Estafas por SMS: paquetes, bancos y multas que no existen

El SMS parecía un canal muerto hasta que los estafadores lo recuperaron. Hoy es uno de los métodos de fraude más eficaces, porque un mensaje corto en el móvil se lee en segundos, sin tiempo para desconfiar. A esta variante se le llama smishing.

Por qué cuela más que el correo

Un SMS fraudulento tiene tres ventajas sobre un correo:

• No hay remitente que mirar. En un correo puedes comprobar la dirección; en un SMS solo ves un nombre o un número.
• El enlace va acortado. bit.ly/3xK9 no dice nada del destino, y acortar enlaces es normal en SMS.
• Lo lees con prisa. De pie, en la calle, mientras haces otra cosa.

Y hay un cuarto factor que descoloca a mucha gente: la suplantación del remitente. Los atacantes pueden hacer que el mensaje figure como enviado por "CaixaBank" o "Correos", y entonces el móvil lo agrupa en la misma conversación que los SMS auténticos de esa entidad. Ves el mensaje falso justo debajo de uno real tuyo de hace meses. Por eso aparecer en el hilo correcto no demuestra absolutamente nada.

Los cinco mensajes que más circulan

El paquete. "Su envío está retenido en aduanas. Abone 1,95 € para su entrega." La cifra es minúscula a propósito: parece asumible, y lo que quieren es que metas la tarjeta en una web falsa.

El banco. "Se ha detectado un cargo de 749 € en su cuenta. Si no lo reconoce, acceda aquí." El importe alto dispara el pánico y el clic.

La multa de tráfico. "Tiene una sanción pendiente de la DGT." La DGT no notifica multas por SMS con enlace de pago.

La agencia tributaria. "Devolución pendiente de tramitar." Muy activo en campaña de la renta.

El código de verificación. "Tu código es 847291. Si no lo has solicitado, llama al 9XX..." Ese teléfono es del estafador, que ya está intentando entrar en tu cuenta y necesita que tú le cantes el código.

La estafa que viene después: la llamada

Esto es lo que más dinero mueve y lo que menos se cuenta. El SMS a menudo es solo la primera parte. Minutos después te llaman desde un número que parece el de tu banco (también se falsifica), con una persona educada, que sabe tu nombre y tus últimas operaciones, y te explica que hay un fraude en curso y que hay que "mover el dinero a una cuenta segura".

No existe ninguna cuenta segura. Ningún banco pide mover dinero, ni facilitar claves, ni autorizar operaciones por teléfono. Y cada vez con más frecuencia esa voz está clonada con inteligencia artificial.

La defensa es siempre la misma: cuelga tú y llama al número de tu tarjeta. Si te dicen "no cuelgue, es urgente", ya sabes lo que es.

Cómo comprobar un SMS en diez segundos

1. ¿Esperabas ese mensaje? Si no esperas un paquete, no hay paquete.
2. ¿Pide dinero o datos? Las entidades reales informan; no cobran por SMS.
3. Mira el enlace sin pulsarlo. Mantén pulsado para previsualizar. Si el dominio no es exactamente el oficial, fuera.
4. No te fíes del hilo. Aunque aparezca entre mensajes legítimos.
5. Comprueba por tu cuenta. Abre la app del banco, el seguimiento del envío en la web de la empresa, la sede electrónica. En treinta segundos sales de dudas.

Si ya has pinchado

Entraste pero no escribiste nada: cierra y olvídalo. Riesgo bajo.

Metiste datos de tarjeta: bloquea la tarjeta ahora mismo desde la app del banco, llama a la entidad y revisa los cargos de los días siguientes. Las operaciones no autorizadas pueden reclamarse: cuanto antes avises, mejor.

Diste claves de banca online: llama al banco de inmediato, cambia las claves y pide que revisen las operaciones. Si has perdido dinero, denuncia en Policía Nacional o Guardia Civil; necesitarás la denuncia para reclamar.

Instalaste una aplicación desde el enlace: es lo más grave, porque suele ser software que lee tus SMS y tus claves. Pon el móvil en modo avión, desinstálala, cambia las contraseñas desde otro dispositivo y plantéate restaurar el teléfono de fábrica.

El 017 de INCIBE atiende gratis estas dudas y te dice qué pasos dar.

Cómo recibir menos

• Denuncia el mensaje: reenvíalo al 33300, el número de la iniciativa antifraude de los operadores españoles, y luego bórralo.
• Bloquea el número desde el propio mensaje.
• No publiques tu móvil en webs ni redes abiertas.
• Activa el filtro de remitentes desconocidos (Android e iPhone lo traen).
• Date de baja de brechas: si tu número ha aparecido en una filtración, recibirás más. Poco se puede hacer salvo desconfiar más.

En resumen

• El smishing funciona por la prisa, no por la tecnología.
• El remitente se falsifica: que el SMS aparezca junto a los auténticos no prueba nada.
• Nadie real te pide pagar 1,95 € por un paquete, ni mover el dinero a una cuenta segura.
• Comprueba siempre por tu vía: app oficial, web escrita a mano, teléfono de la tarjeta.
• Si caíste: bloquea la tarjeta, llama al banco, denuncia y llama al 017.