Para: clientes actuales y antiguos de The Standard Bank of South Africa (particulares y empresas, incluidas las compañías de propiedad extranjera que operan en Sudáfrica), y cualquier persona que reciba llamadas «del banco» de alguien que conozca su número de identidad o de cuenta. Este artículo se basa en las propias declaraciones de Standard Bank y en las orientaciones del Southern African Fraud Prevention Service (SAFPS), del Information Regulator y de la información al consumidor del gobierno sudafricano. No explica cómo se llevó a cabo el ataque.
Qué deben hacer hoy los clientes
Cuelgue ante cualquier llamada que se presente como el banco y le pida que haga algo, y devuelva la llamada usted mismo
El consejo propio de Standard Bank es verificar cualquier correo electrónico, SMS o llamada inesperada que pida información sensible contactando con el banco por canales de confianza. En la práctica: termine la llamada y marque un número que usted haya buscado, como el que figura en el reverso de su tarjeta. La línea de fraude en Sudáfrica es el 0800 222 050 (internacional +27 10 824 2090). Nunca devuelva la llamada a un número que le haya dado quien llama o un mensaje de texto.
Nunca dé un OTP, PIN ni contraseña, sea quien sea quien lo pida
Standard Bank pide a sus clientes que nunca compartan contraseñas ni PIN cuando los solicite cualquiera por teléfono, fax, mensaje de texto o correo electrónico. En un artículo anterior sobre seguridad, el banco también afirma que nunca le pedirá sus credenciales de banca digital, incluidos los OTP, por teléfono, ni le llamará para pedirle que traslade dinero a una cuenta que no conoce.
Un PIN de un solo uso autoriza una transacción; leerlo en voz alta equivale a aprobar el pago del estafador.
Regístrese en el Registro de Protección de SAFPS (gratuito)
El banco recomienda registrarse en el Southern African Fraud Prevention Service (SAFPS). Según SAFPS, el Registro de Protección es gratuito y marca su identidad para que los proveedores de crédito miembros tomen precauciones adicionales: el aviso del banco lo expresa así: si alguien solicita un producto bancario con su número de identidad, se rechazará o se remitirá a una revisión adicional.
SAFPS indica que puede solicitarlo en línea, por correo electrónico o pidiendo una llamada de devolución, con una copia certificada de su identidad y un comprobante de domicilio, y que se emite un número de referencia en un plazo de 48 horas.
Revise su informe de crédito por si hay cuentas que no abrió
La Ley Nacional de Crédito de Sudáfrica le permite solicitar su informe de crédito gratis cada 12 meses a las agencias de crédito registradas, según la información al consumidor del gobierno. Busque consultas o cuentas que no reconozca; si una agencia muestra una consulta que usted no autorizó, puede impugnarla ante esa agencia.
Standard Bank dice que supervisa por sí mismo la actividad de las agencias de crédito de los clientes afectados, pero su propia revisión abarca a todos los prestamistas, no solo a uno.
Actualice sus contraseñas bancarias y active la seguridad en la aplicación
El banco pide a todos sus clientes que actualicen sus contraseñas bancarias en sus plataformas digitales y en las redes sociales, que usen contraseñas sólidas y únicas, y que activen la autenticación biométrica en la aplicación de Standard Bank. Si reutilizó una contraseña bancaria en otro sitio, cámbiela también allí. Un gestor de contraseñas facilita tener contraseñas únicas.
Clientes empresariales: confirme por teléfono cada cambio de datos de pago
Los campos publicados incluyen números de registro de empresa, números de IVA, categorización B-BBEE (la calificación de una empresa según la política sudafricana de Empoderamiento Económico de los Negros) y números de cuenta. En una empresa, eso basta para que una factura falsa, una carta de «nuevos datos bancarios» o una llamada a su departamento financiero parezcan reales.
Establezca como norma que cualquier cambio de los datos bancarios de un proveedor o de los suyos propios se confirme llamando a un número que ya conste en sus archivos, nunca a uno que aparezca en el correo electrónico. Lo mismo aplica a las instrucciones de pago «urgentes» entre una sede en el extranjero y su filial sudafricana. A los clientes de Corporate & Investment Banking se les indica que contacten con su asesor de servicio o gestor de relación.
Si se produce un fraude: el banco, SAFPS y el Information Regulator
Notifique el incidente a la línea de fraude del banco de inmediato y pida que se detengan las transacciones. Si se usó su identidad, SAFPS ofrece un registro de Víctima de suplantación, además del Registro de Protección. Para las quejas sobre cómo se trataron sus datos personales, la autoridad de protección de datos de Sudáfrica es el Information Regulator, que acepta denuncias de POPIA a través de su portal de eServices en línea.
Lo que el que llama puede saber (filtrado)
Su nombre · número de identidad o de registro de empresa · teléfono, correo electrónico, dirección física · número de cuenta · número de IVA, categoría B-BBEE
→ No demuestra nada. No confíe en una llamada por ello
Lo que el banco dice que nunca pedirá
Su contraseña · su PIN · su OTP · traslado de dinero a una cuenta que no conoce
→ Si se lo piden: cuelgue y llame usted al 0800 222 050
No filtrado, según el banco: acceso a la banca transaccional y a los sistemas centrales
Qué pasó (según Standard Bank)
Lo siguiente procede de los comunicados de Standard Bank en su sala de prensa. El banco no ha publicado cuántos clientes se han visto afectados.
23 de marzo de 2026
Standard Bank afirma que ha detectado un incidente que implica acceso no autorizado a datos seleccionados, que tomó medidas inmediatas para proteger su entorno y que puso en marcha una investigación completa con apoyo experto. Afirma que sus sistemas transaccionales siguen seguros y que notificará directamente a los clientes afectados.2 de abril
La primera actualización del banco enumera nombres, números de identidad y números de registro de empresa, indica que ha notificado el incidente a las autoridades reguladoras y recomienda medidas de protección, entre ellas el registro en SAFPS. El 13 de abril añade datos de contacto y números de cuenta.14 de abril
Una nueva actualización señala que los sistemas afectados fueron sistemas administrativos internos y de archivo de documentos, y que los datos de clientes y de empresas «ahora parecen haber sido publicados». La lista de datos añade más tarde la categorización B-BBEE y los números de registro de IVA (marcados como «a 16 de abril»).Mediados de abril
Medios sudafricanos informan de que el Information Regulator está evaluando el incidente y ha pedido al banco más información. A 30 de septiembre de 2026, este sitio no encontró ninguna conclusión sobre el incidente publicada por el Regulador.
- Afectado (puede variar según la persona)
- Nombres; números de identidad o de registro de empresa; datos de contacto (números de teléfono, direcciones físicas y/o de correo electrónico); números de cuenta; categorización B-BBEE y número de registro de IVA
- Sistemas afectados
- Sistemas administrativos internos y de archivo de documentos
- No afectado
- La banca transaccional y los sistemas operativos centrales «no fueron accedidos»; el banco afirma que los fondos de ningún cliente se ven afectados
- Tarjetas
- En casos limitados que implican datos de tarjetas, el banco afirma que se contacta directamente a los clientes afectados y se sustituyen sus tarjetas
- Medidas del banco
- Supervisión reforzada de la actividad de las agencias de crédito y de la actividad de intercambio de SIM (trasladar el número de teléfono de alguien a una tarjeta SIM de un estafador), supervisión adicional de transacciones, equipos antifraude 24/7, más verificación basada en el dispositivo y en la aplicación
- Autoridades
- El banco afirma que ha cumplido los requisitos de notificación a las autoridades reguladoras
- Contacto oficial
- Banca Personal/Privada 0860 123 000 · Banca Empresarial 0860 109 075 · Línea de fraude 0800 222 050
Cómo interpretarlo: que los sistemas centrales estén seguros no significa que los clientes lo estén
La propia actualización de Standard Bank señala el riesgo: alguien podría usar la información para suplantarle o contactarle de forma fraudulenta, con correos, mensajes o llamadas que parezcan auténticos, o intentar usar sus datos sin su permiso. Un número de identidad y un número de cuenta no se pueden cambiar como una contraseña, así que este riesgo no desaparece en unas pocas semanas. Planifique mantener los hábitos que se indican a continuación durante años, no días.
Por qué el número de identidad y el de cuenta juntos hacen que una falsa llamada bancaria suene real
La mayoría de las filtraciones dan a un estafador solo uno de los dos datos que necesita una falsa llamada bancaria. Esta filtra ambos a la vez.
- Número de identidad: lo que un banco real usa para confirmar quién es usted
- Número de cuenta: lo que usa para hablar de su dinero
Quien le diga «Soy del departamento de fraude de Standard Bank, veo su cuenta terminada en 1234 y solo necesito confirmar su número de identidad, que tengo como...» suena exactamente como el banco, porque hasta ahora solo el banco conocería esos números juntos.
Señales de una falsa llamada «bancaria»
- Empieza leyéndole su número de identidad o de cuenta para «verificarle»
- Dice que su cuenta está en riesgo y que no hay tiempo que perder
- Le pide que lea un OTP, un PIN o una contraseña
- Le pide que traslade dinero a una cuenta «segura»
- Le dice que no cuelgue o que no se lo cuente a nadie
Lo que dice Standard Bank
- Nunca comparta contraseñas ni PIN con quien los pida
- El banco nunca pedirá OTP ni credenciales por teléfono
- El banco nunca le pedirá que traslade dinero a una cuenta desconocida
- Si una llamada le parece sospechosa, cuelgue y llame a la línea de fraude
- Verifique los mensajes inesperados por canales de confianza
El objetivo no es aprender a reconocer la voz de un estafador. Es no decidir si una llamada es real mientras todavía está en ella: cuelgue, devuelva la llamada a un número que busque usted mismo y decida entonces. El banco ya conoce su identidad, así que una llamada real del banco no pierde nada si usted cuelga y vuelve a llamar.
Postura de este sitio: acuerde en casa y en el trabajo devolver siempre la llamada antes de actuar ante cualquier llamada sobre dinero
Decida de antemano, con su familia y su departamento financiero, que cualquier llamada que le pida hacer algo con dinero se responda con una devolución de llamada a un número que usted busque. Sin excepciones para quienes ya conocen todos sus datos. Lo único que los datos filtrados dan a un estafador es la capacidad de sonar auténtico; devolver la llamada elimina esa ventaja. Si su empresa tiene una sede en el extranjero, aplique la misma regla a sus solicitudes de «transferencia urgente».
Para las empresas que guardan números de identidad y de cuenta, la otra cara de la lección es limitar quién puede ver esos registros y cuántos a la vez; lo tratamos en la base mínima de seguridad para organizaciones.
El caso más parecido de este año es la filtración de Odido en los Países Bajos, donde también se filtraron números de identidad y de cuenta bancaria, y la filtración de Endesa en España, donde las llamadas de quienes ya conocen sus datos fueron igualmente el principal riesgo. Para saber cómo funcionan las llamadas y mensajes falsos, consulte ¿qué es el phishing?.
Fuentes (registro público)
Los hechos de este artículo se basan en las fuentes públicas siguientes. No se utilizan las afirmaciones de los atacantes ni las cifras no publicadas.
- Standard Bank, «A message from Standard Bank» (23 de marzo de 2026, con preguntas frecuentes del 24 de marzo) — standardbank.co.za
- Standard Bank, «An Important Data Incident Update» (2 de abril de 2026, actualizado el 13 de abril) — standardbank.co.za
- Standard Bank, «An Important Data Incident Update - 14 April» (con preguntas frecuentes) — standardbank.co.za
- Standard Bank, «Scammers turn to phone calls as banks clamp down on fraud» (6 de agosto de 2024) — standardbank.co.za
- Southern African Fraud Prevention Service, «Apply for Protective Registration» — safps.org.za
- Information Regulator, «How to Lodge a Complaint» — inforegulator.org.za
- Vuk'uzenzele (gobierno sudafricano), «You are entitled to a free credit report» (mayo de 2023) — vukuzenzele.gov.za
- IOL, «What you need to know about the Standard Bank data breach investigation» (15 de abril de 2026; utilizado solo para los comentarios del Information Regulator que se informaron) — iol.co.za
Historial de actualizaciones
2026-09-30: primera versión, basada en los comunicados de Standard Bank del 23 de marzo, del 2 de abril (actualizado el 13 de abril) y del 14 de abril de 2026 (revisados el 30 de septiembre de 2026; no se ha publicado ninguna cifra de afectados), y en las orientaciones de SAFPS, del Information Regulator y de la información al consumidor del gobierno sudafricano.
Lectura recomendada
- Los casos más parecidos: La filtración de datos de Odido (números de identidad y de cuenta bancaria) / La filtración de datos de Endesa (DNI e IBAN)
- Llamadas y mensajes falsos: ¿Qué es el phishing? / Falsas alertas de virus (estafas de soporte técnico)
- Protección de sus cuentas: Cómo elegir un gestor de contraseñas / Cómo elegir la autenticación multifactor
- Otros incidentes de 2026: Lista de filtraciones y ciberataques (Japón y mundial)
- Para operadores: La base mínima de seguridad para organizaciones