SMS estafa: cómo detectar mensajes fraudulentos

Un SMS o WhatsApp de estafa casi siempre junta tres cosas: un remitente que parece de confianza (Correos, tu banco, Hacienda, un familiar), una urgencia y una petición: pulsar un enlace, dar datos o pagar. Si un mensaje que no esperabas te pide cualquiera de esas cosas, no respondas desde el propio mensaje. Compruébalo por un canal oficial que busques tú.

Los mensajes de estafa más comunes

Paquete retenido o tasas de aduana

INCIBE ha recogido mensajes como "Su paquete no ha podido ser entregado, porque no se han pagado las tasas de aduanas (1,79 €)" con un enlace a una web que copia el diseño de Correos y pide los datos de la tarjeta. En otras versiones falta el número de la casa y te piden elegir una nueva franja de entrega antes de pedirte la tarjeta, como en una campaña de diciembre de 2025. El importe es pequeño a propósito; lo que buscan es tu tarjeta. El mismo guion se usa con el nombre de otras empresas de paquetería.

Tu banco: "acceso bloqueado"

"Por su seguridad, el acceso a su cuenta ha sido bloqueado. Desbloquealo siguiendo nuestro enlace". Es uno de los ejemplos que publicó INCIBE al alertar de estos SMS, que llevan a una copia de la web del banco para robar tus claves. Lo más engañoso: el remitente puede aparecer con el nombre real de tu banco, e incluso colarse en el mismo hilo que sus SMS legítimos. Como recuerda INCIBE, un banco no te avisa de incidencias en tu cuenta por SMS o correo con un enlace a su web.

Devolución de Hacienda

"Te calificamos para un reembolso de 411.00€. Rellene el formulario". Mensajes así aparecen en la lista de fraudes de 2026 que mantiene la Agencia Tributaria. La AEAT insiste en que nunca pide por SMS o correo información confidencial, números de cuenta ni de tarjeta, y en su página general añade que tampoco lo hace por Bizum. Ante la duda, entra tú en su sede electrónica.

Premios y sorteos

Un regalo por sorpresa o un sorteo que has ganado sin participar. En un caso descrito por INCIBE, la cadena de WhatsApp pedía reenviar el mensaje a cinco grupos o veinte amigos y, al final, pagar unos gastos de envío en un formulario que se quedaba con los datos bancarios.

"Hola mamá, este es mi nuevo número"

Llega un SMS de un número desconocido: tu hijo o tu hija dice que se le ha roto el móvil y te pide que le escribas por WhatsApp. Allí, tarde o temprano, surge una urgencia y la petición de un Bizum o una transferencia. INCIBE recomienda contactar con tu hijo por la vía de siempre y, si hace falta, hacerle una pregunta que solo él o ella sabría responder.

Las señales que lo delatan

Urgencia o amenaza: bloqueo, multa, último aviso, "hoy mismo". INCIBE explica que el pretexto busca que pulses rápido sin pararte a pensar.
Un enlace, sobre todo si la dirección no es la oficial. Las webs falsas imitan el nombre de la empresa y añaden palabras como "seguridad", "cliente" o "verificar".
Un pago pequeño o raro: 1,79 € de aduanas, un Bizum, tarjetas regalo.
Petición de datos o códigos: claves, el código que te acaba de llegar por SMS, la tarjeta con su código de seguridad. Según la CNMV, ninguna entidad financiera autorizada pide a sus clientes información personal ni claves completas.
Faltas de ortografía, como la ausencia de tildes que INCIBE detectó en los mensajes de "hola mamá".

Cómo comprobarlo sin riesgo

No pulses el enlace ni respondas, tampoco con "NO" o "STOP". INCIBE recomienda no contestar en ningún caso.
Ve por tu cuenta: escribe tú la dirección oficial en el navegador o abre la app oficial del banco, de Correos o de la empresa de paquetería y busca allí el envío o el aviso.
Llama al número de siempre: el del dorso de tu tarjeta, el de la app, el de tu familiar. Nunca al que aparece en el mensaje.
Pide una segunda opinión. El Detector de estafas de Mirabu analiza una captura del mensaje: reconoce guiones de estafa típicos, señala los enlaces sospechosos (sin abrirlos) y las peticiones de pago, y cuenta las frases de presión y urgencia. Tienes dos escaneos gratis al día, y el resultado es una señal, no una prueba.

Dónde denunciarlo

En España:

Tu Ayuda en Ciberseguridad de INCIBE: 017, WhatsApp 900 116 117 o Telegram @INCIBE017, todos los días de 8:00 a 23:00, gratis y confidencial.
En WhatsApp, haz capturas y después bloquea y reporta el número. Según la ayuda de WhatsApp, al reportar se envían los últimos mensajes de esa persona, y ella no recibe ningún aviso.
Denuncia ante la Policía Nacional o la Guardia Civil si has perdido dinero o datos. La Guardia Civil permite presentar algunas denuncias por internet en su sede electrónica, identificándote con Cl@ve.

En México:

El Portal de Fraudes Financieros de la CONDUSEF permite buscar un número, una página o una institución suplantada, y reportar mensajes de SMS y WhatsApp. Para la denuncia formal, la CONDUSEF remite a la Guardia Nacional (088) y a la Fiscalía General de la República.
En la Ciudad de México, la Policía Cibernética atiende en el 55 5242 5100, extensión 5086, y en policia.cibernetica@ssc.cdmx.gob.mx.

En el resto de Latinoamérica, empieza por tu banco y la unidad de delitos informáticos de la policía de tu país.

Si ya hiciste clic o pagaste

Si solo abriste la página y no escribiste nada ni instalaste nada, ciérrala, borra el mensaje y bloquea al remitente.
Si diste los datos de tu tarjeta o pagaste, llama a tu banco cuanto antes para bloquear la tarjeta y los movimientos sospechosos.
Si diste el usuario y la clave de tu banca online, cámbialos y cambia también la contraseña de cualquier servicio donde usaras la misma. INCIBE aconseja además revisar que no tengas activado un desvío de llamadas: en Android, en la app Teléfono, Ajustes, Servicios adicionales y Desvío de llamadas; en iPhone, en Ajustes, Teléfono y Desvío de llamadas.
Guarda las pruebas (capturas, enlaces, justificantes) y denuncia.
Busca tu nombre en internet de vez en cuando durante los meses siguientes, como recomienda INCIBE.

Si el banco no te devuelve el dinero, reclama primero a su servicio de atención al cliente. Cuando se trata de un servicio de pago, si en 15 días hábiles no responde o no estás de acuerdo, puedes acudir al Banco de España. No eres un caso aislado: el fraude con tarjetas y transferencias fue la primera causa de las reclamaciones que admitió el Banco de España en 2025, casi el 28 %, según su nota de prensa.

Si el mensaje venía de una supuesta pareja o de alguien que conociste online, lee también nuestra guía sobre estafas románticas.

Preguntas frecuentes

¿Por qué el SMS falso aparece en el mismo hilo que los de mi banco?

Porque los estafadores pueden falsificar el nombre del remitente. INCIBE explica que estos mensajes llegan a colarse en la misma conversación que los SMS legítimos del banco, por ejemplo junto a los códigos de verificación.

¿Hacienda puede devolverme dinero por SMS o por Bizum?

No te pedirá así tus datos. La Agencia Tributaria repite que nunca solicita por SMS, correo o Bizum números de cuenta ni de tarjeta. Las comunicaciones reales se consultan en su sede electrónica.

¿Y si me llega por WhatsApp de un contacto conocido?

INCIBE pide precaución con los enlaces aunque vengan de contactos conocidos. Si te pide dinero o un código, llama a esa persona por teléfono antes de hacer nada.