¿Qué es el smishing? Phishing por SMS explicado
El smishing es phishing a través de mensajes SMS. El término combina "SMS" y "phishing". Los estafadores envían mensajes de texto que aparentan provenir de empresas u organismos conocidos —Correos, BBVA, la Agencia Tributaria o Amazon.es— con el objetivo de robar sus datos o su dinero.
¿Cómo funciona el smishing?
Usted recibe un SMS con un asunto urgente y un enlace. El enlace lleva a un sitio web falso que imita al original. Allí se le pide que introduzca credenciales de acceso, números de tarjeta de crédito u otros datos personales.
La diferencia clave respecto al phishing por correo electrónico es que en el móvil la URL completa no siempre es visible, y los SMS suelen parecer más fiables que los correos electrónicos, lo que hace que la guardia baje.
Ejemplos habituales de smishing en España
- Correos: "Su paquete no ha podido ser entregado. Abone 1,49 € de gastos de gestión en el siguiente enlace." — Correos nunca cobra tasas a través de un SMS con enlace.
- BBVA / CaixaBank: "Su banca en línea ha sido bloqueada por motivos de seguridad. Acceda aquí para reactivarla." — Los bancos no bloquean cuentas a través de SMS con enlace.
- Agencia Tributaria: "Tiene una devolución de 274 € pendiente. Facilite su IBAN en el siguiente enlace." — Hacienda nunca solicita datos bancarios por SMS.
- SEPE: "Para recibir su prestación debe verificar su identidad antes del viernes." — El SEPE se comunica por correo postal o a través de su sede electrónica.
- Notificaciones de premios: "¡Enhorabuena! Ha sido seleccionado para recibir un vale de Amazon.es de 500 €." — Casi siempre es un fraude.
Señales de alerta del smishing
- El mensaje llegó de forma inesperada y usted no había realizado ningún pedido ni trámite relacionado.
- Se le pide que pague una pequeña cantidad a través de un enlace.
- Se genera presión de tiempo: "Actúe antes de las 24 horas", "Solo hoy".
- El enlace del SMS parece sospechoso: caracteres aleatorios, dominio desconocido o acortador de URL.
- El número remitente es desconocido, extranjero o un código corto genérico.
Qué puede hacer
- Compruebe el enlace antes de abrirlo con 2check.click: cópielo y péguelo, no haga clic directamente.
- Contacte con el remitente a través del sitio web oficial (no a través del enlace del SMS) para verificar si el mensaje es legítimo.
- Elimine el SMS y bloquee el número remitente.
- Denuncie el fraude a las Fuerzas y Cuerpos de Seguridad del Estado o a la Oficina de Seguridad del Internauta (OSI).
¿Qué hacer si ya ha hecho clic o ha introducido datos?
- Solo ha hecho clic: cierre la página inmediatamente y no introduzca ningún dato.
- Ha introducido credenciales de acceso: cambie la contraseña de inmediato desde el sitio oficial.
- Ha introducido datos bancarios: llame a su banco de inmediato y solicite el bloqueo de la tarjeta.
- Ha realizado un pago: contacte con su banco para intentar revertir la transferencia.
Compruebe un enlace de SMS sin hacer clic
Copie el enlace del SMS y péguelo en 2check.click para ver a dónde lleva realmente antes de abrirlo.
Preguntas frecuentes
¿Correos cobra realmente gastos de gestión a través de SMS?
No. Las tasas aduaneras legítimas se gestionan en la oficina de Correos o en la Agencia Tributaria, nunca a través de un enlace en un SMS. Ese tipo de mensajes son fraudes.
¿Puedo ser víctima de smishing aunque el número remitente sea desconocido?
Sí. Los estafadores utilizan números generados automáticamente o números extranjeros. No confíe en un mensaje solo porque el número parezca conocido: la suplantación de número es técnicamente posible.
He abierto el enlace pero no he introducido ningún dato. ¿Estoy en peligro?
En la mayoría de los casos no. El mayor riesgo surge al introducir datos. Cierre la página y vigile sus cuentas durante los próximos días.
¿En qué se diferencia el smishing del quishing?
El smishing llega por texto en un SMS. El quishing utiliza códigos QR como vehículo: el fraude está oculto en el código QR, no en el texto del mensaje.
¿Dónde puedo denunciar un SMS de smishing en España?
Puede denunciarlo ante la Policía Nacional, la Guardia Civil o a través del formulario de la Oficina de Seguridad del Internauta (incidencias.osi.es). También puede reportarlo a su operadora móvil.