Los estafadores crean cuentas falsas de soporte técnico en Twitter, Instagram o Facebook para interceptar quejas públicas de usuarios enfadados y robarles credenciales. Esta técnica se llama angler phishing, y explota algo tan humano como la rabia de no poder entrar a tu banco un domingo por la tarde.
Publicas un tuit quejándote de tu entidad financiera, y a los dos minutos te responde una cuenta falsa de soporte con el logo del banco, nombre casi idéntico y un enlace "para resolver tu incidencia". El twitter soporte falso mueve miles de víctimas al año, y la estafa de atención al cliente funciona porque llega cuando estás vulnerable. El phishing en redes sociales ya no es solo DMs raros: es suplantación quirúrgica.
Cómo funciona el angler phishing paso a paso
El nombre viene del anglerfish, el pez abisal que cuelga una luz para atraer presas. La mecánica es idéntica. El atacante monitoriza menciones públicas de marcas grandes (bancos, operadoras, plataformas de pago) buscando usuarios enfadados que piden ayuda a cuentas oficiales.
Una vez detectada la queja, la cuenta falsa responde antes que el soporte real. Suele tener handle parecido (@BancoSabadell_Help en vez de @BancoSabadell), foto de perfil clonada y a veces hasta tuits antiguos copiados para parecer legítima. El mensaje redirige a un formulario, un chat de WhatsApp o una web clon donde pides "verificar tu identidad".
El resultado: entregas credenciales, OTP del SMS, DNI y a veces un selfie. En cuestión de horas tu cuenta bancaria está vaciada o tu perfil de Instagram secuestrado.
Señales de alerta que delatan una cuenta falsa
Detectar un soporte falso en redes sociales es más fácil de lo que parece si sabes dónde mirar. Las pistas suelen ser estas:
- Handle con guión bajo, números o sufijos raros: @PayPal_Support, @NetflixHelp_ES, @BBVA_Oficial2. Las marcas grandes tienen handles cortos y limpios.
- Sin verificación (el tick azul real, no el comprado): sospechoso. Aunque ojo, con la monetización del tick en X cualquiera puede llevarlo, así que no es garantía por sí solo.
- Cuenta creada hace pocas semanas o meses: mira la fecha de creación en el perfil.
- Pocos seguidores o ratio extraño: 200 seguidores pretendiendo ser el soporte de un banco con millones de clientes.
- Te piden salir de la plataforma: "Envíanos un DM", "contacta por WhatsApp al +34...", "rellena este formulario en bit.ly/...". El soporte real nunca pide credenciales por DM.
- Prisa y tono alarmista: "Tu cuenta será suspendida en 2 horas si no verificas".
La regla práctica: si la cuenta oficial tiene 2 millones de seguidores y la que te responde 1.400, algo huele mal. Si tienes dudas de legitimidad en general, revisa nuestra guía sobre phishing de PayPal, que comparte muchos patrones con estas estafas sociales.
Marcas más suplantadas y sectores de riesgo
Según informes recurrentes de Proofpoint y el INCIBE, las entidades más clonadas en angler phishing suelen ser:
| Sector | Ejemplos habituales | Ganchos típicos |
|---|---|---|
| Banca | BBVA, Santander, Sabadell, ING, N26, Revolut | "Cuenta bloqueada", "movimiento sospechoso" |
| Pagos | PayPal, Bizum, Wise | "Pago retenido", "verificación obligatoria" |
| Telecom | Movistar, Vodafone, Orange, Yoigo | "Factura impagada", "portabilidad" |
| Streaming | Netflix, HBO Max, Disney+ | "Método de pago caducado" |
| Ecommerce | Amazon, Correos, SEUR | "Paquete retenido en aduanas" |
Los atacantes usan herramientas de social listening para filtrar menciones en tiempo real. Basta una keyword tipo "@miBanco no me deja entrar" para que el bot les chive el tuit y un operador humano responda en segundos con la plantilla maliciosa.
Qué hacer si ya has picado
Si has llegado aquí porque ya has metido tus datos en un formulario sospechoso, el tiempo es oro. Actúa en este orden:
- Cambia inmediatamente la contraseña de la cuenta afectada desde un dispositivo limpio y la web oficial (no desde el enlace que te llegó).
- Activa 2FA con app autenticadora (Google Authenticator, Authy, Aegis). Evita SMS si puedes: el SIM swapping lo burla.
- Contacta con tu banco por el teléfono oficial (el del dorso de la tarjeta). Pide bloqueo preventivo y revisión de movimientos.
- Revisa si tu email está filtrado en Have I Been Pwned. Si sale, cambia todas las contraseñas reutilizadas.
- Denuncia ante la Policía Nacional o Guardia Civil (Grupo de Delitos Telemáticos) y reporta a INCIBE a través de su Línea de Ayuda en Ciberseguridad (017).
- Reporta la cuenta falsa a la red social correspondiente y a la marca suplantada (suelen tener formulario de brand abuse).
Si el secuestro afectó a tu propio perfil social y desde ahí han mandado mensajes a contactos, avisa por otro canal. Si teletrabajas desde casa, echa un vistazo a nuestro checklist de seguridad en el teletrabajo porque muchos ataques entran por el mismo equipo que usas para todo.
Cómo prevenir el angler phishing en el día a día
La prevención es higiene digital. Tres hábitos marcan la diferencia:
- No menciones a marcas con datos sensibles en público. Si te quejas de tu banco, no incluyas número de cuenta, ID de cliente ni referencia de operación. Estás pintándote una diana.
- Contacta siempre desde canales oficiales. Busca la cuenta desde la web de la empresa (sección "Contacto" o "Redes sociales"), no desde el buscador de la red social.
- Usa un gestor de contraseñas como Bitwarden o 1Password. No autocompletarán credenciales en dominios falsos, lo cual es un filtro de seguridad barato y efectivo.
Para perfiles con exposición mediática o empresarial, activa alertas de suplantación con herramientas como ZeroFox, PhishLabs o el propio Google Alerts. Las empresas también deberían incluir esta amenaza en su plan de continuidad de negocio ante ciberataques y formar al equipo de atención al cliente para reportar cuentas falsas en cuanto aparezcan. Si gestionas WordPress para clientes o proyectos propios, considera profesionalizar la infraestructura con servicios WordPress profesionales que incluyan monitorización de marca.
Preguntas frecuentes
¿Es lo mismo angler phishing que phishing normal?
No. El phishing clásico suele ser masivo (emails a miles de direcciones). El angler phishing es dirigido y reactivo: responde a quejas públicas específicas en redes sociales, lo que lo hace más creíble y efectivo.
¿Me puede pasar aunque no publique nada en redes sociales?
Si no interactúas públicamente con marcas, el riesgo directo baja mucho. Pero siguen existiendo DMs fríos con cuentas falsas que se hacen pasar por soporte, especialmente en Instagram y Telegram. La superficie de ataque nunca es cero.
¿Las cuentas verificadas con tick azul son siempre seguras?
No. Desde que X (Twitter) permitió comprar la verificación, el tick azul ya no garantiza identidad. Comprueba además la fecha de creación, el número de seguidores y si el perfil está en la sección oficial de enlaces de la marca.
¿Cómo denuncio una cuenta falsa en Twitter o Instagram?
En ambas redes hay un botón "Reportar" en el perfil o el tuit. Elige "Suplantación de identidad" o "Spam/Estafa". Las marcas grandes suelen tener formularios propios de brand protection que aceleran la retirada.
¿El banco me devuelve el dinero si pico en un angler phishing?
Depende. La normativa PSD2 europea obliga a devolver cargos no autorizados, pero si has facilitado tú mismo las credenciales por negligencia grave, pueden negarse. Denuncia siempre a la Policía: la denuncia es la base para reclamar.
El siguiente paso
Abre ahora tu perfil de Twitter o Instagram, busca la última mención que hayas hecho a una marca, y comprueba si alguien con handle sospechoso te respondió. Si es así, reporta la cuenta y avisa a tus seguidores en el mismo hilo. Cinco minutos que pueden ahorrarte un secuestro de cuenta.
