Smishing: los SMS fraudulentos que suplantan a bancos y paquetería

Tu paquete no ha podido ser entregado, pulsa aquí para reprogramar. Hemos detectado un acceso inusual en tu cuenta, verifica tu identidad. Tienes una multa pendiente de pago. Mensajes así llegan a diario a millones de móviles, y muchos de ellos son intentos de fraude.

A esta variante del phishing que usa SMS se la conoce como smishing. Es especialmente eficaz porque los mensajes de texto se leen casi siempre, se perciben como más personales que un correo y, en el móvil, es más difícil comprobar a dónde lleva un enlace. Veamos cómo funciona y cómo protegerse.

Cómo funciona un ataque de smishing

El esquema suele ser sencillo. El estafador envía un SMS que suplanta a una entidad conocida e incluye un enlace. Ese enlace lleva a una página que imita a la perfección la web real, donde se pide introducir usuario y contraseña, datos de la tarjeta o un código recibido por SMS. Con esos datos, el delincuente accede a la cuenta o realiza compras y transferencias.

En otras variantes, el enlace intenta que instales una aplicación maliciosa, presentada como una actualización de seguridad o una aplicación de seguimiento de envíos, que puede leer tus mensajes o controlar parte del teléfono.

Por qué aparecen junto a los mensajes reales

Una técnica muy engañosa es la suplantación del remitente. Algunos SMS fraudulentos consiguen mostrarse con el mismo nombre que usa tu banco, de modo que el móvil los agrupa en la misma conversación que los avisos legítimos. Por eso, que un mensaje aparezca en el hilo de tu banco no garantiza que lo haya enviado tu banco.

Los cebos más habituales

Señales para desconfiar

• El mensaje incluye un enlace y te pide actuar rápido.
• La dirección del enlace es extraña, acortada o no coincide con la web oficial.
• Se solicita una pequeña cantidad para liberar un paquete o evitar un recargo: el objetivo no es ese pago, sino tu tarjeta.
• No esperabas ningún envío o no tienes relación con la empresa que lo firma.
• Te piden un código que acabas de recibir por SMS. Ese código sirve para autorizar operaciones y no se debe compartir nunca.

Qué hacer si recibes uno

1. No pulses el enlace ni respondas al mensaje.
2. Comprueba por tu cuenta: abre la aplicación del banco, la web de la empresa de mensajería o la sede oficial del organismo escribiendo tú la dirección.
3. Bloquea y elimina el número o remitente.
4. Reporta el mensaje si tu operador o tu móvil ofrecen esa opción.

Si ya has pulsado o has dado datos

Si solo has abierto el enlace sin introducir nada, en general el riesgo es bajo, aunque conviene cerrar la página y no volver a ella. Si has introducido claves o datos de tarjeta, llama de inmediato a tu banco por su teléfono oficial para bloquear la tarjeta y la banca online. Si instalaste alguna aplicación desde el enlace, desinstálala y, si tienes dudas, restaura el móvil. Guarda capturas y denuncia los hechos ante la Policía o la Guardia Civil.

Por qué el móvil es un objetivo tan atractivo

En la pantalla pequeña del teléfono es difícil ver la dirección completa de una web, los mensajes llegan mientras hacemos otras cosas y solemos responder casi por reflejo. Además, el móvil concentra la banca, el correo y los códigos de verificación. Por eso merece la pena detenerse unos segundos antes de pulsar cualquier enlace recibido por SMS, por inofensivo que parezca el mensaje.

Medidas de prevención en el móvil

• Instala aplicaciones solo desde las tiendas oficiales y desactiva la instalación desde orígenes desconocidos.
• Mantén el sistema operativo actualizado.
• Activa los filtros de mensajes de remitentes desconocidos que incluyen muchos móviles.
• Configura las notificaciones de tu banco en su aplicación oficial, que es un canal más seguro que el SMS.
• Comparte estas pautas con familiares, sobre todo personas mayores que reciben mensajes similares.

Recuerda que ante cualquier duda puedes llamar al 017, la línea gratuita de ayuda en ciberseguridad del INCIBE, para que te orienten.

Preguntas frecuentes

¿Cómo han conseguido mi número?

A menudo no lo tienen de forma específica: se envían mensajes a listas enormes de números generados o procedentes de filtraciones. Que te llegue no significa que alguien te esté vigilando.

¿Los bancos envían SMS con enlaces?

Muchas entidades han dejado de incluir enlaces en sus SMS precisamente para evitar confusiones. Ante la duda, entra siempre por la aplicación oficial.

¿Sirve de algo denunciar un SMS si no he perdido dinero?

Sí, reportarlo ayuda a las autoridades y a los operadores a detectar campañas activas y alertar a otros usuarios.