Smishing: cómo reconocer y evitar los mensajes SMS fraudulentos

El smishing, una mezcla de «SMS» y «phishing», es un fraude que se realiza con mensajes de texto falsos. El mensaje suele parecer enviado por una empresa de paquetería, un banco, una agencia de gobierno o un servicio de pagos, y te presiona para que pulses un enlace o entregues información con prisa. En este artículo explicamos cómo reconocer los mensajes de smishing y cómo protegerte.

¿Cómo funciona el smishing?

El objetivo del estafador es que actúes sin pensar. El mensaje provoca pánico, curiosidad o la emoción de un premio, y te lleva a una página falsa. Allí te piden una contraseña, datos de la tarjeta o un código de verificación. Todo lo que escribas llega al estafador.

Los mensajes se envían sobre todo de forma masiva, así que el remitente no necesita saber quién eres. Si tu número aparece en una filtración o en una lista, el mensaje puede llegarte también. Algunos mensajes son más personales y pueden incluir tu nombre o datos que parecen un pedido real. Por eso que «tenga mi nombre» no es señal de confianza.

Escenarios comunes de smishing

Los temas cambian con el tiempo, pero el patrón se mantiene. Vigila estos:

• Aviso de entrega: «Tu paquete no pudo entregarse; actualiza tu dirección».
• Alerta del banco: «Hay actividad sospechosa en tu cuenta; verifícala ahora».
• Deuda de pago o impuestos: «Tienes un saldo pendiente y se aplicará una penalización».
• Premios y sorteos: «Ganaste un regalo; pulsa para reclamarlo».
• Aviso de cierre de cuenta: «Tu cuenta será suspendida; inicia sesión ahora».
• Un «número equivocado» de un desconocido: La intención es iniciar un chat y ganar tu confianza.

Lo que todos tienen en común: urgencia, amenazas o una gran recompensa, y un empujón para llevarte al enlace que incluye el mensaje.

Consejos para detectar un mensaje de smishing

Una sola señal puede no bastar; cuantas más veas, mayor es el riesgo:

1. Un mensaje inesperado: Desconfía si te escribe una paquetería de un pedido que no hiciste o un banco que no usas.
2. Lenguaje urgente o amenazante: Frases de presión como «en 24 horas», «inmediatamente» o «tu cuenta será cerrada».
3. Un enlace extraño: Enlaces acortados o nombres de dominio que imitan una dirección oficial con letras ligeramente cambiadas.
4. Una petición de información: Las organizaciones reales no piden contraseñas, números de tarjeta ni códigos de verificación por SMS.
5. Errores de idioma u ortografía: No siempre, pero las frases rotas son una pista.
6. Un remitente raro: Un número aleatorio o un nombre que imita a una entidad oficial. Los nombres de remitente también pueden falsificarse, así que no son prueba de confianza por sí solos.

Si no estás seguro, no respondas ni pulses el enlace. Comprueba la situación con la app oficial de la organización o con una dirección que escribas tú mismo.

¿Qué hacer si pulsaste o diste información?

Cualquiera puede cometer un error; lo importante es actuar rápido:

1. No introduzcas más información y cierra la página.
2. Si diste una contraseña, cámbiala de inmediato por un canal seguro. Si la reutilizaste en otro sitio, cámbiala también allí.
3. Si compartiste datos de tu tarjeta, llama a tu banco y pide que la bloqueen.
4. Si compartiste un código de verificación, cierra las sesiones de la cuenta y revisa sus opciones de verificación en dos pasos.
5. Si instalaste una app en tu teléfono, elimínala y analiza el dispositivo con una herramienta de confianza.
6. Denuncia el mensaje ante tu banco, tu operadora o la organización correspondiente, y luego bórralo.

Hábitos diarios que te protegen del smishing

• Abre la app en lugar de pulsar enlaces de SMS. Revisa los avisos de paquetería o de tu banco en la app oficial.
• Usa un gestor de contraseñas. No rellenará tu contraseña guardada en una página falsa, y eso ya es una señal de alerta.
• Usa una passkey o una app de autenticación en las cuentas críticas. Aunque roben tu contraseña, la cuenta no se abre. Para comparar métodos, lee nuestro artículo sobre verificación en dos pasos.
• Filtra números desconocidos y spam. Activa en tu teléfono la opción de «filtrar remitentes desconocidos» y la denuncia de spam.
• Habla con las personas de tu entorno. Los familiares mayores son blanco frecuente; revisar juntos mensajes de ejemplo ayuda mucho.
• Verifica el mensaje. Contacta a la organización por un número oficial que ya conozcas; no llames al número del mensaje.

No compartas tu número en todas partes

Una de las razones por las que te llegan mensajes de smishing es que tu número está en muchas listas y bases de datos. Escribir tu número real en cada formulario de registro facilita que recibas spam y mensajes de phishing. Lo explicamos con más detalle en por qué no deberías compartir tu número de teléfono en todas partes.

Para pruebas rápidas, una segunda cuenta o registros de prueba, puedes usar un número virtual de un solo uso en lugar del tuyo, así tu número principal no acaba en una lista de marketing. Puedes ver los servicios y países disponibles en la página de precios. Ten en cuenta que un número virtual no es permanente y algunas plataformas pueden restringirlos, así que sigue las condiciones del servicio que uses. Esto no es una respuesta completa al smishing por sí solo; la verdadera protección es un comportamiento cuidadoso y métodos de verificación fuertes.

Protege a tu familia y a tu entorno

El smishing funciona mejor en momentos de descuido: un día ocupado, cuando revisas el teléfono con prisa o con alguien que no está familiarizado con la tecnología. Por eso la protección no es solo tu responsabilidad, también es la de tu entorno.

• Pacta con tu familia una regla sencilla, como «muéstrame antes de pulsar un enlace en un mensaje».
• Muestra a tus familiares mayores ejemplos de mensajes falsos y explícales que un banco no pide códigos, contraseñas ni datos de tarjeta por SMS.
• Activa el filtro de remitentes desconocidos y las restricciones de instalación de apps en los teléfonos de los niños.
• Cuando recibas un mensaje sospechoso, comparte una captura con tus personas cercanas para que el mismo mensaje no atrape a otra persona.

Cuando tengas dudas sobre un mensaje, esperar cinco minutos no cuesta nada; un aviso auténtico normalmente también aparece en la app oficial.

Preguntas frecuentes

¿Cuál es la diferencia entre smishing y phishing?

El phishing es el término general y puede darse por correo electrónico, teléfono, redes sociales y más. El smishing es la variante que se realiza por SMS (mensajes de texto).

Solo pulsé el enlace y no introduje nada. ¿Estoy en peligro?

La mayoría de las veces, solo pulsar un enlace hace poco daño, aunque existen riesgos poco frecuentes, como vulnerabilidades del dispositivo o del navegador. Cierra la página de inmediato, elimina lo que hayas descargado y mantén tu dispositivo actualizado.

El mensaje parece venir del número de una organización real. ¿Podría ser falso igualmente?

Sí. Los nombres de remitente pueden imitarse y, a veces, un mensaje falso aparece incluso dentro de un hilo de mensajes auténtico. Fíjate en el contenido y en lo que te piden, y confía en la app oficial antes que en el enlace.

¿Dónde puedo denunciar los mensajes de smishing?

Puedes denunciarlos ante la operadora, a través de su número o aplicación de denuncia de spam, ante la organización afectada y ante tu banco. La opción «marcar como spam» de tu teléfono también ayuda. Para más información, consulta nuestra página de preguntas frecuentes.