En pocas palabras: si alguien que se puso en contacto contigo te pide que le leas o le envíes un código, es una estafa. Da igual que diga que es tu banco, una empresa de tecnología o un organismo público. Lo recomendable: cuelga o deja de responder, y ponte en contacto tú con la empresa.
¿Qué es un código y por qué importa?
Muchas webs y apps te envían un código corto cuando inicias sesión. Suele tener seis números y llega por mensaje de texto (SMS), por correo o desde una app de tu teléfono. Se llama código de verificación, código de un solo uso o código de seguridad. Sirve para demostrar que eres tú.
Tu contraseña es como un candado en la puerta de tu casa. El código es un segundo candado: así, una contraseña robada no basta por sí sola. Nuestra guía de verificación en dos pasos explica este segundo candado.
La regla
Quien te pide tu código de verificación es un estafador. Google, por ejemplo, dice que nunca te llamará para verificar un código.
Cómo funciona el truco
- Un delincuente ya tiene tu contraseña, o intenta cambiarla.
- Intenta iniciar sesión y la web te envía un código porque cree que eres tú.
- Al mismo tiempo, el delincuente te llama o te escribe. Dice ser de tu banco o de una empresa de tecnología, y que necesita «confirmar que eres tú», «detener un fraude» o «hacerte una devolución».
- Te pide que le leas el código que te acaba de llegar.
- Si lo haces, entra en tu cuenta y puede cambiar la contraseña para dejarte fuera.
Una web falsa que se parece a la de tu banco o a la de tu correo puede hacer lo mismo: te pide la contraseña y el código, y el delincuente los escribe en la web real. Por eso conviene que entres tú en la web oficial (escribe la dirección o usa un marcador), y no por un enlace que te llegó en un mensaje.
Si te llega un código que no pediste
A veces llega un código y tú no intentaste iniciar sesión. Puede que alguien intente entrar en tu cuenta. O puede que alguien haya escrito tu número o tu correo por error.
- No compartas el código.
- No toques «aprobar» en ninguna solicitud de inicio de sesión que no empezaste tú.
- Si no esperabas esa solicitud, puede que alguien ya tenga tu contraseña. Cambia la contraseña desde un dispositivo de confianza, entrando tú en la web oficial.
Si alguien te pide un código
- Cuelga o deja de responder.
- No compartas nada.
- Ponte en contacto tú con la empresa. Toma tú el número de su web oficial, de tu extracto (o estado de cuenta) o de su app oficial.
Más en nuestra alerta sobre llamadas falsas del banco o de la policía.
Lo mismo vale para los PIN, los códigos de recuperación y las contraseñas
Trátalos igual que un código:
- Tu PIN (tu número secreto). No le digas el PIN de tu tarjeta del banco ni el PIN de tu cuenta con la compañía telefónica a alguien que te llama.
- Códigos de recuperación. Son códigos de reserva que te ayudan a volver a entrar en una cuenta si pierdes el teléfono. No le des un código de recuperación a alguien que te llama o te escribe (cómo guardarlos).
- Tu contraseña. Ninguna empresa real necesita que digas tu contraseña por teléfono.
Hay una excepción pequeña: el contacto de recuperación de la cuenta de Apple, una persona de confianza que te ayuda a volver a entrar. Ahí eres tú quien empieza la recuperación y quien se pone en contacto con ella, en persona o por teléfono, y ella te dice un código de seis dígitos. Si tú eres el contacto de recuperación de alguien, Apple indica que solo debes darle el código directamente a esa persona. Si otra persona te lo pide, no se lo des.
Si ya compartiste un código
Le pasa a gente lista y cuidadosa. Actúa rápido y con calma.
- Si hay dinero de por medio, llama primero a tu banco o a la empresa de tu tarjeta. Usa el número del reverso de tu tarjeta o el de la app oficial del banco.
- Cambia la contraseña de esa cuenta desde un dispositivo de confianza, entrando tú en la web oficial. Si instalaste una app porque te lo pidió quien llamó, bórrala. Si tienes un programa de seguridad, haz un análisis.
- Denúncialo en la policía de tu país.
Haz esto hoy (menos de 10 minutos)
- Escribe la regla (2 minutos). En una nota junto a tu teléfono, escribe: «No le leo un código a nadie».
- Guarda el número de tu banco (3 minutos). Cópialo del reverso de tu tarjeta en los contactos de tu teléfono.
- Cuéntaselo a una persona (3 minutos). Llama o escribe a alguien a quien quieres y acuerda con esa persona: «Si alguien nos pide un código, colgamos y llamamos nosotros».
Lee también: Por qué los códigos por SMS son la verificación en dos pasos más débil (y qué usar en su lugar)
Fuentes
- Comisión Federal de Comercio de EE. UU. (FTC), «What’s a verification code and why would someone ask me for it?», 7 mar 2024 (quien pide tu código es un estafador; llama a un número de confianza, como el de tu extracto o tu app): https://consumer.ftc.gov/consumer-alerts/2024/03/whats-verification-code-why-would-someone-ask-me-it
- FTC, «Use Two-Factor Authentication to Protect Your Accounts» (los dos candados; códigos de unos seis dígitos por mensaje de texto, correo o app): https://consumer.ftc.gov/articles/use-two-factor-authentication-protect-your-accounts
- FTC, «Never move your money to protect it. That’s a scam.» (ninguna llamada real te pedirá el código): https://consumer.ftc.gov/consumer-alerts/2024/03/never-move-your-money-protect-it-thats-scam
- FTC, «SIM Swap Scams: How To Protect Yourself» (pueden cambiar tus contraseñas; PIN de la cuenta del teléfono): https://consumer.ftc.gov/consumer-alerts/2019/10/sim-swap-scams-how-protect-yourself
- FTC, «What To Do if You Were Scammed» (qué hacer si ya pagaste o diste datos): https://consumer.ftc.gov/articles/what-do-if-you-were-scammed
- Ayuda de Google, verificación en dos pasos («Google nunca te llamará para verificar un código»), consultada el 1 nov 2026: https://support.google.com/accounts/answer/185839?hl=es
- Ayuda de Google, llamadas falsas sobre la seguridad de la cuenta (Google no te pedirá que leas un código ni que apruebes una solicitud por teléfono), consultada el 1 nov 2026: https://support.google.com/faqs/answer/17170932?hl=es
- Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA), hoja informativa sobre la verificación resistente al phishing (la web falsa pide la contraseña y el código): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf
- Soporte de Microsoft, «¿Por qué Microsoft me está enviando mensajes de texto?» (códigos que no pediste), consultado el 1 nov 2026: https://support.microsoft.com/es-es/accounts-billing/security/why-is-microsoft-texting-me
- Centro Nacional de Ciberseguridad del Reino Unido (NCSC), guía para personas de alto riesgo (solicitudes de aprobación que no esperabas): https://www.ncsc.gov.uk/collection/defending-democracy/guidance-for-high-risk-individuals
- Soporte de Apple, «Configurar un contacto de recuperación para la cuenta de Apple», consultado el 1 nov 2026: https://support.apple.com/es-es/102641
- Soporte de Apple, «Obtener un código de recuperación para un amigo o familiar como contacto de recuperación de su cuenta de Apple» («Solo debes proporcionar un código directamente a tu amigo o familiar»), consultado el 1 nov 2026: https://support.apple.com/es-es/102608
Revisado: 7 de noviembre de 2026. Nuestra transparencia: OjoconIA no tiene enlaces de afiliado y no gana nada con los sitios, las apps o las herramientas que se nombran en esta página. Si esto cambia alguna vez, lo diremos aquí, en esta página.
Deja una respuesta