Un SMS que avisa de un paquete retenido, un cargo sospechoso o una cuenta bloqueada puede parecer una gestión rutinaria, pero también puede ser la puerta de entrada a una estafa. En este artículo explico qué es el smishing, cómo funciona en España, qué señales permiten detectarlo y qué pasos conviene seguir si has pulsado el enlace o has facilitado tus datos.
La idea esencial para reconocer un SMS fraudulento
- El smishing es phishing realizado mediante mensajes SMS.
- El atacante suplanta a bancos, empresas de paquetería, organismos públicos o contactos conocidos.
- El objetivo suele ser robar credenciales, datos bancarios, códigos de verificación o dinero.
- Un enlace urgente, una petición de pago o una amenaza de bloqueo son señales de alerta.
- Si has interactuado con el mensaje, debes contactar con tu banco cuanto antes y conservar las pruebas.
Qué es el smishing y por qué resulta tan eficaz
El smishing es una modalidad de phishing a través de SMS. El delincuente envía un mensaje que aparenta proceder de una entidad legítima y trata de llevar a la víctima a una web falsa, conseguir información privada o provocar un pago.
La pregunta de qué es el smishing se responde mejor con una escena concreta. Recibes un SMS de tu banco que te pide confirmar una operación, de Correos que reclama un pequeño importe por la entrega de un paquete o de la Administración que solicita actualizar tus datos. El mensaje parece breve y creíble, pero el enlace conduce a una página controlada por el atacante.
Yo considero especialmente peligroso este fraude porque llega a un canal que muchas personas asocian con avisos reales. Además, el mensaje puede aparecer en el mismo hilo que comunicaciones legítimas mediante spoofing, una técnica que falsifica el identificador del remitente. Ver el nombre de tu banco en la conversación no demuestra que el SMS sea auténtico.
Cómo funciona una campaña de smishing
La mayoría de los ataques siguen una secuencia sencilla, pero muy efectiva. Primero se crea una situación de urgencia; después se solicita una acción concreta y, finalmente, se aprovecha la información obtenida para robar dinero o tomar el control de una cuenta.
- Suplantación: el mensaje imita a una entidad conocida, como un banco, una empresa de mensajería, una compañía telefónica o un organismo público.
- Pretexto: se habla de un pago pendiente, una incidencia de seguridad, una entrega fallida o una cuenta que será bloqueada.
- Enlace o llamada: el SMS incluye una dirección web, un número de teléfono o instrucciones para instalar una aplicación.
- Captura de datos: la web falsa puede pedir usuario, contraseña, número de tarjeta, DNI o código recibido por SMS.
- Fraude: los datos se utilizan para acceder a servicios, hacer cargos, solicitar créditos o continuar la estafa por teléfono.
Un caso habitual en España es el falso mensaje de paquetería. La cantidad solicitada suele ser pequeña, por ejemplo 1 o 2 euros, porque el importe parece razonable y reduce las sospechas. El verdadero objetivo no es ese pago, sino obtener los datos de la tarjeta y, en ocasiones, pedir después códigos de confirmación.
Las señales que delatan un SMS fraudulento
No existe una única pista infalible, así que yo recomiendo valorar el conjunto del mensaje. Un SMS puede estar bien escrito y utilizar el nombre correcto de una empresa, pero aun así ser falso.
- Urgencia o amenaza: “tu cuenta será suspendida hoy”, “último aviso” o “evita una penalización”.
- Enlace extraño: dominios con palabras añadidas, errores ortográficos o direcciones acortadas.
- Petición de credenciales: ninguna entidad fiable debería pedir por SMS la contraseña completa de la banca online.
- Solicitud de códigos: un código de un solo uso sirve para autorizar una operación y no debe compartirse.
- Pago inesperado: especialmente si no esperas ningún paquete, recibo o renovación.
- Remitente aparentemente legítimo: el nombre mostrado puede falsificarse.
- Lenguaje poco natural: traducciones extrañas, faltas o frases que no coinciden con las comunicaciones habituales de la empresa.
La comprobación más segura es no utilizar el enlace ni el teléfono del SMS. Abro la aplicación oficial o escribo manualmente la dirección conocida de la entidad y reviso allí si existe alguna incidencia. Si el aviso solo aparece en el mensaje, pero no en el canal oficial, lo trato como sospechoso.
Ejemplos habituales de smishing en España
Falsos mensajes bancarios
El texto puede advertir de una transferencia, un acceso no autorizado o una tarjeta bloqueada. La página de destino imita al banco y solicita usuario, contraseña y un código de confirmación. El riesgo aumenta porque la víctima puede estar viendo una pantalla visualmente idéntica a la original.
Paquetes y entregas pendientes
Estos mensajes anuncian una dirección incompleta, una entrega fallida o una tasa de aduana. Suelen pedir datos personales y un pago reducido. El detalle decisivo es que la empresa de transporte no necesita que introduzcas tus credenciales bancarias desde un enlace recibido al azar.
Multas, impuestos y servicios públicos
Otra variante utiliza supuestas multas de tráfico, devoluciones de impuestos o avisos de la Seguridad Social. El atacante se apoya en el temor a una sanción o en la expectativa de recibir dinero. Conviene consultar cualquier expediente desde la sede electrónica oficial, nunca desde el enlace del SMS.
Lee también: Spamear y Phishing - ¿Cómo distinguirlos y protegerte?
Ofertas, premios y cuentas bloqueadas
También aparecen premios falsos, descuentos demasiado atractivos y avisos de redes sociales o servicios de streaming. Aunque no pidan dinero al principio, pueden conducir a una página que roba las credenciales para reutilizarlas en otros servicios.
Qué hacer si has pulsado el enlace
Haber abierto la página no significa automáticamente que hayas perdido dinero. El riesgo depende de si descargaste un archivo, instalaste una aplicación o introdujiste información. Lo esencial es actuar rápido y evitar seguir las instrucciones del propio mensaje.
- Cierra la página y no introduzcas más datos.
- Si escribiste credenciales, cambia la contraseña desde la web o aplicación oficial y modifica también cualquier otra cuenta donde la reutilices.
- Si facilitaste datos bancarios, llama al banco mediante su número oficial, solicita el bloqueo de la tarjeta y revisa los movimientos.
- Si compartiste un código de verificación, informa de ello al banco o servicio afectado como una posible autorización fraudulenta.
- Si instalaste una aplicación, desconecta el dispositivo de Internet, desinstálala y realiza una revisión de seguridad.
- Guarda capturas, el número remitente, el texto y la dirección web para facilitar la denuncia.
INCIBE ofrece la línea 017, gratuita y confidencial, para orientar sobre incidentes de ciberseguridad. Si ya existe un perjuicio económico, también conviene contactar con la entidad financiera y denunciar los hechos ante las Fuerzas y Cuerpos de Seguridad.
Cómo prevenir el smishing sin vivir desconfiando de todo
La prevención más eficaz no consiste en reconocer cada campaña, sino en adoptar una regla sencilla: no realizar pagos ni introducir datos sensibles desde un enlace recibido por SMS. Si la comunicación parece legítima, accedo al servicio desde su aplicación oficial o escribo la dirección manualmente.
- Mantén actualizado el sistema operativo y las aplicaciones.
- Activa la autenticación multifactor cuando esté disponible, preferiblemente con una aplicación de autenticación o una llave de seguridad.
- Usa contraseñas diferentes y un gestor de contraseñas.
- Activa las alertas de movimientos bancarios.
- Bloquea y elimina los mensajes sospechosos sin responder.
- Advierte a familiares y compañeros cuando detectes una campaña activa.
Los filtros del móvil y del operador ayudan, pero no son una garantía total. Una campaña puede cambiar de número, imitar un remitente conocido o utilizar una web recién creada que todavía no aparece bloqueada. Por eso, la verificación por un canal independiente sigue siendo la defensa más fiable.
La diferencia entre smishing, phishing y vishing
| Técnica | Canal utilizado | Objetivo habitual |
|---|---|---|
| Phishing | Correo electrónico o web falsa | Robar credenciales, datos personales o pagos |
| Smishing | SMS o mensaje de texto | Dirigir a una web fraudulenta o conseguir códigos y datos bancarios |
| Vishing | Llamada telefónica | Convencer a la víctima para que revele información o autorice una operación |
Las tres técnicas forman parte de la ingeniería social, es decir, el uso del engaño y la presión psicológica para que una persona haga algo que normalmente evitaría. En muchas campañas se combinan: el SMS inicia el contacto, una llamada falsa refuerza la historia y después se solicita un código.
La regla que evita la mayoría de los problemas
Cuando un SMS te pide actuar con urgencia, detenerse unos segundos suele bastar para romper la estafa. No pulses, no respondas y no llames al número incluido; comprueba la incidencia desde el canal oficial y contacta con tu banco si ya has compartido información.
El smishing funciona porque convierte una decisión impulsiva en un supuesto trámite cotidiano. Mi recomendación práctica es tratar cualquier SMS inesperado que solicite datos, dinero o códigos como una alerta hasta verificarlo por otra vía. Esa pequeña pausa protege mucho más que intentar memorizar todos los mensajes fraudulentos que circulan.
