# SMS estafa: cómo detectar mensajes fraudulentos > Los SMS y WhatsApp de estafa más comunes (Correos, banco, Hacienda, hola mamá), cómo comprobarlos sin riesgo, dónde denunciarlos y qué hacer si pagaste. 17 de octubre de 2026 · Equipo de Mirabu Un SMS o WhatsApp de estafa casi siempre junta tres cosas: un remitente que parece de confianza (Correos, tu banco, Hacienda, un familiar), una urgencia y una petición: pulsar un enlace, dar datos o pagar. Si un mensaje que no esperabas te pide cualquiera de esas cosas, no respondas desde el propio mensaje. Compruébalo por un canal oficial que busques tú. ## Los mensajes de estafa más comunes ### Paquete retenido o tasas de aduana [INCIBE](https://www.incibe.es/ciudadania/avisos/circulan-sms-fraudulentos-que-suplantan-correos-solicitandote-dinero) ha recogido mensajes como "Su paquete no ha podido ser entregado, porque no se han pagado las tasas de aduanas (1,79 €)" con un enlace a una web que copia el diseño de Correos y pide los datos de la tarjeta. En otras versiones falta el número de la casa y te piden elegir una nueva franja de entrega antes de pedirte la tarjeta, como en una [campaña de diciembre de 2025](https://www.incibe.es/ciudadania/avisos/campana-de-smishing-que-suplanta-empresas-de-paqueteria-con-la-excusa-de-que). El importe es pequeño a propósito; lo que buscan es tu tarjeta. El mismo guion se usa con el nombre de otras empresas de paquetería. ### Tu banco: "acceso bloqueado" "Por su seguridad, el acceso a su cuenta ha sido bloqueado. Desbloquealo siguiendo nuestro enlace". Es uno de los ejemplos que publicó [INCIBE](https://www.incibe.es/ciudadania/avisos/aumentan-los-envios-de-sms-fraudulentos-que-suplantan-entidades-bancarias) al alertar de estos SMS, que llevan a una copia de la web del banco para robar tus claves. Lo más engañoso: el remitente puede aparecer con el nombre real de tu banco, e incluso colarse en el mismo hilo que sus SMS legítimos. Como recuerda INCIBE, un banco no te avisa de incidencias en tu cuenta por SMS o correo con un enlace a su web. ### Devolución de Hacienda "Te calificamos para un reembolso de 411.00€. Rellene el formulario". Mensajes así aparecen en la lista de fraudes de 2026 que mantiene la [Agencia Tributaria](https://sede.agenciatributaria.gob.es/Sede/ayuda/consultas-informaticas/informacion-casos-phishing/2026.html). La AEAT insiste en que nunca pide por SMS o correo información confidencial, números de cuenta ni de tarjeta, y en su [página general](https://sede.agenciatributaria.gob.es/Sede/ayuda/consultas-informaticas/informacion-casos-phishing.html) añade que tampoco lo hace por Bizum. Ante la duda, entra tú en su sede electrónica. ### Premios y sorteos Un regalo por sorpresa o un sorteo que has ganado sin participar. En un caso descrito por [INCIBE](https://www.incibe.es/ciudadania/avisos/adidas-no-esta-regalando-zapatillas-por-el-dia-de-la-mujer), la cadena de WhatsApp pedía reenviar el mensaje a cinco grupos o veinte amigos y, al final, pagar unos gastos de envío en un formulario que se quedaba con los datos bancarios. ### "Hola mamá, este es mi nuevo número" Llega un SMS de un número desconocido: tu hijo o tu hija dice que se le ha roto el móvil y te pide que le escribas por WhatsApp. Allí, tarde o temprano, surge una urgencia y la petición de un Bizum o una transferencia. [INCIBE](https://www.incibe.es/ciudadania/avisos/has-recibido-un-mensaje-desde-un-numero-desconocido-que-dice-ser-tu-hijo) recomienda contactar con tu hijo por la vía de siempre y, si hace falta, hacerle una pregunta que solo él o ella sabría responder. ## Las señales que lo delatan - **Urgencia o amenaza**: bloqueo, multa, último aviso, "hoy mismo". INCIBE explica que el pretexto busca que pulses rápido sin pararte a pensar. - **Un enlace**, sobre todo si la dirección no es la oficial. Las webs falsas imitan el nombre de la empresa y añaden palabras como "seguridad", "cliente" o "verificar". - **Un pago pequeño o raro**: 1,79 € de aduanas, un Bizum, tarjetas regalo. - **Petición de datos o códigos**: claves, el código que te acaba de llegar por SMS, la tarjeta con su código de seguridad. Según la [CNMV](https://www.cnmv.es/DocPortal/Publicaciones/Infografias/InfografiaEstafasYFraudes.pdf), ninguna entidad financiera autorizada pide a sus clientes información personal ni claves completas. - **Faltas de ortografía**, como la ausencia de tildes que INCIBE detectó en los mensajes de "hola mamá". ## Cómo comprobarlo sin riesgo 1. **No pulses el enlace ni respondas**, tampoco con "NO" o "STOP". INCIBE recomienda no contestar en ningún caso. 2. **Ve por tu cuenta**: escribe tú la dirección oficial en el navegador o abre la app oficial del banco, de Correos o de la empresa de paquetería y busca allí el envío o el aviso. 3. **Llama al número de siempre**: el del dorso de tu tarjeta, el de la app, el de tu familiar. Nunca al que aparece en el mensaje. 4. **Pide una segunda opinión.** El [Detector de estafas de Mirabu](https://www.mirabu.app/es/detector-de-estafas/) analiza una captura del mensaje: reconoce guiones de estafa típicos, señala los enlaces sospechosos (sin abrirlos) y las peticiones de pago, y cuenta las frases de presión y urgencia. Tienes dos escaneos gratis al día, y el resultado es una señal, no una prueba. ## Dónde denunciarlo **En España:** - [Tu Ayuda en Ciberseguridad de INCIBE](https://www.incibe.es/linea-de-ayuda-en-ciberseguridad): 017, WhatsApp 900 116 117 o Telegram @INCIBE017, todos los días de 8:00 a 23:00, gratis y confidencial. - **En WhatsApp**, haz capturas y después bloquea y reporta el número. Según la [ayuda de WhatsApp](https://faq.whatsapp.com/1142481766359885/), al reportar se envían los últimos mensajes de esa persona, y ella no recibe ningún aviso. - **Denuncia** ante la Policía Nacional o la Guardia Civil si has perdido dinero o datos. La Guardia Civil permite presentar algunas denuncias por internet en su [sede electrónica](https://guardiacivil.sede.gob.es/), identificándote con Cl@ve. **En México:** - El [Portal de Fraudes Financieros de la CONDUSEF](https://phpapps.condusef.gob.mx/fraudes_financieros/) permite buscar un número, una página o una institución suplantada, y reportar mensajes de SMS y WhatsApp. Para la denuncia formal, la CONDUSEF remite a la Guardia Nacional (088) y a la Fiscalía General de la República. - En la Ciudad de México, la [Policía Cibernética](https://www.eluniversal.com.mx/techbit/filtraron-tus-datos-asi-puedes-denunciar-a-la-policia-cibernetica/) atiende en el 55 5242 5100, extensión 5086, y en policia.cibernetica@ssc.cdmx.gob.mx. En el resto de Latinoamérica, empieza por tu banco y la unidad de delitos informáticos de la policía de tu país. ## Si ya hiciste clic o pagaste - **Si solo abriste la página** y no escribiste nada ni instalaste nada, ciérrala, borra el mensaje y bloquea al remitente. - **Si diste los datos de tu tarjeta o pagaste**, llama a tu banco cuanto antes para bloquear la tarjeta y los movimientos sospechosos. - **Si diste el usuario y la clave de tu banca online**, cámbialos y cambia también la contraseña de cualquier servicio donde usaras la misma. INCIBE aconseja además revisar que no tengas activado un desvío de llamadas: en Android, en la app Teléfono, Ajustes, Servicios adicionales y Desvío de llamadas; en iPhone, en Ajustes, Teléfono y Desvío de llamadas. - **Guarda las pruebas** (capturas, enlaces, justificantes) y denuncia. - **Busca tu nombre en internet** de vez en cuando durante los meses siguientes, como recomienda INCIBE. Si el banco no te devuelve el dinero, reclama primero a su servicio de atención al cliente. Cuando se trata de un servicio de pago, si en 15 días hábiles no responde o no estás de acuerdo, puedes acudir al [Banco de España](https://clientebancario.bde.es/pcb/es/menu-horizontal/podemosayudarte/consultasreclama/comorealizarrecl/). No eres un caso aislado: el fraude con tarjetas y transferencias fue la primera causa de las reclamaciones que admitió el Banco de España en 2025, casi el 28 %, según su [nota de prensa](https://www.bde.es/f/webbe/GAP/Secciones/SalaPrensa/NotasInformativas/26/presbe2026-67.pdf). Si el mensaje venía de una supuesta pareja o de alguien que conociste online, lee también nuestra guía sobre [estafas románticas](https://www.mirabu.app/es/blog/estafas-romanticas/). ## Preguntas frecuentes ### ¿Por qué el SMS falso aparece en el mismo hilo que los de mi banco? Porque los estafadores pueden falsificar el nombre del remitente. INCIBE explica que estos mensajes llegan a colarse en la misma conversación que los SMS legítimos del banco, por ejemplo junto a los códigos de verificación. ### ¿Hacienda puede devolverme dinero por SMS o por Bizum? No te pedirá así tus datos. La Agencia Tributaria repite que nunca solicita por SMS, correo o Bizum números de cuenta ni de tarjeta. Las comunicaciones reales se consultan en su sede electrónica. ### ¿Y si me llega por WhatsApp de un contacto conocido? INCIBE pide precaución con los enlaces aunque vengan de contactos conocidos. Si te pide dinero o un código, llama a esa persona por teléfono antes de hacer nada. ## Fuentes - [Circulan SMS fraudulentos que suplantan a Correos, INCIBE](https://www.incibe.es/ciudadania/avisos/circulan-sms-fraudulentos-que-suplantan-correos-solicitandote-dinero) - [Campaña de smishing que suplanta a empresas de paquetería, INCIBE](https://www.incibe.es/ciudadania/avisos/campana-de-smishing-que-suplanta-empresas-de-paqueteria-con-la-excusa-de-que) - [Aumentan los envíos de SMS fraudulentos que suplantan a entidades bancarias, INCIBE](https://www.incibe.es/ciudadania/avisos/aumentan-los-envios-de-sms-fraudulentos-que-suplantan-entidades-bancarias) - [¿Has recibido un mensaje de un número desconocido que dice ser tu hijo?, INCIBE](https://www.incibe.es/ciudadania/avisos/has-recibido-un-mensaje-desde-un-numero-desconocido-que-dice-ser-tu-hijo) - [Adidas no está regalando zapatillas, INCIBE](https://www.incibe.es/ciudadania/avisos/adidas-no-esta-regalando-zapatillas-por-el-dia-de-la-mujer) - [Información de casos de suplantación de la Agencia Tributaria](https://sede.agenciatributaria.gob.es/Sede/ayuda/consultas-informaticas/informacion-casos-phishing.html) - [Ejemplos de suplantación detectados en 2026, Agencia Tributaria](https://sede.agenciatributaria.gob.es/Sede/ayuda/consultas-informaticas/informacion-casos-phishing/2026.html) - [Nueve tipos de estafas y fraudes financieros, CNMV](https://www.cnmv.es/DocPortal/Publicaciones/Infografias/InfografiaEstafasYFraudes.pdf) - [Tu Ayuda en Ciberseguridad (017), INCIBE](https://www.incibe.es/linea-de-ayuda-en-ciberseguridad) - [Cómo bloquear y reportar a una persona, Ayuda de WhatsApp](https://faq.whatsapp.com/1142481766359885/) - [Sede electrónica de la Guardia Civil](https://guardiacivil.sede.gob.es/) - [Portal de Fraudes Financieros, CONDUSEF](https://phpapps.condusef.gob.mx/fraudes_financieros/) - [Así puedes denunciar a la policía cibernética, El Universal](https://www.eluniversal.com.mx/techbit/filtraron-tus-datos-asi-puedes-denunciar-a-la-policia-cibernetica/) - [Cómo realizar una reclamación, Banco de España](https://clientebancario.bde.es/pcb/es/menu-horizontal/podemosayudarte/consultasreclama/comorealizarrecl/) - [Nota de prensa sobre la Memoria de Reclamaciones 2025, Banco de España](https://www.bde.es/f/webbe/GAP/Secciones/SalaPrensa/NotasInformativas/26/presbe2026-67.pdf) --- Términos relacionados: [pig butchering](https://www.mirabu.app/es/glosario/pig-butchering/) · [smishing](https://www.mirabu.app/es/glosario/smishing/) [Compruébalo con Detector de estafas](https://www.mirabu.app/es/detector-de-estafas/) · [Todas las guías](https://www.mirabu.app/es/blog/)