El smishing es la versión del phishing que llega por SMS (o por servicios de mensajería). Su eficacia se basa en que el móvil es un canal inmediato y personal: leemos los mensajes en cuanto llegan, a menudo con prisa, y en una pantalla pequeña donde es difícil comprobar una dirección web. En España son muy frecuentes los SMS que suplantan a bancos, a Correos y a otras empresas de paquetería, y a la Dirección General de Tráfico (DGT).
Por qué el smishing funciona tan bien
- Mensajes cortos: no hay espacio para detalles que delaten el fraude, solo un aviso y un enlace.
- Temas cotidianos: casi todos esperamos algún paquete, tenemos coche o usamos banca online.
- Enlaces acortados: ocultan la dirección real de destino.
- Remitentes falseados: en algunos casos el SMS aparece en el mismo hilo que los mensajes auténticos de tu banco, mediante técnicas de spoofing de remitente.
Los tres modelos más comunes en España
SMS del banco
Avisan de un acceso sospechoso, de un cargo que no reconoces o de que tu cuenta ha sido bloqueada. Ejemplo ilustrativo: «Su cuenta ha sido restringida por motivos de seguridad. Verifique sus datos en: [enlace]». La web falsa imita la página de acceso del banco y captura usuario, clave y, a veces, los códigos de confirmación. En ocasiones, el SMS es solo la primera fase y después llega una llamada (lo explicamos en la guía sobre vishing).
SMS de Correos o de paquetería
Dicen que tu paquete está retenido, que falta pagar unos gastos de envío o de aduanas pequeños (uno o dos euros) o que debes «confirmar la dirección». El importe bajo hace que no desconfíes, pero lo que buscan son los datos completos de tu tarjeta para usarlos después.
SMS de la DGT
Informan de una multa pendiente con un descuento si pagas «hoy» o amenazan con recargos. La DGT notifica las sanciones por los cauces oficiales (por ejemplo, por correo postal, a través de la Dirección Electrónica Vial o en el Tablón Edictal de Sanciones de Tráfico), no mediante un SMS con un enlace de pago.
Señales que delatan un SMS fraudulento
| Señal | Por qué es sospechosa |
|---|---|
| Incluye un enlace para «verificar» o «pagar» | Las entidades suelen remitir a su app oficial, no a enlaces en un SMS |
| Dirección web extraña o acortada | No coincide con el dominio oficial de la entidad |
| Urgencia o amenaza | Busca que actúes sin pensar |
| Importes pequeños | El objetivo no es el euro, sino los datos de tu tarjeta |
| Errores de redacción | Frecuentes en mensajes traducidos o generados en masa |
| No esperabas nada | Un aviso de paquete sin haber comprado nada es motivo para desconfiar |
Importante: que el SMS aparezca junto a mensajes auténticos de tu banco no garantiza que sea legítimo. Verifica siempre por un canal que controles tú.
Cómo comprobar si un aviso es real
- No pulses el enlace del SMS.
- Abre la app oficial del banco o de la empresa de paquetería, o escribe tú la dirección en el navegador.
- Para el seguimiento de un envío, usa el número que te dio la tienda donde compraste.
- Para multas de tráfico, consulta la sede electrónica de la DGT accediendo directamente.
- Si sigues con dudas, llama al teléfono oficial que figura en tu tarjeta o en la web de la entidad.
Si recibes muchos SMS de este tipo, no respondas ni siquiera con «baja» o «stop»: cualquier respuesta confirma que el número está activo. Elimina el mensaje después de guardar una captura por si lo necesitas para una denuncia.
Qué hacer si pulsaste el enlace o diste tus datos
- Bloquea la tarjeta desde la app o llamando a tu banco si introdujiste sus datos.
- Cambia las claves de banca online si las escribiste en la web falsa.
- Si instalaste algo (algunos SMS piden descargar una app), desinstálala, desconecta el móvil de internet y pide ayuda técnica; el 017 de INCIBE ofrece orientación gratuita.
- Guarda el SMS y haz captura de la web falsa antes de que desaparezca.
- Revisa los movimientos y comunica al banco cualquier cargo no autorizado lo antes posible.
- Denuncia en la Policía Nacional o la Guardia Civil aportando las capturas y los justificantes.
Para entender qué puedes pedir a tu entidad, revisa la guía sobre reclamar al banco tras una estafa. Si necesitas que alguien analice los cargos y ordene la documentación, el servicio de análisis de operaciones puede ayudarte.
