¿Qué es el smishing? Cómo reconocer un SMS fraudulento

El smishing es un fraude que llega por SMS: el mensaje se hace pasar por un banco, una empresa de paquetería, un organismo público o incluso un familiar para que pulses un enlace, llames a un número o des tus datos personales y bancarios. El nombre une "SMS" y "phishing", según INCIBE.

Cómo reconocer un SMS de smishing

Un remitente de confianza: tu banco, Correos, la DGT o Hacienda. Según INCIBE, el SMS falso puede llegar con el nombre real del banco e incluso colarse en el mismo hilo que sus mensajes legítimos.
Urgencia: "último recordatorio", "su cuenta ha sido bloqueada".
Un enlace a una web que imita la oficial.
Un pago pequeño, como las tasas de aduana de 1,79 € de un falso aviso de Correos recogido por INCIBE.
Una devolución inesperada, como los falsos reembolsos que publica la Agencia Tributaria.
Faltas de ortografía, como en los falsos avisos de multas de la DGT que recoge INCIBE.
Petición de datos: tarjeta, código de seguridad, PIN o claves.

INCIBE recuerda que un banco no te avisa de incidencias en tu cuenta con un SMS o un correo que lleve un enlace a su web; la Agencia Tributaria nunca pide por SMS, correo o Bizum información confidencial, números de cuenta ni de tarjeta; y la DGT notifica las multas por correo postal o por la Dirección Electrónica Vial (DEV), según INCIBE.

Un ejemplo

Inventado, pero inspirado en avisos reales: "Correos: su envio esta retenido por tasas pendientes (1,95 €). Pague antes de 24 h o sera devuelto: [enlace]". El enlace abre una copia de la web de Correos que pide los datos de tu tarjeta.

Smishing, phishing y vishing

Buscan lo mismo; cambia el canal. El phishing llega por correo electrónico; el smishing, por SMS; y el vishing, por una llamada de alguien que se hace pasar por una empresa o una persona de confianza. Si te llega por WhatsApp, sigue los mismos pasos.

Qué hacer

No pulses el enlace ni respondas. Borra el mensaje y bloquea al remitente, como aconseja INCIBE.
Compruébalo por tu cuenta, en la app oficial o en la web oficial escribiendo tú la dirección.
Si diste la tarjeta o pagaste, llama a tu banco cuanto antes para bloquearla y pedir que anulen las operaciones.
Si diste las claves de tu banca online, cámbialas (también donde repitieras la contraseña) y revisa que no tengas un desvío de llamadas que no activaste tú.
Guarda capturas y denuncia ante la Policía Nacional o la Guardia Civil (algunas denuncias, en su sede electrónica con Cl@ve).

Para dudas, llama gratis al 017 de INCIBE o escribe por WhatsApp al 900 116 117. Si el banco no te devuelve un cargo o una transferencia, reclama primero a su servicio de atención al cliente; si en 15 días hábiles no responde o no te convence, acude al Banco de España.

El Detector de estafas de Mirabu analiza la captura de un mensaje y señala enlaces sospechosos (sin abrirlos), peticiones de pago y frases de urgencia; el resultado es una señal, no una prueba. Más ejemplos en nuestra guía de SMS estafa.