El Relay Attack es la estafa bancaria que más está creciendo en España este verano, y su truco es tan simple como perturbador: no necesitan tocarte la tarjeta, ni tu móvil, ni nada. Solo necesitan que tú, sin saberlo, hagas todo el trabajo por ellos.
El Instituto Nacional de Ciberseguridad (Incibe) lanzó una alerta el 15 de julio de 2026 sobre esta modalidad de fraude que combina un SMS falso, una llamada convincente y la tecnología NFC de tu propio teléfono. El resultado: alguien puede estar sacando dinero de un cajero mientras tú crees que estás "solucionando un problema" con tu banco.
Cómo empieza el Relay Attack
Todo arranca con un mensaje que parece salir del hilo real de conversaciones de tu banco. Sin faltas, sin enlaces raros a la vista, con el tono exacto que usaría tu entidad. Te avisa de un acceso sospechoso o un cargo no autorizado y te deja un número de teléfono para "cancelarlo cuanto antes".
Ahí está la primera trampa: eres tú quien llama. Los estafadores saben que la gente ya desconfía de las llamadas entrantes, así que invierten el guion. Cuando marcas ese número, te atiende alguien que se hace pasar por un empleado del banco y que te guía paso a paso con una calma que desarma cualquier sospecha.
Qué es exactamente el Relay Attack
El Relay Attack —o ataque de retransmisión— es una técnica de ciberseguridad que consiste en interceptar y reenviar en tiempo real la comunicación entre dos dispositivos, sin necesidad de manipular ni leer directamente esos datos. Aplicado a la banca, el delincuente no roba tu tarjeta: retransmite su señal como si estuviera físicamente en el cajero.
La pieza clave de todo el engaño es el NFC, la misma tecnología que usas cada día para pagar sin contacto en el supermercado o el bar. Es una comunicación inalámbrica de corto alcance que tu tarjeta y tu móvil ya llevan integrada de fábrica, y que normalmente funciona a tu favor. Aquí, la usan en tu contra.
El momento en que te clonan la tarjeta
El falso empleado te pide instalar una aplicación de "seguridad" a través de un enlace por WhatsApp. Una vez descargada, llega la petición decisiva: acercar tu tarjeta a la parte trasera del móvil para "verificarla". Tú lo haces convencido de que estás protegiendo tu dinero.
En realidad, la aplicación maliciosa lee el chip de la tarjeta mediante NFC y retransmite esos datos en tiempo real a otro miembro de la organización, que puede estar esperando delante de un cajero a varios kilómetros de distancia. Mientras tú sigues al teléfono, tranquilo, el dinero ya está saliendo de tu cuenta.
Las tres señales que delatan la estafa
Carlos Hurtado, experto en ciberseguridad consultado por Incibe, resume el patrón en tres banderas rojas que rara vez fallan. Reconocerlas a tiempo es la diferencia entre colgar el teléfono y perder los ahorros.
Ningún banco genera una urgencia extrema por teléfono ni te obliga a actuar en minutos: esa presión es, precisamente, la herramienta psicológica del estafador. Tampoco te pedirá instalar aplicaciones fuera de las tiendas oficiales, y mucho menos durante una llamada en curso.
- No llames nunca al número que aparece en un SMS sospechoso; busca el teléfono oficial de tu banco en su web o app
- Desconfía de cualquier link recibido por WhatsApp que pida instalar una aplicación "de seguridad"
- Jamás acerques tu tarjeta al móvil por indicación de un desconocido, aunque diga trabajar en tu banco
- Si no usas pagos sin contacto a diario, mantén el NFC desactivado y actívalo solo en el momento de pagar
Qué hacer si ya has caído en la trampa
Si sospechas que has acercado tu tarjeta siguiendo estas instrucciones, la velocidad de reacción lo es todo. Desinstala la aplicación sospechosa de inmediato y llama a tu banco por el canal oficial para bloquear la tarjeta antes de que se produzcan más movimientos.
Después, guarda capturas de pantalla del SMS, del número desde el que te llamaron y de cualquier movimiento extraño, y presenta una denuncia. Incibe recuerda que su línea de ayuda 017 ofrece asesoramiento gratuito y confidencial para estos casos, además de apoyo psicológico si el susto ha sido grande.
Hacia dónde va esta estafa (y cómo plantarle cara)
La buena noticia es que el Relay Attack, pese a su nombre técnico, depende casi por completo de que tú actives cada paso: sin tu llamada, sin tu clic en el enlace y sin que acerques la tarjeta, el fraude simplemente no ocurre. Es una estafa de ingeniería social disfrazada de problema tecnológico, y eso significa que la mejor defensa sigue siendo la más antigua: la desconfianza sana ante cualquier urgencia bancaria.
Los bancos españoles, desde Bankinter hasta Banco Sabadell, ya han reforzado sus avisos internos sobre este patrón, y es previsible que en los próximos meses lleguen nuevas capas de verificación para pagos NFC a distancia. Mientras tanto, el consejo de los expertos es sencillamente el de siempre: si alguien te mete prisa con tu dinero, cuelga y llama tú. Esa pausa de treinta segundos es, casi siempre, todo lo que hace falta para desmontar la estafa.
