Smishing: cómo detectar un SMS fraudulento y qué hacer si has caído
Tu banco te avisa por SMS de que alguien acaba de acceder a tu cuenta. Una empresa de paquetería asegura que no puede entregar un paquete porque falta parte de tu dirección. La Agencia Tributaria supuestamente tiene una notificación pendiente para ti.
Todos los mensajes incluyen algo parecido: un problema urgente y un enlace para solucionarlo inmediatamente.
Puede tratarse de smishing.
Los SMS fraudulentos han evolucionado bastante. Ya no siempre contienen faltas de ortografía evidentes ni llegan desde números extraños. Algunos utilizan el nombre de empresas conocidas, imitan comunicaciones oficiales e incluso pueden aparecer agrupados en el teléfono junto a mensajes auténticos de una entidad.
Por eso, reconocer un fraude ya no consiste simplemente en buscar errores en el texto.
La clave está en aprender a identificar qué intenta conseguir el mensaje y cómo pretende que actúes.
Qué es el smishing
El smishing es una modalidad de fraude que utiliza mensajes SMS para engañar a una persona haciéndose pasar normalmente por una empresa, banco, organismo público u otro servicio de confianza.
El término combina SMS y phishing.
Según INCIBE, el objetivo suele ser conseguir información privada, provocar un cargo económico o llevar a la víctima mediante un enlace hacia una página fraudulenta.
El mecanismo es sencillo.
Recibes un mensaje que aparentemente procede de una organización conocida y te pide realizar alguna acción.
Por ejemplo:
“Se ha detectado un acceso sospechoso. Verifica tu cuenta inmediatamente.”
O:
“No hemos podido entregar su paquete. Confirme su dirección.”
También pueden aparecer supuestas multas, devoluciones de impuestos, problemas con tarjetas, suscripciones que van a caducar o avisos sobre cuentas bloqueadas.
El mensaje intenta conseguir que actúes antes de pensar.
Ahí está una de las claves del smishing.
Cómo funciona una estafa por SMS
Un ataque de smishing suele aprovechar la ingeniería social.
En lugar de intentar vulnerar directamente un sistema informático, el delincuente intenta convencerte para que seas tú quien entregue la información.
El proceso puede desarrollarse así:
- Recibes un SMS aparentemente legítimo.
- El mensaje introduce urgencia, preocupación o curiosidad.
- Incluye un enlace o número de teléfono.
- Accedes a una página que imita un servicio auténtico o llamas a un supuesto agente.
- Te solicitan credenciales, datos bancarios o información personal.
- Esa información termina en manos de los delincuentes.
En otros casos el enlace intenta provocar la descarga de una aplicación o archivo malicioso.
La apariencia del mensaje puede ser muy convincente.
Por eso es importante abandonar la idea de que podremos reconocer cualquier estafa simplemente porque “se nota que es falsa”.
Las señales más habituales de un SMS fraudulento
No existe una característica que aparezca en todos los ataques.
Debemos observar el conjunto.
Intenta provocar urgencia
La urgencia es uno de los recursos más utilizados.
El mensaje puede advertir:
- “Su cuenta será bloqueada.”
- “Último aviso.”
- “Tiene 24 horas.”
- “Pago rechazado.”
- “Actividad sospechosa detectada.”
- “Su paquete será devuelto.”
- “Debe verificar su identidad inmediatamente.”
¿Por qué funciona?
Porque cuando creemos que podemos perder dinero, una cuenta o un paquete, dedicamos menos tiempo a comprobar la información.
Antes de pulsar cualquier enlace, pregúntate:
¿Realmente necesito resolver esto desde el propio SMS?
Normalmente puedes verificarlo entrando por tu cuenta en la aplicación o web oficial del servicio.
Incluye un enlace inesperado
Muchos ataques de smishing intentan llevarte a una página falsa.
El enlace puede parecer relacionado con la empresa, pero contener pequeñas diferencias.
También puede utilizar servicios para acortar URLs y ocultar el destino real.
La recomendación más segura es sencilla:
no accedas a una cuenta sensible utilizando un enlace recibido inesperadamente por SMS.
Si el mensaje parece proceder de tu banco, abre manualmente la aplicación bancaria.
Si habla de un paquete, entra directamente en la web o aplicación de la empresa de transporte.
Si menciona una administración pública, utiliza su sede electrónica oficial.
Solicita datos personales o bancarios
Un formulario puede pedirte:
- nombre y apellidos;
- DNI;
- teléfono;
- dirección;
- contraseña;
- número de tarjeta;
- fecha de caducidad;
- código de seguridad.
Que una página tenga un aspecto profesional no significa que pertenezca realmente a la empresa que aparece en pantalla.
Los delincuentes pueden copiar logotipos, textos y diseños de servicios auténticos.
Por eso la apariencia visual nunca debería ser tu única comprobación.
Pide códigos recibidos por SMS
Esta señal merece especial atención.
Si durante una conversación alguien te pide que le comuniques un código que acabas de recibir en tu teléfono, no lo compartas sin entender exactamente qué estás autorizando.
Los códigos temporales pueden utilizarse para confirmar accesos, operaciones o cambios de seguridad.
Un supuesto empleado que te presiona para que leas rápidamente un código recibido debería despertar inmediatamente tus sospechas.
Te pide instalar una aplicación
Otra señal especialmente peligrosa aparece cuando el supuesto servicio de atención al cliente te indica que descargues una aplicación mediante un enlace.
INCIBE documentó en junio de 2026 un caso en el que la víctima recibió un SMS aparentemente bancario, llamó al teléfono indicado y posteriormente recibió por WhatsApp instrucciones para instalar una aplicación. El engaño continuó mediante técnicas adicionales relacionadas con la tarjeta bancaria.
No instales aplicaciones siguiendo las instrucciones de un contacto inesperado.
Utiliza las tiendas oficiales y verifica primero con la entidad utilizando sus canales auténticos.
¿Puede un SMS falso aparecer junto a mensajes reales de mi banco?
Sí.
Y este punto es especialmente importante porque desmonta uno de los consejos tradicionales para detectar fraudes.
Podemos pensar:
“Está en la misma conversación donde recibo los códigos del banco, así que tiene que ser auténtico.”
No necesariamente.
El Banco de España advierte de que existen técnicas que permiten falsificar el identificador del remitente. Como consecuencia, determinados SMS fraudulentos pueden aparecer agrupados en el mismo hilo donde anteriormente habías recibido comunicaciones legítimas de la entidad.
Esto significa que el lugar donde aparece el mensaje no constituye una garantía de autenticidad.
Aunque aparezca dentro del hilo habitual, analiza lo que te está pidiendo.
Y ante cualquier duda, no utilices el enlace ni el teléfono incluido en el mensaje.
Abre directamente la aplicación oficial del banco o utiliza un número de contacto que hayas obtenido independientemente.
Ejemplos habituales de smishing
Las campañas cambian constantemente, pero los pretextos suelen repetirse.
SMS falso del banco
Es uno de los casos más conocidos.
El mensaje puede hablar de:
- acceso desde un nuevo dispositivo;
- tarjeta bloqueada;
- transferencia sospechosa;
- actualización de seguridad;
- pago pendiente de autorización;
- cuenta temporalmente suspendida.
El objetivo es generar preocupación.
En lugar de pulsar el enlace, abre la aplicación bancaria desde el icono que utilizas habitualmente.
Si realmente existe un problema importante, comprueba allí las notificaciones.
SMS falso de paquetería
Otro gancho especialmente eficaz aprovecha las compras online.
El mensaje puede indicar:
“No podemos entregar su paquete porque falta el número de la vivienda.”
Después aparece un enlace para actualizar los datos.
INCIBE alertó a finales de 2025 de una campaña con este patrón cuyo objetivo era obtener datos personales y bancarios.
El problema es que muchas personas están esperando realmente algún pedido.
El delincuente no necesita saber exactamente qué has comprado.
Envía miles de mensajes y confía en que una parte de los destinatarios tenga algún paquete pendiente.
SMS de una supuesta multa
También existen mensajes que suplantan a organismos relacionados con tráfico.
Pueden avisar de una multa pendiente y ofrecer un supuesto descuento si se paga inmediatamente.
La urgencia económica vuelve a funcionar como gancho.
No pagues una sanción desde un enlace recibido inesperadamente.
Comprueba cualquier notificación utilizando los canales oficiales correspondientes.
SMS falso de Hacienda
Las campañas también pueden utilizar como reclamo una devolución, una deuda o una notificación fiscal.
INCIBE ha seguido detectando durante 2026 campañas que suplantan a la Agencia Tributaria mediante phishing y smishing.
Una devolución inesperada puede generar la misma reacción impulsiva que una amenaza:
curiosidad y deseo de cobrar rápidamente.
La ingeniería social no utiliza únicamente miedo.
También puede utilizar oportunidades aparentemente positivas.
Qué hacer si recibes un SMS sospechoso
Recibir un mensaje fraudulento no significa que tu teléfono haya sido comprometido.
Si simplemente has recibido el SMS y no has interactuado con él, la situación suele ser mucho más sencilla.
No pulses el enlace
No necesitas abrirlo para comprobar si parece legítimo.
Busca la información por otra vía.
No respondas
Responder puede confirmar que el número está activo.
Tampoco envíes información personal para pedir explicaciones.
Comprueba la información independientemente
Supongamos que recibes:
“Se ha detectado un cargo de 450 €. Pulse aquí si no reconoce la operación.”
No pulses.
Abre directamente la aplicación de tu banco y consulta los movimientos.
Si necesitas hablar con la entidad, utiliza el teléfono que aparece en su web oficial, aplicación o documentación bancaria.
Esta misma lógica sirve para prácticamente cualquier organización.
Bloquea el remitente cuando corresponda
Puedes utilizar las funciones de bloqueo y marcado como spam disponibles en tu dispositivo.
Ten en cuenta, sin embargo, que los delincuentes pueden cambiar de números o falsificar identificadores.
Bloquear ayuda, pero no sustituye a aprender a reconocer el patrón.
He pulsado el enlace: ¿qué hago?
Aquí debemos diferenciar varias situaciones.
Pulsar un enlace no equivale automáticamente a haber entregado tus cuentas a un delincuente.
Lo importante es saber qué ocurrió después.
Si abriste la página pero no descargaste nada ni introdujiste información, cierra la web.
No sigas navegando por ella.
Comprueba que no hayas autorizado descargas o instalaciones inesperadas y mantén actualizado el sistema operativo de tu dispositivo.
Si descargaste un archivo o instalaste una aplicación siguiendo las instrucciones de la página, el riesgo es mayor.
Elimina cualquier archivo sospechoso y revisa el dispositivo. INCIBE recomienda, cuando se sospecha haber sido víctima de smishing, analizar el dispositivo con herramientas de seguridad actualizadas y eliminar archivos descargados desde el SMS fraudulento.
He introducido mi contraseña en la web falsa
Actúa cuanto antes.
Cambia la contraseña desde la página o aplicación oficial del servicio.
Si utilizabas esa misma contraseña en otros lugares, cambia también esas cuentas.
Este punto es importante.
La reutilización de contraseñas puede convertir el robo de una credencial en un problema mucho mayor.
Imagina que utilizas la misma contraseña para:
- correo electrónico;
- red social;
- tienda online;
- otro servicio.
El delincuente puede probar automáticamente las credenciales robadas en diferentes plataformas.
Utiliza contraseñas distintas y activa la autenticación en dos pasos siempre que esté disponible.
Si has facilitado información relacionada con una cuenta de WebyChat o tienes dudas sobre el funcionamiento del servicio, utiliza el centro de ayuda de WebyChat en lugar de responder a contactos que aseguren actuar en nombre de la plataforma.
He dado los datos de mi tarjeta
Aquí la prioridad cambia.
Contacta inmediatamente con tu entidad bancaria utilizando sus canales oficiales.
Explica qué información has introducido y sigue sus instrucciones.
Dependiendo de los datos comprometidos, puede ser necesario bloquear o sustituir la tarjeta.
Revisa también los movimientos de la cuenta.
INCIBE recomienda contactar con la entidad financiera cuando se hayan proporcionado datos bancarios y controlar posteriormente las operaciones para detectar movimientos no autorizados.
No esperes a que aparezca un cargo para informar al banco si sabes que has entregado información sensible a una página fraudulenta.
Ya me han robado dinero: ¿qué hago?
Contacta inmediatamente con tu entidad financiera.
Pregunta qué posibilidades existen de bloquear operaciones pendientes o actuar sobre las transacciones realizadas.
Después conserva todas las evidencias relacionadas con el fraude.
Pueden incluir:
- captura del SMS;
- número o identificador del remitente;
- URL utilizada;
- capturas de la web;
- movimientos bancarios;
- números de teléfono;
- correos recibidos;
- conversaciones posteriores;
- aplicaciones que te hayan pedido instalar.
No borres precipitadamente toda la información.
Puede ser necesaria para documentar lo ocurrido.
Valora también denunciar los hechos ante las Fuerzas y Cuerpos de Seguridad.
INCIBE recomienda recopilar las evidencias disponibles cuando se ha sido víctima de este tipo de fraude.
Smishing, phishing y vishing: cuál es la diferencia
Los tres conceptos están estrechamente relacionados.
Smishing
El engaño comienza principalmente mediante SMS.
Phishing
Tradicionalmente utiliza correo electrónico, aunque actualmente el término phishing también puede emplearse de forma más amplia para describir intentos de suplantación destinados a robar información.
Vishing
El fraude utiliza llamadas telefónicas o comunicaciones de voz.
Las técnicas pueden combinarse.
Por ejemplo:
- recibes un SMS;
- el mensaje te pide llamar a un número;
- un supuesto empleado del banco responde;
- te convence para instalar una aplicación;
- posteriormente solicita información.
El ataque empezó como smishing y continuó mediante ingeniería social telefónica.
Por eso es más importante comprender el mecanismo que obsesionarse con la etiqueta exacta.
Por qué estas estafas siguen funcionando
Puede parecer sorprendente que alguien pulse un enlace sospechoso.
Pero debemos observar el contexto.
Imagina que realmente estás esperando un paquete.
Recibes:
“No podemos realizar la entrega. Falta el número de su vivienda.”
El mensaje coincide con algo que está ocurriendo en tu vida.
O estás trabajando y aparece:
“Transferencia de 680 € realizada correctamente.”
Tu primera reacción probablemente no sea analizar técnicamente el SMS.
Será:
“¿Qué transferencia?”
El delincuente intenta aprovechar precisamente esos segundos de preocupación.
Por eso la defensa más efectiva no consiste en creer que nunca podremos ser engañados.
Consiste en adoptar una rutina:
mensaje inesperado → no utilizar el enlace → comprobar por un canal independiente.
La ingeniería social también aparece en chats y redes sociales
El SMS es solamente uno de los canales utilizados para manipular a usuarios.
Los mismos principios aparecen en conversaciones privadas, redes sociales y comunidades online.
Una persona puede intentar ganarse tu confianza antes de pedirte:
- un código;
- una contraseña;
- dinero;
- una fotografía;
- datos personales;
- acceso a una cuenta.
Cuando utilizas un chat online o empiezas a hablar con desconocidos, recuerda que la confianza debe construirse progresivamente.
Si una persona que acabas de conocer te envía un enlace inesperado y te pide que introduzcas credenciales, no lo hagas.
Tampoco compartas códigos de verificación.
En nuestra guía sobre catfishing y perfiles falsos explicamos cómo detectar señales de identidades ficticias utilizadas para ganar la confianza de otras personas.
Aunque el catfishing y el smishing son técnicas diferentes, ambos pueden utilizar suplantación e ingeniería social.
Cómo protegerte del smishing
No necesitas convertir cada SMS en una investigación.
Unas reglas sencillas reducen gran parte del riesgo.
Entra directamente en las aplicaciones
Si recibes una alerta bancaria, abre la aplicación bancaria.
Si recibes un aviso sobre una cuenta, abre tú mismo la aplicación correspondiente.
Evita convertir el SMS en la puerta de entrada a servicios sensibles.
Comprueba el dominio antes de introducir información
Si has llegado a una web y tienes dudas, observa cuidadosamente el dominio.
Los atacantes pueden utilizar nombres similares a los auténticos.
Pero recuerda que reconocer visualmente un dominio falso no siempre es sencillo.
Ante la duda, cierra la página y accede escribiendo tú mismo la dirección oficial o utilizando la aplicación.
Utiliza autenticación en dos pasos
La autenticación adicional puede dificultar que una contraseña robada sea suficiente para acceder a una cuenta.
No elimina todos los riesgos.
Pero añade una barrera importante.
Mantén actualizado el teléfono
Las actualizaciones corrigen vulnerabilidades y mejoran los mecanismos de seguridad.
Mantén actualizados tanto el sistema operativo como las aplicaciones.
No compartas códigos
Un código de verificación es para ti.
Si alguien te pide que se lo leas o reenvíes, detente y comprueba qué operación está intentando realizar.
Desconfía de la presión
“Ahora.”
“Urgente.”
“Última oportunidad.”
“Su cuenta será bloqueada.”
La presión temporal debería provocar el efecto contrario del que busca el atacante.
En lugar de actuar más rápido, actúa más despacio.
Puedes consultar también las recomendaciones generales de seguridad de WebyChat cuando utilices chats y otros servicios online.
¿Qué pasa si el mensaje conoce mi nombre?
No significa automáticamente que sea auténtico.
Nuestros datos pueden aparecer en numerosas bases de datos, filtraciones o fuentes públicas.
Un delincuente puede disponer de tu nombre, teléfono o correo electrónico sin tener acceso a tus cuentas.
Por eso:
“Hola, Carlos”
no convierte un SMS en una comunicación legítima.
La personalización hace el engaño más convincente, pero no demuestra quién lo envió.
¿Y si el mensaje viene de una empresa que utilizo?
Tampoco es suficiente.
Precisamente las marcas conocidas son atractivas para los delincuentes porque millones de personas utilizan sus servicios.
Si envían miles de SMS simulando ser un banco importante, una empresa de paquetería o una administración pública, una parte de los destinatarios será cliente o estará esperando algún trámite relacionado.
No necesitan saberlo previamente.
Qué hacer antes de confiar en cualquier mensaje inesperado
Puedes aplicar una comprobación rápida de cinco preguntas:
1. ¿Esperaba realmente este mensaje?
2. ¿Intenta generar miedo, urgencia o una oportunidad demasiado atractiva?
3. ¿Me pide pulsar un enlace, llamar a un número o instalar algo?
4. ¿Solicita datos, contraseñas, tarjetas o códigos?
5. ¿Puedo comprobar lo que dice entrando directamente en el servicio oficial?
Si puedes verificar la información independientemente, hazlo.
Esta misma precaución resulta útil cuando empiezas a conocer gente online. No abras enlaces ni entregues información sensible simplemente porque una conversación parezca amistosa.
Preguntas frecuentes sobre smishing
¿Qué significa smishing?
Smishing es una modalidad de phishing realizada principalmente mediante mensajes SMS. Los delincuentes suelen hacerse pasar por organizaciones legítimas para conseguir datos, dinero o llevar a la víctima a páginas fraudulentas.
¿Puedo ser hackeado solo por recibir un SMS?
Recibir un SMS fraudulento no significa por sí mismo que hayan accedido a tu teléfono o tus cuentas. El riesgo aumenta cuando interactúas con enlaces, descargas archivos, instalas aplicaciones o entregas información.
¿Qué hago si he pulsado un enlace de un SMS falso?
Cierra la página y no introduzcas información. Si descargaste archivos o aplicaciones, elimínalos y revisa el dispositivo. Si proporcionaste credenciales o datos bancarios, actúa sobre las cuentas afectadas inmediatamente.
¿Qué hago si he dado mi contraseña?
Cámbiala desde el servicio oficial y modifica también cualquier otra cuenta donde reutilizaras la misma contraseña. Activa autenticación en dos pasos cuando sea posible.
¿Qué hago si he dado los datos de mi tarjeta?
Contacta inmediatamente con tu banco mediante sus canales oficiales y sigue sus indicaciones. Revisa además los movimientos de la cuenta.
¿Puede un SMS fraudulento aparecer en la conversación real de mi banco?
Sí. El Banco de España advierte de técnicas que permiten falsificar el identificador del remitente, por lo que un mensaje fraudulento puede aparecer agrupado con comunicaciones bancarias legítimas.
¿Los SMS con faltas de ortografía siempre son fraudulentos?
No todos los mensajes con errores son fraudes y, sobre todo, no todos los fraudes contienen errores. Algunos ataques utilizan textos muy cuidados y páginas visualmente convincentes.
¿Cómo compruebo si un SMS del banco es real?
No utilices el enlace ni el teléfono incluido en un mensaje sospechoso. Abre directamente la aplicación bancaria o contacta con la entidad utilizando un número obtenido de su web oficial, aplicación o documentación.
La mejor defensa: verificar antes de actuar
El smishing funciona porque intenta reducir el tiempo que dedicamos a pensar.
Una cuenta bloqueada.
Un paquete pendiente.
Una multa.
Una transferencia desconocida.
Una devolución de impuestos.
Todos estos mensajes intentan provocar una reacción inmediata.
Por eso una de las mejores defensas es sorprendentemente sencilla:
detente y verifica por otro canal.
No necesitas saber cómo funciona técnicamente cada modalidad de fraude.
Necesitas adquirir un hábito.
Cuando un SMS inesperado te pida dinero, información, credenciales, códigos o una acción urgente, no utilices el propio mensaje para solucionar el supuesto problema.
Ve directamente a la fuente.
La misma precaución resulta útil cuando navegas por Internet, utilizas redes sociales o participas en salas de chat: protege tus datos, verifica las identidades cuando sea necesario y desconfía de quien intente acelerar artificialmente una decisión importante.
Los ciberdelincuentes cambian de historias constantemente.
La forma de protegerte puede seguir siendo la misma:
no actuar por impulso, no entregar información innecesaria y comprobar antes de confiar.