Un apel care afișează numărul real al băncii nu mai reprezintă o dovadă că persoana de la celălalt capăt al firului este angajatul instituției. Prin tehnica numită caller ID spoofing, infractorii pot determina telefonul victimei să afișeze un alt număr decât cel de la care este efectuată în realitate convorbirea.
Banco de España avertizează că falsificarea poate viza chiar numărul serviciului oficial de relații cu clienții. O tehnică asemănătoare este folosită pentru SMS-uri: mesajul fals poate apărea în aceeași conversație în care utilizatorul a primit anterior notificări autentice de la bancă.
În iulie 2026, BBVA a semnalat o proliferare a apelurilor în care escrocii invocă „mișcări suspecte” și se prezintă drept angajați ai băncii, ai Poliției sau chiar ai Banco de España. Victimelor li se spune că banii trebuie mutați urgent într-o presupusă „cuenta segura”, creată pentru protejarea economiilor. Contul sigur este, în realitate, controlat de infractori.
Cum începe apelul
Scenariul este construit astfel încât victima să nu aibă timp să verifice informația. Persoana care sună poate spune:
„A fost făcută o plată pe care nu o recunoașteți.”
„Cineva încearcă să intre în aplicația dumneavoastră.”
„Cardul a fost clonat.”
„A fost adăugat un dispozitiv nou în cont.”
„Trebuie să anulăm imediat un transfer.”
INCIBE arată că apelurile de tip vishing folosesc în mod repetat amenințarea blocării contului, existența unei probleme financiare sau a unei activități suspecte. Urgența este intenționată: victima este împinsă să acționeze înainte să închidă telefonul și să contacteze banca printr-un canal verificat.
Într-o campanie documentată de INCIBE, apelantul spunea că fusese realizat un debit de aproximativ 950 de euro și întreba dacă titularul recunoaște operațiunea. Suma poate fi schimbată, însă întrebarea produce imediat panică și îl face pe client să accepte „ajutorul” oferit de falsul operator.
Faptul că apelantul cunoaște numele sau DNI-ul nu îl face legitim
Infractorii pot începe conversația folosind numele complet al victimei, banca la care are cont, numărul de telefon, adresa de e-mail sau fragmente din alte date personale. Aceste informații pot proveni din scurgeri de date, formulare frauduloase, rețele sociale ori baze de date tranzacționate ilegal.
Documentul publicat în 2026 de autoritățile europene de supraveghere financiară avertizează explicit că faptul că apelantul cunoaște date personale nu înseamnă că este demn de încredere. Aceleași tehnologii pot fi combinate cu înregistrări sau voci generate artificial pentru a face discuția mai convingătoare.
Escrocul poate confirma câteva informații pe care le știe deja și apoi cere victimei să „completeze verificarea” cu datele care îi lipsesc.
Ce încearcă să obțină în realitate
Ținta nu este neapărat simplul IBAN. Infractorii urmăresc date sau acțiuni care le permit să intre în aplicația bancară și să aprobe operațiuni:
- utilizatorul și parola pentru banca online;
- numărul complet al cardului, data expirării și codul CVV;
- PIN-ul cardului;
- codurile OTP primite prin SMS;
- aprobarea unei notificări apărute în aplicația bancară;
- semnătura electronică sau cheia de confirmare;
- instalarea unei aplicații de acces la distanță;
- transferul banilor într-un cont indicat de apelant.
Poliția Națională a descris cazuri în care victimele erau trimise mai întâi către o pagină falsă care imita banca. După obținerea utilizatorului și parolei, escrocii sunau și cereau codurile primite prin SMS, pretinzând că acestea sunt necesare pentru anularea operațiunii. În realitate, codurile confirmau accesul sau transferul inițiat chiar de infractori.
Banco de España subliniază un detaliu decisiv: banca nu are nevoie de codul temporar primit de client pentru a anula o presupusă tranzacție frauduloasă. Dacă utilizatorul nu a inițiat o operațiune, nu trebuie să comunice codul care tocmai a ajuns pe telefon.
Cum este transformată victima în autorul aparent al transferului
În unele cazuri, infractorul nu intră singur în cont. Îl convinge pe titular să efectueze operațiunea.
Victimei i se spune să deschidă aplicația oficială a băncii, să introducă un IBAN și să transfere banii într-un „cont securizat”. Pentru că transferul este inițiat și autorizat chiar din telefonul titularului, recuperarea banilor poate deveni mai dificilă.
În alte cazuri, falsul angajat îi cere persoanei să instaleze o aplicație pentru „verificarea dispozitivului” sau „asistență tehnică”. Prin aplicații de control la distanță, atacatorul poate vedea ecranul, urmări codurile și opera în aplicația bancară. Autoritățile financiare avertizează că băncile nu cer clienților să instaleze software de acces la distanță și nici să partajeze ecranul pentru rezolvarea unei probleme de securitate.
Alte victime sunt trimise la bancomat sau la o sucursală pentru a retrage numerar ori pentru a realiza transferuri. BBVA precizează în alerta din 6 iulie 2026 că nu va cere telefonic unui client să autorizeze urgent operațiuni, să instaleze aplicații, să ofere acces la dispozitiv sau să meargă la bancomat pentru a-și „proteja” contul.
Numărul afișat nu trebuie apelat înapoi din istoricul telefonului
Când apare orice suspiciune, convorbirea trebuie închisă. Clientul trebuie să deschidă aplicația oficială, să verifice tranzacțiile și să apeleze numărul înscris pe spatele cardului, în aplicație sau pe site-ul oficial introdus manual.
Nu trebuie folosit numărul transmis prin SMS, dictat de apelant sau găsit într-o reclamă sponsorizată neverificată. Nici opțiunea „apelare înapoi” din istoricul telefonului nu este cea mai sigură metodă atunci când identificatorul inițial ar fi putut fi falsificat.
Unele bănci au început să introducă mecanisme proprii de verificare. Santander a lansat în mai 2026 funcția „Santander te llama”: atunci când banca sună, clientul primește simultan o notificare în aplicație și un e-mail oficial. Santander precizează că această confirmare nu este transmisă prin SMS sau aplicații de mesagerie.
BBVA implementează progresiv o funcție prin care anumite apeluri pot fi confirmate în secțiunea „Seguridad y Privacidad” a aplicației. Dacă verificarea nu apare, clientul este sfătuit să nu ofere date, coduri și să nu facă operațiuni.
Aceste funcții sunt specifice fiecărei bănci. Lipsa lor nu transformă automat apelul într-o fraudă, dar nici simpla apariție a numelui băncii pe ecran nu îl face autentic.
Ce măsuri a introdus Spania împotriva spoofingului
Spania a adoptat Orden TDF/149/2025 pentru limitarea apelurilor și mesajelor cu identificatori manipulați. Norma obligă operatorii să blocheze, printre altele, apelurile care folosesc numere spaniole neatribuite și apelurile sosite din străinătate care afișează în mod fals un număr spaniol, cu excepția situațiilor legitime de roaming. Sunt prevăzute și blocaje pentru SMS-urile care utilizează numere sau aliasuri alfanumerice neînregistrate.
Măsurile reduc anumite metode tehnice, dar nu elimină apelurile frauduloase. Infractorii pot folosi numere reale compromise, redirecționări, date furate sau alte forme de inginerie socială. Din acest motiv, verificarea separată rămâne obligatorie.
Ce faci dacă ai comunicat datele
Dacă ai oferit o parolă, un cod OTP, datele complete ale cardului sau ai aprobat o operațiune, nu aștepta să vezi dacă dispar banii.
Contactează imediat banca prin canalul oficial și cere blocarea accesului, a cardurilor și a transferurilor aflate încă în procesare. Schimbă parola aplicației bancare și orice alt cont unde ai folosit aceeași parolă. Dacă ai instalat o aplicație la indicația apelantului, deconectează dispozitivul de la internet, dezinstalează aplicația și verifică telefonul sau computerul cu o soluție de securitate.
Păstrează SMS-urile, capturile de ecran, numărul afișat, ora apelului, contul beneficiar și dovada transferului. Acestea trebuie prezentate la Policía Nacional sau Guardia Civil. INCIBE recomandă sesizarea autorităților și pune la dispoziție linia gratuită și confidențială 017 pentru sprijin în incidente de securitate cibernetică.
Dacă apare ulterior o persoană care promite recuperarea banilor în schimbul unei taxe, trebuie oprit orice contact. Autoritățile europene avertizează asupra fraudei secundare de tip recovery room, prin care aceeași victimă este înșelată din nou sub pretextul recuperării prejudiciului.
Regula care poate opri aproape întregul scenariu este simplă: un apelant legitim poate accepta că închizi telefonul și contactezi singur banca. Un escroc va încerca să te țină în convorbire, să te grăbească și să te convingă că orice verificare separată pune banii în pericol.
Surse folosite:
- Banco de España – falsificarea identificatorului apelurilor și a expeditorului SMS, plus regulile privind codurile temporare.
- INCIBE – caracteristicile apelurilor de tip vishing și pașii necesari după compromiterea datelor.
- BBVA – alerta din 6 iulie 2026 privind „mișcările suspecte” și falsa „cuenta segura”.
- Banco Santander – sistemul de verificare în timp real „Santander te llama”, lansat în mai 2026.
- BOE – Orden TDF/149/2025 și măsurile de blocare a numerelor și aliasurilor manipulate.
- Autoritățile europene de supraveghere financiară și Banco de España – ghidul din 2026 despre fraudele financiare și utilizarea inteligenței artificiale.
