AnyDesk (análisis forense)

AnyDesk (análisis forense)

11 minutos. Ese fue el tiempo que un falso asesor de “Revolut Security” necesitó para vaciar €147,000 de la cuenta de un empresario barcelonés vía AnyDesk en diciembre 2025. La llamada comenzó: “Detectamos movimientos sospechosos, necesitamos verificar su identidad”. El empresario instaló AnyDesk pensando que era el banco quien accedía. Resultado: 7 transferencias instantáneas a mulas bancarias en menos de 12 minutos. La Policía recuperó solo €23,000. El análisis forense del archivo ad.trace reveló 127 acciones remotas: clicks, pulsaciones teclado, y acceso a 14 archivos bancarios PDF que el atacante copió antes de vaciar la cuenta.

Definición Técnica

AnyDesk es un software escritorio remoto legítimo desarrollado por AnyDesk Software GmbH (Alemania) que permite control remoto total de un dispositivo Windows/Mac/Linux/Android/iOS mediante conexión cifrada peer-to-peer.

Uso legítimo:

• Soporte técnico remoto (IT help desk)
• Teletrabajo (acceso ordenador oficina desde casa)
• Administración servidores remotos
• Formación/educación (demostración pantalla)

Uso malicioso (RAT: Remote Access Trojan):

Instalación mediante engaño (ingeniería social):
  ✅ Phishing: Email falso "Microsoft Support" solicita instalar AnyDesk
  ✅ Vishing: Llamada telefónica "Banco Security" pide instalar app
  ✅ Soporte técnico falso: Popup navegador "PC infectado, llama +34 XXX"
  ✅ Estafa inversión cripto: "Asesor financiero" necesita acceso remoto

Una vez instalado:
  ❌ Atacante controla dispositivo COMPLETAMENTE
  ❌ Puede ver pantalla en tiempo real
  ❌ Ejecutar clicks, escribir texto (keystrokes)
  ❌ Transferir archivos (robo documentos)
  ❌ Instalar malware adicional (keyloggers, infostealers)
  ❌ Realizar transacciones bancarias (vaciado cuentas)

Características técnicas AnyDesk:

• Conexión P2P (peer-to-peer): Sin servidor intermediario (más difícil detectar)
• Cifrado TLS 1.2: Tráfico red no inspectable (bypass firewalls)
• ID único dispositivo: Cada instalación = ID numérico (ej: 123456789)
• Modo desatendido: Acceso sin interacción usuario (modo silencioso)
• Sin autenticación por defecto: Solo necesita ID (sin contraseña)

Alternativas similares:

• TeamViewer (más conocido, mayor detección antivirus)
• Supremo (usado estafas soporte técnico Italia/España)
• AmmyAdmin (popular cibercriminales rusos)
• UltraVNC (menos detección, más usado ransomware)

Operación Vicentius: AnyDesk como vector de estafa de inversión

La Operación Vicentius de la Guardia Civil es el caso español de referencia sobre AnyDesk como vector de fraude. Doce personas fueron investigadas en febrero de 2026 por actuar como mulas bancarias de una organización internacional dedicada a la estafa, el blanqueo de capitales y el acceso ilícito a sistemas informáticos.

Qué ocurrió, según la nota oficial

La investigación arrancó con la denuncia de una mujer en La Rioja que detectó movimientos bancarios no autorizados y no pudo recuperar unas supuestas inversiones en criptomonedas. Falsos asesores financieros le mostraron una plataforma manipulada con gráficos ficticios que simulaban beneficios crecientes y, una vez ganada su confianza, la convencieron de instalar AnyDesk en sus dispositivos con la excusa de ayudarla a gestionar operaciones complejas.

Las mulas facilitaban cuentas propias o abrían nuevas para recibir el dinero sustraído, y después lo extraían, fraccionaban y redistribuían mediante transferencias sucesivas a cuentas nacionales y extranjeras, o lo convertían en criptomonedas. El rastreo de esas 42 transferencias fue lo que permitió identificar ramificaciones de la organización en Europa y Asia.

Fuente: nota de prensa de la Guardia Civil (5 de febrero de 2026).

Modus operandi del fraude con acceso remoto

Lo que sigue es el patrón general de este tipo de estafa, tal como se documenta en los peritajes: no son detalles internos de una operación policial concreta, sino la secuencia que se repite en los casos que llegan a un informe pericial.

Fase 1: Vishing (Voice Phishing):

Llamada telefónica víctima:
  Número: Spoofed (aparece número real banco)
  Locución: "BBVA Seguridad, detectamos movimientos sospechosos su cuenta"

Script típico:
  Operador: "Buenos días, ¿es usted [NOMBRE VÍCTIMA]?"
  Víctima: "Sí, soy yo."
  Operador: "Le llamamos del departamento fraude BBVA. Hemos detectado
            3 intentos compra online desde Rumania por €2,400.
            ¿Ha realizado estas transacciones?"
  Víctima: "No, yo no he comprado nada en Rumania."
  Operador: "Perfecto, vamos a bloquear su cuenta inmediatamente.
            Para verificar identidad, necesitamos acceso remoto dispositivo.
            ¿Tiene ordenador o móvil cerca?"

Fase 2: Instalación AnyDesk:

Operador guía víctima paso a paso:
  1. "Abra navegador, escriba: anydesk.com/download"
  2. "Descargue aplicación, pulse 'ejecutar'"
  3. "¿Ve un número 9 dígitos? Dígame ese número."

Víctima proporciona ID AnyDesk: 847-293-561

Operador: "Perfecto, en 5 segundos verá ventana 'solicitud acceso remoto'.
           Pulse 'Aceptar'. Es nuestro sistema seguridad verificando."

Fase 3: Control remoto (vaciado cuenta):

Atacante (operador AnyDesk España) ejecuta:

T+0 min: Acceso remoto concedido
  - Víctima ve cursor moverse solo (operador explica: "proceso automático")

T+2 min: Acceso banca online
  - Atacante abre banca online (víctima proporciona usuario/clave oralmente)
  - Si 2FA SMS: Operador pide código ("necesitamos verificar es usted")

T+5 min: Transferencias
  Transferencia 1: €15,000 → Cuenta mula 1 (concepto: "Devolución préstamo")
  Transferencia 2: €15,000 → Cuenta mula 2 (concepto: "Pago proveedor")
  Transferencia 3: €12,000 → Cuenta mula 3 (concepto: "Alquiler vivienda")
  ...
  (Fraccionamiento: menor de €15K evita alertas bancarias)

T+11 min: Desconexión
  Operador: "Listo, hemos bloqueado movimientos fraudulentos.
            Recibirá SMS confirmación. Cierre aplicación AnyDesk.
            Gracias por su colaboración."

T+18 min: Víctima descubre
  - Recibe SMS banco: "Transferencia €15,000 realizada"
  - Comprueba saldo: €147,000 → €0
  - Llama banco: "NO hemos llamado, es estafa"

Análisis Forense AnyDesk

Artefactos recuperados investigación:

1. Logs conexión (archivo ad.trace):

Ubicación Windows:
  C:\Users\[USUARIO]\AppData\Roaming\AnyDesk\ad.trace

Contenido (fragmento):
  2026-01-12 10:47:23.441 - Incoming connection request from 382-749-120
  2026-01-12 10:47:31.882 - Access granted to 382-749-120
  2026-01-12 10:47:45.329 - Mouse input: Click (x=542, y=318)
  2026-01-12 10:48:12.774 - Keyboard input: "usuario_banco_victima"
  2026-01-12 10:48:28.193 - Keyboard input: "P@ssw0rd2025"
  2026-01-12 10:49:47.621 - File transfer initiated: "Extracto_Bancario_2025.pdf" (325 KB)
  2026-01-12 10:52:18.447 - Clipboard data: "ES12 3456 7890 1234 5678 9012" (IBAN mula)
  2026-01-12 10:58:33.891 - Connection closed by 382-749-120

Evidencias forenses clave:
  ✅ ID remoto atacante: 382-749-120
  ✅ Duración conexión: 11 minutos 10 segundos
  ✅ Credenciales bancarias capturadas (keystrokes)
  ✅ IBAN destino transferencias (clipboard)
  ✅ Archivo bancario robado (file transfer)

2. Historial conexiones (connection_incoming.txt):

Ubicación:
  C:\Users\[USUARIO]\AppData\Roaming\AnyDesk\connection_incoming.txt

Contenido:
  382-749-120|2026-01-12 10:47:23|2026-01-12 10:58:33
  382-749-120|2026-01-14 09:12:45|2026-01-14 09:15:18  ← Reconexión (verificar vacío cuenta)

Conclusión forense:
  Atacante reconectó 2 días después (verificar no quedó dinero)

3. Capturas pantalla automáticas:

Configuración AnyDesk (opcional):
  Settings → Security → Automatically record sessions

Si activado (algunas víctimas SÍ):
  Carpeta: C:\Users\[USUARIO]\Documents\AnyDesk\
  Archivos: session_2026-01-12_104723.avi (vídeo sesión completa)

Evidencia visual:
  - Cursor atacante moviéndose
  - Transferencias ejecutadas pantalla
  - Acceso aplicación bancaria

4. Registro Windows (persistencia):

## Clave registro instalación AnyDesk
HKEY_CURRENT_USER\Software\AnyDesk

Valores forenses:
  - InstallPath: C:\Program Files (x86)\AnyDesk\AnyDesk.exe
  - AutoStart: 1 (arranca con Windows)
  - Password: [HASH] (si modo desatendido configurado)
  - Alias: "Support_BBVA" ← Alias falso configurado atacante

5. Tráfico red (si captura disponible):

## Filtrar tráfico AnyDesk (puerto 7070 TCP por defecto)
$ tshark -r capture.pcap -Y "tcp.port == 7070"

Frame 1247: AnyDesk handshake to 185.220.101.42 (IP servidor AnyDesk)
Frame 1248: TLS encrypted data (contenido no legible: cifrado)

Geolocalización IP remota:
  185.220.101.42 → Rumania (Bucharest)

Análisis forense AnyDesk: paso a paso pericial

Fase 1: Adquisición Evidencias

Dispositivo Windows:

## 1. Copiar directorio AnyDesk completo (preservar timestamps)
robocopy "C:\Users\[USUARIO]\AppData\Roaming\AnyDesk" \
         "E:\Evidencias\AnyDesk" /E /COPY:DAT /R:0 /W:0

## 2. Exportar registro Windows (claves AnyDesk)
reg export "HKCU\Software\AnyDesk" \
           "E:\Evidencias\Registry_AnyDesk.reg"

## 3. Capturar eventos Windows (log instalación)
wevtutil qe Application /q:"*[System[Provider[@Name='MsiInstaller']]]" \
         /f:text > E:\Evidencias\Windows_Install_Log.txt

## 4. Hash forense (integridad evidencia)
certutil -hashfile E:\Evidencias\AnyDesk\ad.trace SHA256

Dispositivo Mac:

## Ubicación logs AnyDesk Mac
~/Library/Application Support/AnyDesk/

## Copiar con preservación metadatos
cp -R ~/Library/Application\ Support/AnyDesk/ /Volumes/USB/Evidencias/

Dispositivo Android:

Ubicación: /data/data/com.anydesk.anydeskandroid/files/

Herramienta extracción:
  - ADB (Android Debug Bridge): Requiere root
  - Imagen forense completa (Cellebrite, Magnet AXIOM)

Fase 2: Análisis Logs (ad.trace)

Herramienta recomendada: Log parser manual + regex

Extracción datos clave:

import re
from datetime import datetime

def parse_anydesk_trace(file_path):
    """
    Analiza archivo ad.trace extrayendo conexiones remotas
    """
    connections = []

    with open(file_path, 'r', encoding='utf-8', errors='ignore') as f:
        lines = f.readlines()

    current_connection = None

    for line in lines:
        # Detectar inicio conexión
        match_incoming = re.search(r'(\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2}\.\d{3}) - Incoming connection request from (\d{3}-\d{3}-\d{3})', line)
        if match_incoming:
            timestamp = datetime.strptime(match_incoming.group(1), '%Y-%m-%d %H:%M:%S.%f')
            remote_id = match_incoming.group(2)
            current_connection = {
                'remote_id': remote_id,
                'start_time': timestamp,
                'keystrokes': [],
                'files_transferred': [],
                'clipboard': []
            }

        # Detectar acceso concedido
        if current_connection and 'Access granted' in line:
            match_granted = re.search(r'(\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2}\.\d{3})', line)
            if match_granted:
                current_connection['access_granted'] = datetime.strptime(match_granted.group(1), '%Y-%m-%d %H:%M:%S.%f')

        # Detectar pulsaciones teclado (potencial credenciales)
        if current_connection:
            match_keyboard = re.search(r'Keyboard input: "(.*?)"', line)
            if match_keyboard:
                keystroke = match_keyboard.group(1)
                current_connection['keystrokes'].append(keystroke)

        # Detectar transferencias archivos
        if current_connection:
            match_file = re.search(r'File transfer initiated: "(.*?)" \((\d+) (KB|MB)\)', line)
            if match_file:
                filename = match_file.group(1)
                size = match_file.group(2)
                unit = match_file.group(3)
                current_connection['files_transferred'].append({
                    'filename': filename,
                    'size': f"{size} {unit}"
                })

        # Detectar datos portapapeles (posible IBAN/datos sensibles)
        if current_connection:
            match_clipboard = re.search(r'Clipboard data: "(.*?)"', line)
            if match_clipboard:
                clipboard_data = match_clipboard.group(1)
                current_connection['clipboard'].append(clipboard_data)

        # Detectar fin conexión
        if current_connection and 'Connection closed' in line:
            match_closed = re.search(r'(\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2}\.\d{3})', line)
            if match_closed:
                current_connection['end_time'] = datetime.strptime(match_closed.group(1), '%Y-%m-%d %H:%M:%S.%f')
                duration = (current_connection['end_time'] - current_connection['start_time']).total_seconds()
                current_connection['duration_seconds'] = duration
                connections.append(current_connection)
                current_connection = None

    return connections

## Uso
connections = parse_anydesk_trace('ad.trace')

## Generar informe pericial
for i, conn in enumerate(connections, 1):
    print(f"\n=== CONEXIÓN REMOTA #{i} ===")
    print(f"ID Remoto: {conn['remote_id']}")
    print(f"Inicio: {conn['start_time']}")
    print(f"Fin: {conn['end_time']}")
    print(f"Duración: {conn['duration_seconds']/60:.2f} minutos")
    print(f"\nCredenciales capturadas (keystrokes):")
    for ks in conn['keystrokes']:
        print(f"  - {ks}")
    print(f"\nArchivos transferidos:")
    for file in conn['files_transferred']:
        print(f"  - {file['filename']} ({file['size']})")
    print(f"\nDatos portapapeles (posible IBAN):")
    for cb in conn['clipboard']:
        print(f"  - {cb}")

Output ejemplo:

=== CONEXIÓN REMOTA #1 ===
ID Remoto: 382-749-120
Inicio: 2026-01-12 10:47:23
Fin: 2026-01-12 10:58:33
Duración: 11.17 minutos

Credenciales capturadas (keystrokes):
  - usuario_banco_victima
  - P@ssw0rd2025
  - 472819  ← Código SMS 2FA

Archivos transferidos:
  - Extracto_Bancario_2025.pdf (325 KB)
  - DNI_Scan.jpg (1.2 MB)

Datos portapapeles (posible IBAN):
  - ES12 3456 7890 1234 5678 9012  ← Cuenta mula destino

Fase 3: Correlación Evidencias

Timeline forense completo:

1. Llamada vishing (registro telefónico):
   10:42h - Llamada entrante desde +34 XXX (spoofed)
   Duración: 17 minutos

2. Instalación AnyDesk (log Windows):
   10:45h - Descarga AnyDesk.exe (5.7 MB)
   10:46h - Ejecución AnyDesk.exe (evento ID 11707 MsiInstaller)

3. Conexión remota (ad.trace):
   10:47h - Solicitud acceso desde ID 382-749-120
   10:47h - Acceso concedido

4. Acceso banca online (logs navegador Chrome):
   10:48h - https://bancoonline.bbva.es/ (sesión iniciada)

5. Transferencias bancarias (extracto banco):
   10:52h - Transfer €15,000 a ES12...9012 (cuenta mula 1)
   10:54h - Transfer €15,000 a ES34...4523 (cuenta mula 2)
   10:56h - Transfer €12,000 a ES56...7891 (cuenta mula 3)

6. Fin conexión (ad.trace):
   10:58h - Conexión cerrada

7. Denuncia víctima (Policía):
   11:18h - Víctima acude comisaría

Medidas preventivas y detección

Prevención Usuario

Señales alerta estafa AnyDesk:

🚨 RED FLAGS:
  ❌ Llamada NO solicitada (banco/Microsoft/Apple)
  ❌ Solicitan instalar software "verificación"
  ❌ Urgencia: "Su cuenta será bloqueada en 15 minutos"
  ❌ Piden usuario/contraseña/códigos SMS
  ❌ Nombre software desconocido (AnyDesk, Supremo, AmmyAdmin)

✅ NUNCA:
  ❌ Instalar software por llamada telefónica
  ❌ Proporcionar códigos SMS (2FA) a terceros
  ❌ Permitir acceso remoto dispositivo si NO iniciaste contacto

Protocolo seguro soporte legítimo:

Si empresa legítima necesita acceso remoto:
  ✅ TÚ llamas a número oficial (no número llamada entrante)
  ✅ Verificas identidad (número empleado, departamento)
  ✅ Sesión limitada tiempo (máximo 30 min)
  ✅ Supervisa pantalla CONSTANTEMENTE
  ✅ Cierra banca online antes conceder acceso
  ✅ Revoca acceso inmediatamente tras soporte

Detección Técnica

Antivirus/EDR (Endpoint Detection & Response):

Reglas detección AnyDesk malicioso:

1. Instalación desde ubicación sospechosa:
   AnyDesk legítimo: C:\Program Files (x86)\AnyDesk\
   AnyDesk malicioso: C:\Users\XXX\Downloads\AnyDesk.exe (portable)

2. Modo desatendido sin autorización corporativa:
   Detectar: Configuración --set-password (acceso sin interacción)

3. Alias sospechosos:
   Ejemplos: "Support_Microsoft", "BBVA_Security", "Policia_Nacional"

4. Conexiones desde geolocalizaciones inusuales:
   Usuario España → Conexión entrante Rumania (alerta)

SIEM (Security Information Event Management):

Alertas configurar:

1. Tráfico puerto 7070 TCP (AnyDesk):
   Si empresa NO usa AnyDesk → Bloquear puerto firewall

2. Resolución DNS anydesk.com:
   Correlacionar con:
     - Llamada telefónica entrante (registro PBX)
     - Usuario mayor de 60 años (perfil riesgo)

3. Múltiples transferencias bancarias post-instalación AnyDesk:
   Timeline: Instalación AnyDesk T+0 → Transfer T+5 min (sospechoso)

Peritaje judicial estafas AnyDesk

Servicios Pericial

Contratación típica: Víctima denuncia estafa, banco rechaza reembolso

Argumentos banco:

"Cliente autorizó transferencias:
  - Sesión iniciada con usuario/contraseña correcto
  - 2FA SMS introducido (código válido)
  - IP origen: domicilio cliente (no sospechosa)
  - No aplicamos 'gross negligence' (negligencia grave)
  → Denegamos reembolso €147,000"

Perito demuestra:

Análisis forense ad.trace:
  ✅ Conexión remota activa durante transferencias
  ✅ ID remoto 382-749-120 (Rumania) controló dispositivo
  ✅ Keystrokes capturados (víctima proporcionó credenciales engañada)
  ✅ Timeline: Llamada vishing → Instalación → Transferencias (11 min)

Conclusión:
  "Transferencias NO autorizadas voluntariamente por cliente.
   Engaño mediante ingeniería social (suplantación banco).
   Cliente víctima, NO responsable.
   Banco debe reembolsar €147,000 (Directiva PSD2 art. 74)."

Base normativa del reembolso

La discusión no es jurisprudencial sino normativa, y está en el artículo 45 del Real Decreto-ley 19/2018, que traspone la Directiva PSD2 al ordenamiento español: ante una operación de pago no autorizada, el banco debe reembolsar el importe a más tardar al final del día hábil siguiente a la notificación.

La excepción es la negligencia grave del usuario, y aquí está la clave para el peritaje: la carga de la prueba la tiene el banco, no el cliente. Es la entidad la que debe acreditar que hubo negligencia grave, no el titular quien deba demostrar que no la hubo.

Ahí es donde entra el informe pericial. Los artefactos de AnyDesk —ad.trace, connection_incoming.txt, el ID de conexión— permiten documentar que el dispositivo estuvo bajo control de un tercero en la ventana exacta de las transferencias. Eso convierte «el cliente dio sus claves» en «el cliente fue manipulado mediante suplantación de identidad y acceso remoto», que es una situación jurídicamente distinta.

Coste Pericial

Análisis forense AnyDesk:

Básico (análisis logs ad.trace):
  - Extracción conexiones remotas
  - Identificación ID atacante
  - Timeline transferencias
  Coste: €1,800-€3,500
  Plazo: 5-7 días

Avanzado (análisis forense completo):
  - Imagen forense disco completo
  - Recuperación archivos borrados
  - Análisis tráfico red (si disponible)
  - Correlación múltiples evidencias
  - Informe pericial judicial (40-60 páginas)
  Coste: €5,000-€12,000
  Plazo: 15-20 días

Ratificación judicial:
  Coste: €800-€1,500 (comparecencia juzgado)

ROI para víctima:

Cuantía robada: €147,000
Coste pericial: €8,000 (avanzado + ratificación)
Probabilidad éxito: 85% (precedentes favorables)

Recuperación esperada: €147,000 * 85% = €124,950
ROI: €124,950 - €8,000 = €116,950 (1,360% retorno)

FAQ

P: ¿AnyDesk es un malware? R: NO. AnyDesk es software legítimo usado por millones usuarios/empresas diariamente. Problema: Cibercriminales ABUSAN de él mediante ingeniería social, engañando víctimas para instalarlo. Similar a cuchillo: herramienta legítima, pero puede usarse maliciosamente. No es “virus”, es RAT (Remote Access Tool) usado maliciosamente.

P: ¿Cómo sé si tengo AnyDesk instalado en mi ordenador? R: Windows: Buscar en C:\Program Files (x86)\AnyDesk\ o C:\Users\XXX\AppData\Roaming\AnyDesk. Mac: /Applications/AnyDesk.app. Si NO recuerdas haberlo instalado → DESINSTALAR inmediatamente. Panel Control → Programas → Desinstalar AnyDesk.

P: ¿Banco debe reembolsarme si fui estafado vía AnyDesk? R: SÍ, según Directiva PSD2 (UE) 2015/2366 artículo 74. Banco debe demostrar “gross negligence” (negligencia grave) para rechazar reembolso. Jurisprudencia española: Engaño mediante ingeniería social NO es negligencia grave. Peritaje forense AnyDesk puede demostrar control remoto → Banco obligado reembolsar (85% casos favorables víctima).

P: ¿Puedo recuperar dinero robado vía AnyDesk? R: Depende rapidez denuncia. Menos de 24h: Banco puede bloquear cuentas mulas (recuperación 30-50%). Más de 72h: Fondos fraccionados/retirados (recuperación menor de 10%). Perito forense identifica cuentas destino (IBANs clipboard ad.trace) → Policía solicita bloqueo urgente. Recomendado: Denunciar INMEDIATAMENTE (mismo día).

P: ¿Necesito perito forense para denuncia estafa AnyDesk? R: NO obligatorio para denuncia Policía (puedes denunciar sin perito). PERO SÍ muy recomendado si: 1) Banco rechaza reembolso (litigio judicial), 2) Cuantía mayor de €20K (justifica coste pericial), 3) Necesitas recuperar archivos borrados/robados. Coste: €1.8K-€12K. ROI: 85% casos favorable víctima (recuperación cuantía robada).

Referencias y Fuentes

1. Guardia Civil. (5 de febrero de 2026). Investigadas doce personas por hacer de «mulas bancarias» de una organización criminal internacional (Operación Vicentius). web.guardiacivil.es

   • 12 investigados; víctima con perjuicio total de 442.650 €
   • AnyDesk instalado por falsos asesores de inversión
   • 42 transferencias rastreadas a Dinamarca, Lituania, Reino Unido y China

2. AnyDesk Software GmbH. Documentación oficial. anydesk.com/en/docs

   • Ubicación de logs (ad.trace, connection_incoming.txt)
   • Estructura de los datos de conexión remota
   • Configuración de la auditoría de sesiones

3. Jefatura del Estado. Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago, art. 45. BOE-A-2018-16036

   • Reembolso a más tardar al final del día hábil siguiente a la notificación
   • Excepción de negligencia grave, con la carga de la prueba en la entidad

4. INCIBE. Oficina de Seguridad del Internauta: fraudes de soporte técnico y acceso remoto. osi.es

   • Señales de alerta del vishing combinado con software de control remoto
   • Protocolo de denuncia y derechos de la persona afectada

Última actualización: 10 Febrero 2026 Categoría: Herramientas (HER-013) Nivel técnico: Medio Relevancia forense: ALTA (análisis post-estafa, peritajes judiciales) Marco legal: PSD2 (UE) 2015/2366 art. 74 (reembolso transferencias no autorizadas)