es siempre el mismo: que entregues un dato sensible sin verificar la fuente.

Lo que cambia es la apariencia: un SMS imita una alerta de seguridad, un mensaje de WhatsApp simula ser un agente de soporte. La lógica detrás es idéntica en todos los casos.

¿Qué pasa si hice clic en el enlace pero no ingresé ningún dato?

Con solo hacer clic en algunos enlaces maliciosos puedes exponer información del dispositivo o quedar en una lista de blancos activos. Aunque no hayas ingresado datos, conviene cerrar el sitio de inmediato y revisar los movimientos de tu cuenta.

Activar el doble factor de autenticación si todavía no lo tienes es el paso siguiente más útil. Reduce significativamente el riesgo incluso si tu dispositivo quedó expuesto.

¿Cómo sé si el número de teléfono o correo que me escribió es realmente de mi billetera?

La única forma segura de verificarlo es abrir la app oficial y consultar desde allí los canales de contacto habilitados. Las empresas publican sus medios oficiales dentro de la propia plataforma, y cualquier comunicación que llegue por fuera de esos canales pidiendo datos debe tratarse como sospechosa.

En belo, toda consulta legítima pasa por el Centro de Ayuda dentro de la app. Si alguien te contacta por otro medio pidiendo información de tu cuenta, no es belo.

¿El doble factor de autenticación me protege aunque caiga en un phishing?

En la mayoría de los casos, sí. Si alguien obtiene tu contraseña pero no tiene acceso al segundo factor, no puede completar el ingreso a tu cuenta. Por eso activarlo es la medida individual más efectiva contra este tipo de ataques.

El doble factor no es infalible si compartes el código de verificación directamente, pero protege en todos los escenarios donde solo la contraseña quedó expuesta.

¿Puedo denunciar un intento de phishing aunque no haya perdido dinero?

Sí. Reportar el intento ante el soporte de tu billetera virtual ayuda a que la plataforma bloquee el remitente o el enlace fraudulento, protegiéndote a ti y a otros usuarios. En Argentina también puedes hacer el reporte ante la UFECI aunque no haya habido perjuicio económico.

Guardar capturas del mensaje, el remitente y la secuencia completa hace que el reporte sea más útil y facilita cualquier seguimiento posterior.