Smishing y fraude por SMS:

cómo reconocer el mensaje que quiere tu dinero

Ciberseguridad para todos  |  unfantasmaenelsistema.com

«Su paquete está retenido en aduanas. Abone 1,79 € para gestionar la entrega.» «Detectamos un acceso no autorizado a su cuenta. Verifique su identidad aquí.» «Hola mamá, se me ha roto el móvil, escríbeme a este número.» Si has recibido alguno de estos mensajes, no eres una excepción: el fraude por SMS —conocido como smishing, de «SMS» y «phishing»— es hoy una de las formas de estafa más extendidas en España, y funciona precisamente porque el SMS nos parece un canal más de fiar que el correo.

Este artículo no es técnico. Está pensado para cualquier persona que use un móvil, y su objetivo es sencillo: que después de leerlo sepas por qué esos mensajes llegan incluso al mismo hilo de conversación que los avisos reales de tu banco, qué señales delatan un fraude, y qué hacer —paso a paso— si alguna vez llegas a pulsar el enlace.

1. Por qué el SMS falso cae junto a los mensajes reales del banco

La clave de todo el fraude está en una debilidad de diseño del propio SMS. Cuando una empresa envía un mensaje, puede elegir qué aparece como remitente: en lugar de un número de teléfono, un texto corto llamado Sender ID o «remitente alfanumérico» (por ejemplo, el nombre de un banco, una empresa de paquetería o un organismo público). El problema es que la red de telefonía tradicionalmente no verifica que quien envía el mensaje tenga derecho a usar ese nombre.

La consecuencia es directa y desconcertante: si un estafador configura como remitente el mismo texto que usa tu banco de verdad, tu teléfono agrupa ambos mensajes —el legítimo y el fraudulento— en la misma conversación. Ves un hilo con avisos reales de meses atrás y, debajo, el mensaje falso. Esa continuidad visual es el mayor gancho psicológico del smishing: el contexto parece verificarlo por ti.

2. Los cinco disfraces más comunes en España

El smishing se adapta al calendario y a la actualidad, pero casi todas las campañas encajan en una de estas cinco familias. Reconocer el patrón es más útil que memorizar textos concretos.

El hilo conductor de todos ellos es la combinación de urgencia («tiene 24 horas», «último aviso») y fricción baja («solo un clic», «solo 1,79 €»). La urgencia apaga el pensamiento crítico; el importe ridículo hace que no valga la pena «perder el tiempo» comprobándolo. Es un cálculo deliberado.

3. Anatomía de un ataque, paso a paso

Ver el mecanismo completo ayuda a entender en qué momento se puede cortar. Un ataque típico de smishing con robo de credenciales tiene cinco fases:

• Envío masivo. El atacante manda el mismo SMS a miles de números, con un remitente suplantado y un texto que crea urgencia.
• El enlace acortado. La dirección aparece camuflada tras un acortador (bit.ly, cutt.ly, un dominio raro) para ocultar a dónde lleva de verdad y para esquivar filtros automáticos.
• La web clon. Al pulsar, se abre una página que reproduce con gran fidelidad la de la entidad suplantada: mismo logo, mismos colores, un formulario de acceso idéntico. El dominio, en cambio, no es el oficial.
• La captura de datos. Todo lo que escribes —usuario, contraseña, número de tarjeta, código SMS de confirmación— viaja directamente al atacante, a veces en tiempo real mientras él lo introduce en la web verdadera.
• El uso inmediato. Con esas credenciales se accede a la cuenta, se cambian los datos de contacto y se ordenan compras o transferencias antes de que la víctima reaccione.

4. Señales de alarma

Ningún indicio aislado es una prueba definitiva, pero la acumulación de varios lo es casi siempre. Repasa esta lista mentalmente ante cualquier mensaje que pida una acción:

• Urgencia y amenaza: plazos de horas, cuentas que «se bloquearán», multas que «se duplicarán».
• Un enlace en el propio SMS. Los bancos y organismos públicos, como norma, no envían enlaces de acceso o de pago por SMS.
• Dominio que no cuadra: el texto antes del primer «/» no es la web oficial de la entidad, o incluye palabras añadidas (guiones, «-seguro», «-clientes», terminaciones extrañas).
• Petición de datos que la entidad ya tiene o que nunca pediría por este canal: contraseña completa, PIN, códigos de un solo uso, número completo de tarjeta con fecha y CVV.
• Remitente mezclado: un número móvil normal firmando como «tu banco», o un mensaje que rompe el estilo de los anteriores del mismo hilo.
• Errores sutiles: tildes ausentes, frases traducidas de forma rara, un saludo genérico («Estimado cliente») en lugar de tu nombre.
• Un pago pequeño e inesperado: la «tasa de aduanas» de 1,79 € es el clásico; el objetivo real no es ese cobro, sino quedarse con los datos de tu tarjeta.

5. Cómo comprobarlo sin arriesgar nada

La regla general es no interactuar con el mensaje en absoluto: ni pulsar, ni responder, ni reenviar. La verificación se hace siempre por un canal aparte que tú inicias:

• Si dice ser tu banco, abre su aplicación oficial o teclea su dirección web a mano. Si hay un problema real, estará reflejado ahí.
• Si es una empresa de paquetería, entra en su web oficial y busca el envío con el localizador que tú tengas de tu compra, no con el enlace del SMS.
• Si es un organismo público, recuerda que la Agencia Tributaria, la DGT y la Seguridad Social no gestionan pagos ni devoluciones por SMS con enlace.
• Si es un familiar que escribe desde un «número nuevo», llámalo al número que ya tienes guardado antes de hacer nada.
• Ante la duda, llama al 017, la línea gratuita de ayuda en ciberseguridad del INCIBE, y descríbeles el mensaje.

6. Qué hacer si ya has picado

Que sea rápido importa más que hacerlo perfecto. Si has introducido datos en una de estas webs, actúa en este orden:

7. Reducir la exposición de entrada

• Marca los SMS de estafa como spam y bórralos; en Android e iOS existe el filtrado de remitentes desconocidos.
• No publiques tu número de teléfono en webs, sorteos o formularios que no sean imprescindibles: las listas de números para campañas de smishing se nutren de filtraciones y de recolección pública.
• Comprueba en haveibeenpwned.com si tu teléfono o tu correo han aparecido en brechas conocidas.
• Habilita la verificación en dos pasos en el correo y en las cuentas importantes, preferiblemente con una app de códigos o una llave física antes que por SMS.
• Habla de esto con las personas mayores de tu entorno: son el objetivo preferente de los fraudes de «hola mamá» y de falso soporte.

Conclusión

El smishing no funciona por su sofisticación técnica —es, de hecho, bastante rudimentario— sino porque explota la confianza que depositamos en el SMS y la prisa con la que respondemos al móvil. La suplantación del remitente hace el resto: coloca el anzuelo en el sitio donde menos lo esperas, junto a los mensajes de verdad.

La defensa cabe en una sola frase: ningún mensaje que recibes sin esperarlo merece que pulses su enlace. Si algo requiere tu atención de verdad, lo verás entrando tú mismo, por tu cuenta, en la app o la web oficial. Todo lo demás puede esperar los dos minutos que cuesta comprobarlo.

unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)