Cómo reconocer un SMS falso y proteger tus datos

El smishing es un intento de fraude que suplanta a una empresa o institución mediante mensajes SMS para que la víctima revele datos o instale una aplicación. Un tono urgente, un remitente desconocido, un enlace acortado o una petición de claves son señales para detenerse, aunque el mensaje parezca personalizado.

Cómo comprobar el mensaje

No uses el teléfono, el enlace ni los datos de contacto incluidos en el SMS para verificarlo. Abre por tu cuenta la aplicación oficial o escribe la dirección habitual de la entidad en el navegador. También puedes llamar al número que figura en tu tarjeta o en la web oficial. Si el aviso no aparece por esos canales, pregunta antes de actuar.

Que un mensaje incluya tu nombre o parezca proceder de una conversación anterior no demuestra que sea auténtico. Tampoco basta con mirar el nombre del remitente: puede falsificarse. No compartas códigos de un solo uso, contraseñas, PIN ni datos completos de tarjeta por un enlace recibido por SMS.

Si has pulsado el enlace

Si solo abriste el enlace, cierra la página y no descargues archivos ni introduzcas datos. Si instalaste una aplicación, desconecta el dispositivo de internet y pide ayuda técnica desde otro dispositivo seguro. Si escribiste una contraseña, cámbiala desde la web o aplicación oficial y cámbiala también en cualquier otro servicio donde reutilizaras esa clave.

Si facilitaste información bancaria o autorizaste una operación, llama inmediatamente a tu banco por un canal oficial para bloquear o proteger los medios de pago y revisar los movimientos. Conserva el SMS y las capturas. INCIBE, el Instituto Nacional de Ciberseguridad, ofrece ayuda en ciberseguridad en el 017.

Señales que delatan un mensaje fraudulento

Los estafadores cambian el texto y las excusas, pero los mensajes fraudulentos comparten rasgos que se reconocen con la práctica. Si un SMS cumple varios de estos, lo más prudente es tratarlo como sospechoso:

• Urgencia. Plazos de horas, amenazas de bloquear una cuenta o de cobrar un recargo. La prisa está pensada para que no pienses.
• Un motivo que te resulta inesperado. Un paquete que no esperabas, una multa que no recuerdas, un reembolso que no has pedido o una cuenta que no sabías que tenías.
• Un enlace corto o con una dirección extraña. Fíjate en el nombre del dominio: las direcciones fraudulentas imitan a las reales con letras cambiadas o terminaciones raras.
• Peticiones de datos. Claves, PIN, códigos de un solo uso, datos completos de la tarjeta. Una entidad seria no los pide por mensaje.
• Un número de contacto en el propio SMS. Si te piden que llames a un teléfono que aparece en el mensaje, puede ser de los propios estafadores.
• Faltas de ortografía o redacción rara. No siempre las hay, y los mensajes más cuidados también engañan, pero son una pista.

Tipos de engaño más frecuentes

Aunque cambian con el tiempo, estos son los guiones que más se repiten:

• El falso aviso del banco. Dice que ha habido un cargo o un acceso sospechoso y te pide que confirmes tus datos. Lo normal es que su objetivo sea que escribas tus claves en una página falsa.
• El paquete retenido. Te cuenta que una entrega no se ha podido completar y te pide pagar una pequeña tasa o reprogramarla. Se queda con tu tarjeta.
• El mensaje al «número equivocado». Alguien escribe como si se hubiera confundido y, si contestas, empieza una conversación cuyo fin es ganar tu confianza.
• La falsa multa o notificación oficial. Imita a un organismo público y te amenaza con consecuencias si no pagas.
• El hijo o familiar «con otro número». Te escribe diciendo que ha perdido el móvil y necesita dinero con urgencia. Antes de actuar, llama al número de siempre.

Qué hacer con un mensaje sospechoso

La mejor respuesta es no responder. Contestar, incluso para insultar o para escribir «STOP», confirma que tu número está activo y puede aumentar los mensajes que recibas. En su lugar:

1. No pulses ningún enlace ni abras archivos adjuntos.
2. No llames al número que aparece en el mensaje.
3. Comprueba el aviso por el canal oficial: la aplicación de la entidad, su web escrita por ti en el navegador o el teléfono de la tarjeta.
4. Si es un mensaje que simula ser de un familiar, llama a su número habitual y confirma.
5. Bloquea el número y borra el mensaje. Si quieres ayudar a otros, puedes reenviarlo a quien lo gestione, como INCIBE o tu operador.

Cómo proteger a las personas mayores

Estas estafas se dirigen con especial frecuencia a quienes tienen menos práctica con la tecnología. Si tienes familiares mayores, dedica un rato a explicarles las ideas básicas: que ningún banco pide claves por mensaje, que ante la duda deben llamarte antes de pulsar nada y que no hay vergüenza alguna en haber sido engañado. Acordad una frase o una norma sencilla, como «antes de pagar nada por un mensaje, me llamas». Si alguna vez cae en el engaño, lo importante es que se atreva a contarlo rápido, porque cada hora cuenta para bloquear tarjetas y recuperar accesos.

Y si ya has caído

No te culpes: estas estafas están diseñadas por profesionales y engañan a todo tipo de personas. Lo que importa ahora es actuar rápido. Llama a tu banco por un canal oficial para bloquear tarjetas o accesos, cambia las contraseñas que hayas escrito, guarda el mensaje y las capturas de pantalla y, si ha habido pérdida de dinero, valora presentar una denuncia ante la policía o la Guardia Civil. Cuanta más información conserves, más fácil será el seguimiento. Para recibir orientación gratuita sobre ciberseguridad puedes llamar al 017 de INCIBE.

Fuentes

• INCIBE: qué es el smishing y qué hacer si has caído, señales frecuentes y pasos de respuesta.
• INCIBE: cómo comprobar un enlace malicioso, precauciones antes de abrir enlaces recibidos por SMS o mensajería.

Revisado por la redacción de Veridia el 31 Oct 2026