Cómo detectar phishing en Colombia: guía completa 2025-2026 para no caer en fraudes bancarios

Si tienes una cuenta bancaria en Colombia, es casi seguro que ya has recibido uno de estos mensajes. Un correo que dice ser de Bancolombia advirtiendo de un "acceso sospechoso". Un SMS de Nequi pidiéndote que "actualices tu cuenta". Una llamada de "Davivienda" solicitando tu clave dinámica.

Estos ataques se llaman phishing, smishing (phishing por SMS) y vishing (phishing por llamada telefónica). Y en Colombia, su frecuencia creció un 40% entre 2024 y 2025 según datos de la Policía Nacional.

En esta guía completa aprenderás a detectar cada variante del phishing en Colombia, con ejemplos reales de mensajes que están circulando hoy, señales de alerta concretas y un plan de acción si ya caíste en la trampa.

1. ¿Qué es phishing, smishing y vishing?

El phishing es una técnica de ingeniería social en la que los estafadores se hacen pasar por una empresa legítima para robar tus datos personales, contraseñas o dinero. En Colombia, los bancos son el objetivo principal porque representan la puerta de entrada a tu dinero.

Existen tres variantes principales que debes conocer:

Phishing por correo electrónico: Llega a tu bandeja de entrada con el logo de tu banco o de una empresa conocida. El correo incluye un enlace que te lleva a una página falsa idéntica a la original. Ahí ingresas tu usuario, contraseña y hasta tu clave dinámica — los estafadores capturan todo.

Smishing (SMS phishing): Es la misma idea pero por mensaje de texto. En Colombia es especialmente peligroso porque los SMS llegan mezclados con mensajes legítimos del banco. El estafador se aprovecha de que confías en los mensajes cortos.

Vishing (voice phishing): Llamada telefónica de alguien que dice ser del banco. Te alertan de un "cargo no reconocido" o un "intento de fraude" y te piden que verifiques tu identidad dando tu clave o código de seguridad. Es la más peligrosa porque el factor presión es inmediato.

En 2025, la Fiscalía registró más de 80.000 denuncias por phishing bancario en Colombia, un incremento del 40% frente al año anterior. Las pérdidas superaron los 280 mil millones de pesos colombianos, según la Superintendencia Financiera.

2. Phishing de Bancolombia, Nequi y Davivienda

Estos tres son los blancos principales. Bancolombia es el banco más grande del país, Nequi la fintech más popular entre jóvenes, y Davivienda tiene una gran base de usuarios de tarjetas de crédito. Los estafadores lo saben y ajustan sus ataques para cada plataforma.

NordVPN

🔒 Protege tu conexión

Los estafadores pueden interceptar tu conexión en redes WiFi públicas. Una VPN como NordVPN cifra tu tráfico y protege tus datos bancarios.

Ver oferta NordVPN →

Enlace de afiliado — nos apoyas sin costo extra para ti

Regla de oro: Ningún banco en Colombia — Bancolombia, Nequi, Davivienda, Daviplata, Banco de Bogotá, BBVA — te va a pedir nunca tus claves, códigos de seguridad o datos personales por correo, SMS, WhatsApp o llamada telefónica. Si alguien te los pide, es una estafa.

NordVPN

🏦

Recomendado · Cuenta segura

Nubank ofrece alertas en tiempo real desde su app y nunca te contacta por canales no oficiales para pedirte datos. Ideal como cuenta secundaria para separar tus gastos del día a día.

Abrir cuenta Nubank gratis

3. Facturas falsas de servicios públicos y operadores

Esta variante de phishing está creciendo rápidamente en Colombia. Los estafadores envían correos o mensajes haciéndose pasar por Claro, Movistar, Tigo, EPM, Acueducto de Bogotá o empresas de energía con facturas vencidas o pendientes.

Mismo patrón con Movistar, Tigo, EPM y Acueducto: los estafadores clonan el diseño de las facturas reales, usan montos creíbles y amenazan con suspensión del servicio. La única diferencia es el logo y el nombre. La regla es la misma: abre tu app oficial o tu correo en el sitio web oficial, nunca desde enlaces en mensajes sospechosos.

4. Phishing de MercadoLibre, Amazon y plataformas de compra

Con el crecimiento del comercio electrónico en Colombia, los estafadores han encontrado una mina de oro en las plataformas de compra. El gancho perfecto: "te llegó un paquete" o "hay un problema con tu compra".

El mismo patrón se repite con Amazon Colombia: "su paquete no pudo ser entregado", "confirme sus datos para la entrega", "tiene un reembolso pendiente". Siempre verificando desde el sitio oficial, nunca desde enlaces en correos. Amazon solo se comunica desde @amazon.com y sus notificaciones aparecen en tu cuenta dentro de la página web.

5. Phishing de mensajería (Interrapidisimo, Servientrega, Envia)

Las empresas de mensajería colombianas son otro blanco favorito. Como todos esperamos paquetes, el margen de credibilidad es alto.

Lo mismo ocurre con Servientrega, Envia, Coordinadora y DHL Colombia. Si estás esperando un paquete, usa el número de guía que te dieron y verifica el estado directamente en la página oficial. Nunca hagas clic en enlaces de correos que "casualmente" llegan justo cuando esperas algo.

6. Cómo identificar enlaces falsos (guía práctica de dominios)

La clave para detectar phishing está en los dominios. Los estafadores usan variaciones mínimas que pasan desapercibidas si no prestas atención. Aquí están los patrones más comunes en Colombia:

Truco infalible: pasa el mouse por encima del enlace sin hacer clic. En la mayoría de clientes de correo y navegadores verás la URL real en la esquina inferior izquierda. Si el dominio no coincide exactamente con el sitio oficial (sin guiones, sin números extra, sin palabras añadidas), no hagas clic.

7. Qué hacer si caíste en phishing bancario

Si diste clic en un enlace falso, ingresaste tus datos o transferiste dinero a un estafador, el tiempo es tu peor enemigo. Sigue estos pasos en orden inmediato:

Paso 1 — Llama al banco AHORA. El número de tu tarjeta, el que está en el sitio web oficial (no el que te dieron en la llamada). Pide el bloqueo inmediato de cuentas y tarjetas. Bancolombia: 604 333 0600. Nequi: 01 8000 515 515. Davivienda: 601 330 0000. Explica que fuiste víctima de phishing.

Paso 2 — Cambia todas tus contraseñas. Empieza por el correo electrónico asociado al banco (porque si controlan tu correo, pueden hacer "olvidé mi contraseña" en cualquier cuenta). Luego cambia la clave del banco, Nequi y cualquier otra plataforma financiera. Usa contraseñas diferentes para cada servicio.

Paso 3 — Revisa movimientos no autorizados. Entra a la app de tu banco (si aún puedes acceder) y verifica cada transacción de los últimos días. Reporta cualquier cargo que no reconozcas. Si no puedes entrar, pide al banco que te muestre los últimos movimientos cuando bloquees la cuenta.

Paso 4 — Denuncia ante la Fiscalía. Presenta la denuncia virtual en fiscalia.gov.co o presencial en un CAI Virtual o URI. Guarda todas las pruebas: capturas de pantalla del mensaje, correos, números desde los que te contactaron, comprobantes de transferencia. Cada denuncia suma para que las autoridades persigan a estas bandas.

Paso 5 — Reporta a la Superintendencia Financiera. Si el banco no te devuelve el dinero, presenta una queja formal ante la Superfinanciera. Según la ley colombiana, las entidades financieras deben responder por transacciones no autorizadas si actúas con prontitud.

Paso 6 — Alerta a tu círculo. Los estafadores que te robaron a ti probablemente van a intentar lo mismo con tus contactos usando tu información. Publica una alerta en redes sociales advirtiendo que fuiste víctima y que no respondan mensajes sospechosos que parezcan venir de ti.

Cómo protegerte del phishing en 2026

La prevención sigue siendo tu mejor defensa. Estas son las medidas que recomendamos para protegerte del phishing en Colombia hoy:

NordVPN

🔒

Recomendado · Protección extra

Una VPN como NordVPN cifra tu conexión a internet y bloquea sitios web maliciosos, incluyendo páginas de phishing bancario antes de que carguen. Ideal para usar en redes WiFi públicas de centros comerciales, aeropuertos y cafés en Colombia.

El phishing en Colombia no va a desaparecer. Pero tú puedes hacer que funcione cada vez menos. Cada vez que identificas una estafa y alertas a otros, estás rompiendo la cadena. Comparte esta guía con tu familia y amigos — especialmente con los adultos mayores, que son el blanco más frecuente de estos ataques.

Si tienes dudas sobre algún mensaje, correo o llamada que hayas recibido, pásalo por KAIZEN Protect. En segundos sabrás si es una estafa y qué hacer. No estás solo en esto.