A melhor defesa é não responder nada durante a chamada e verificar depois por conta própria. Se te ligarem do banco alertando sobre movimentos suspeitos, a primeira coisa é não dizer nem o teu nome completo, nem a senha, nem códigos de segurança, nem o número do cartão. Ponto. Os estelionatários são muito convincentes porque imitam bem os números de telefone, mas isso não significa que sejam de verdade.
O que funciona é desligar e ligar tu mesmo para o número que figura no teu cartão de crédito ou no site oficial do BBVA (digita no Google diretamente, sem usar números que ninguém te tenha passado). Pergunta naquele momento se há algo suspeito na tua conta. Assim sabes 100% se era legítimo. Se o teu banco não encontrou nada estranho, já tens a resposta: era uma golpe. Ojo com um detalhe importante que não vi mencionado: se desligares a chamada de repente, muitos estelionatários voltam a ligar simulando que a linha caiu. Não caia nessa. Uma chamada legítima do banco nunca insistirá tanto.
Além disso, ativa alertas no teu banco se não os tens (notificações por SMS ou app ante qualquer movimento), e considera mudar a tua senha se faz tempo que não o fazes. Com essas duas coisas juntas reduz muito o risco.