Te llega un SMS: “Recibiste un pago por Bre-B. Confirma aquí para liberarlo”. O dice que tu llave será bloqueada en 24 horas si no “migras” tus datos. El enlace se ve serio y la prisa hace que casi toques sin pensar. En Colombia, en 2026, esa es una de las trampas más reportadas alrededor del sistema de pagos inmediatos Bre-B.
Esta guía explica cómo funciona el engaño, cómo distinguirlo de un aviso real y qué hacer si ya abriste el enlace. Si quieres el panorama general de mensajes fraudulentos, también puedes leer Cómo reconocer y evitar el phishing y el smishing en Colombia. Para SMS que se hacen pasar por tu operador, hay una guía sobre SMS falsos de Claro, Movistar y Tigo.
Qué es Bre-B (y qué no es)
Bre-B es el sistema de pagos inmediatos del ecosistema del Banco de la República. En la práctica te permite enviar y recibir dinero casi al instante usando una llave (celular, cédula o correo) inscrita en la app o la web de tu banco o billetera.
Tres ideas que evitan muchos sustos:
1. Bre-B no es una app aparte que debas descargar desde un SMS. Operas desde la aplicación o el sitio oficial de tu entidad financiera.
2. Recibir un pago no exige que abras un enlace “para aceptar” el dinero. Si alguien te transfiere, lo verás en tu app; no tienes que “confirmar” la recepción por un link de un mensaje.
3. Tu llave identifica a dónde llega el dinero. No es tu contraseña ni un código OTP. Quien te pida la clave de la app, el token o el código del SMS nunca es un proceso legítimo de Bre-B.
El Banco de la República y las entidades financieras han reiterado que las llaves solo se inscriben en canales oficiales y que no debes aceptar transacciones ni “migraciones” por mensajes de texto, correo o WhatsApp.
Cómo luce la estafa más común
La modalidad dominante es smishing: un SMS (a veces también WhatsApp o correo) que suplanta un banco o el propio ecosistema Bre-B. El guion suele ser uno de estos:
- “Recibiste un pago / transferencia Bre-B. Confirma aquí para liberarlo.”
- “Tu llave será bloqueada. Actualiza o migra tus datos en este enlace.”
- “Hay un problema con tu transferencia. Valida tu identidad para no perder el dinero.”
- “Se detectó un movimiento sospechoso. Ingresa y aprueba o rechaza.”
Al tocar el enlace abres una página falsa que imita el diseño de un banco. Ahí te piden usuario, clave, código de verificación o datos de la tarjeta. Con esas credenciales el atacante puede mover dinero o vaciar productos vinculados.
La Secretaría de Seguridad de Bogotá ha alertado por mensajes que informan un supuesto pago Bre-B y piden confirmarlo por un link. Medios colombianos también han descrito en 2026 cómo esos SMS buscan robar información para transferencias entre bancos. El patrón no depende de un logo perfecto: depende de tu prisa.
8 señales de que el SMS de Bre-B es falso
1. Te pide abrir un enlace para “aceptar”, “liberar” o “confirmar” un pago recibido. Para recibir no tienes que hacer clic en un SMS.
2. Te apura con bloqueos, plazos de horas o pérdida de fondos si no actúas ya.
3. La dirección del enlace no es el dominio oficial de tu banco: letras cambiadas, guiones raros, .xyz o acortadores.
4. Te pide clave de la app, OTP, token o datos de tarjeta “para Bre-B”.
5. Te invita a descargar una app “oficial de Bre-B” por fuera de la tienda o desde el mensaje.
6. Llega por WhatsApp de un número desconocido con el mismo guion de “confirma el pago”.
7. Tiene faltas ortográficas, mayúsculas agresivas o un tono que no usa tu banco.
8. Habla de “soporte Bre-B” en Instagram, TikTok o Telegram. Las dudas se resuelven con tu entidad financiera, no con una red social improvisada.
Otra variante usa códigos QR falsos para el mismo objetivo; esa trampa la cubrimos en la guía de quishing / código QR falso.
Qué hacer cuando te llega el mensaje
La regla corta: no abras el enlace, no respondas y no llames al número del SMS.
1. Cierra el mensaje. Si quieres verificar, abre tú la app oficial de tu banco o billetera desde el ícono que ya tenías instalado.
2. Mira movimientos y notificaciones dentro de la app. Si hubo un pago real, aparecerá ahí sin que hayas tocado ningún link.
3. Si necesitas gestionar una llave (inscribir, cambiar o consultar), hazlo solo en la app o la web oficial de tu entidad.
4. Reporta el SMS como spam y, si puedes, denuncia el intento en el CAI Virtual de la Policía. En Bogotá también hay orientación por canales de la Secretaría de Seguridad.
5. Avisa en el grupo familiar. Un reenvío de “me llegó esto, no lo abran” evita que un padre o un abuelo sea el siguiente clic. Guía práctica: Cómo proteger a tus padres y abuelos de las estafas digitales.
Si ya abriste el enlace o escribiste datos
Actúa en este orden, sin culpa y con rapidez:
1. Si solo abriste la página y no escribiste nada: ciérrala. Revisa que no te haya pedido instalar nada.
2. Si escribiste usuario, clave o un código OTP: cambia esa contraseña desde un dispositivo confiable, cierra sesiones si la app lo permite y avisa ya a tu banco por el canal oficial. Pide folio o radicado.
3. Si diste datos de tarjeta: bloquea la tarjeta, pide reposición y revisa movimientos recientes.
4. Si instalaste un APK o una “app de seguridad”: modo avión, desinstala, revisa permisos de accesibilidad y sigue la guía de APK falso por WhatsApp.
5. Cambia la clave del correo vinculado a la banca y revisa la verificación en dos pasos. Guía: Verificación en dos pasos (2FA).
6. Si ya salió dinero, sigue Qué hacer si ya te estafaron: pasos urgentes, denuncia y recuperación.
Buenas prácticas para usar Bre-B con cabeza
- Inscribe y administra llaves solo dentro de la app o web de tu banco.
- Activa alertas de movimientos para enterarte al instante de cualquier transferencia.
- Prefiere biometría y 2FA fuertes; evita dictar códigos por teléfono (eso es territorio de vishing / llamada falsa del banco).
- No compartas capturas de tu app con saldos, llaves o códigos visibles en grupos.
- Antes de pagar con llave o QR, confirma el nombre del destinatario en la app. Si no cuadra, cancela.
- Desconfía de “pagos que debes devolver porque te depositaron de más”: verifica siempre en tu extracto real.
- Mantén el celular actualizado y Play Protect activo; no des permiso de instalar apps desde el mensajero.
Preguntas frecuentes
¿Bre-B me puede mandar un SMS legítimo?
Tu banco o billetera puede enviarte notificaciones. Un aviso real no te obliga a abrir un enlace dudoso para “aceptar un pago recibido” ni te pide la clave por ese camino. Ante la duda, entra tú a la app.
¿Tengo que aceptar cada transferencia que me hagan?
No. Recibir no es un trámite por SMS. Si el dinero llegó, lo ves en la app. Si no llegó, un link en un mensaje no lo va a “liberar”.
¿La llave Bre-B es lo mismo que mi clave?
No. La llave es un identificador para que te encuentren al pagarte. La clave, el PIN, la biometría y los OTP protegen el acceso. Nunca los entregues por chat o por un formulario al que llegaste desde un SMS.
¿Y si el mensaje parece venir del número corto de mi banco?
El remitente también se puede manipular. No tomes el nombre en la bandeja como prueba suficiente. La prueba es lo que ves cuando tú abres la app oficial.
¿Dónde denuncio en Colombia?
CAI Virtual de la Policía, tu entidad financiera (con folio) y, según la ciudad, canales locales de seguridad. Guarda capturas del SMS, del enlace (sin seguir navegando) y de cualquier página falsa.
Conclusión
El SMS falso de Bre-B vende una idea simple: que debes hacer clic para no perder un pago o una llave. Tu defensa es igual de simple: no confirmes pagos por enlace, opera solo en la app oficial de tu banco y nunca entregues claves ni códigos por un mensaje. Comparte esta regla en casa hoy; el próximo SMS puede llegarle a quien menos espera.
