•  - BBVA nunca te enviará un SMS con un enlace. Si recibes alguno que incluya un link, aunque aparezca en el hilo de BBVA, es falso.
• - No proporciones información personal o bancaria en páginas web a las que has accedido desde un enlace incluido en un SMS o email.
• Los códigos de un solo uso (One Time Password, OTP por sus siglas en inglés) son secretos y BBVA nunca va a pedirlos por correo, llamadas entrantes o SMS. Estos códigos solo son solicitados en las aplicaciones oficiales del banco y en procesos concretos que lo requieran (por ejemplo, en las transferencias no habituales). 
  

La Guardia Civil ha desarticulado un grupo criminal que vació las cuentas de dos centenares de clientes de BBVA de toda España. La organización hacía envíos masivos de mensajes suplantando a la entidad y robaba las claves de las personas que caían en el engaño. Los investigadores han logrado detener a 40 individuos de diferentes nacionalidades que se ocultaban principalmente en Cataluña.

Se trata de una de las mayores operaciones policiales efectuadas hasta ahora en territorio nacional contra las estafas bancarias o 'smishing' (fraude mediante el envío de SMS). El grueso del dispositivo, dirigido por la Unidad de Policía Judicial de la Comandancia de la Guardia Civil de Madrid, se desarrolló durante la semana del pasado 6 de junio, aunque las diligencias se mantuvieron bajo secreto de sumario hasta hace solo unos días. 

El operativo se saldó con el arresto de una treintena de implicados en la provincia de Lleida y de otra decena en el área de Barcelona. Además de las detenciones, los agentes también se incautaron de abundante documentación y efectos informáticos que están siendo analizados. Entre los acusados figuran varios cabecillas, responsables del aparato tecnológico, encargados de las finanzas y simples fiduciarios que prestaban su identidad para lavar el dinero robado.

Según las fuentes consultadas, el grupo enviaba mensajes de texto (SMS) de manera indiscriminada simulando una supuesta comunicación remitida por BBVA a sus clientes para advertirles de un supuesto fallo de seguridad o del bloqueo de sus cuentas. El mensaje solicitaba a los destinatarios que pincharan en un enlace para solventar el problema. El 'link' redirigía a una página web que aparentaba pertenecer a ese banco y en la que se pedían los datos personales y las claves de acceso. En cuanto los afectados introducían la información solicitada, el grupo limpiaba sus ahorros. 

Unas 200 personas habrían caído en la trampa, aunque la cifra es provisional y se prevé que aumente a medida que avance el caso. El dinero salía de las cuentas de los afectados mediante transferencias a depósitos controlados por miembros de la propia red. Posteriormente, los fondos cambiaban varias veces de manos para tratar de dificultar su seguimiento. Finalmente, cuando ya era prácticamente imposible identificar su origen, el dinero pasaba a integrarse en la caja de la organización.

La estafa desactivada por la Guardia Civil incorporaba un potente avance sobre versiones anteriores de este tipo de prácticas delictivas. Los cerebros tecnológicos del grupo habían conseguido que sus mensajes aparecieran en la misma bandeja de SMS que las comunicaciones auténticas enviadas por BBVA a sus clientes. 

 La entidad advirtió varias veces a lo largo de 2021 de que se estaba produciendo un envío de 'smishing' suplantando su imagen. “Estimado cliente, hemos detectado una anomalía en su cuenta, para evitar el bloqueo, verifique sus datos aquí”, decían algunos de esos mensajes junto a una dirección URL que conducía a la página simulada de BBVA. En otras ocasiones, el falso SMS alertaba de que una cuenta había sido “desactivada” por la seguridad del cliente y pedía introducir los datos personales para “verificar” su identidad. 

Fuentes:

https://www.elconfidencial.com/espana/2022-07-13/bbva-cuentas-clientes-guardia-civil-estafa-fraude-smishing_3459958/