Smishing: qué es un SMS falso y cómo reconocerlo

Qué significa smishing

El nombre junta SMS con phishing, la palabra que se usa para los mensajes falsos que intentan pescar la información de quien los recibe. Solo cambia el canal, y el cuidado es el mismo que con cualquier otro mensaje falso que va detrás de tus datos. INCIBE lo define en su página sobre smishing como una forma de fraude en la que se intenta que la persona revele información personal o financiera a través de mensajes de texto con enlaces fraudulentos.

Como en un SMS cabe tan poco, la estafa suele ser breve: un aviso, un plazo y un enlace. El detalle que faltaría y que en un correo llamaría la atención, en un SMS parece normal, y eso es parte de por qué el formato funciona tan bien.

También es donde está buena parte del volumen. En 2025 se registraron en España 488.426 ciberdelitos, casi nueve de cada diez fraudes informáticos, según el Informe sobre la Cibercriminalidad en España 2025 del Ministerio del Interior, y el SMS es uno de los caminos más baratos para llegar a mucha gente de golpe.

Las historias más usadas en un SMS

Los asuntos se repiten porque encajan con casi cualquiera a la vez. INCIBE agrupa los más frecuentes en cuatro familias: los que suplantan a un banco, con avisos del tipo se ha iniciado sesión desde un dispositivo nuevo; los que suplantan a un organismo público, como una supuesta devolución de impuestos; los que suplantan a una empresa de paquetería, con un envío parado por unas tasas sin pagar; y los que suplantan a una empresa de luz, de telefonía o de televisión, con un premio o una alerta de seguridad. El mensaje no necesita saber cuál es tu paquete. Le basta con que tengas uno en camino.

Las cantidades pequeñas también bajan la guardia. La página puede pedirte la tarjeta y unos cuantos datos personales para cobrar uno o dos euros, cuando lo que de verdad busca es la información que se usará después. Una cantidad baja, un plazo corto y un asunto cotidiano son herramientas habituales de la ingeniería social, que es el uso de la conversación y la presión para que alguien actúe antes de comprobar nada.

Por qué el SMS puede parecer auténtico

Algunos móviles agrupan los mensajes por nombre de remitente, así que un SMS falso puede caer en la misma conversación donde tienes los mensajes reales de una empresa. Estar en ese hilo no garantiza nada: solo significa que el remitente que se mostró coincidía.

Eso está empezando a cambiar en España. Desde el 15 de septiembre de 2026, los proveedores de mensajería tienen que bloquear los SMS que usen un alias, es decir, un remitente con letras en lugar de un número, que no esté inscrito en el Registro de alias de la CNMC. La propia CNMC lo resume en su guía sobre el Registro de alias, donde también anuncia un portal público para consultar qué entidad está detrás de cada alias registrado. Es una medida que quita de en medio una parte del volumen, no una garantía sobre el mensaje que sí te llega.

El número en pantalla tampoco sirve como prueba. El dato que presenta quien envía se puede falsificar, así que un remitente con nombre, un número corto o un prefijo español no demuestran nada. Un texto bien escrito y el uso de tu nombre tampoco, porque las dos cosas son baratas de conseguir.

Lo que sí merece la pena leer es la forma de la petición. Mira si el SMS crea un plazo corto y ofrece exactamente una manera de resolverlo, y si esa única manera pasa por un enlace del mensaje en lugar de por una cuenta que ya tienes.

Por qué los filtros y el bloqueo no lo paran todo

El móvil trae herramientas que ayudan y conviene encenderlas. Puedes bloquear al remitente, marcar el mensaje como spam en la aplicación de mensajes y activar el filtro que aparta a un lado los mensajes de remitentes desconocidos. Todo eso baja el ruido.

Ninguna de esas cosas es un muro. Los SMS fraudulentos cambian de número constantemente, así que bloquear uno detiene ese número y nada más, y los mensajes enviados por otras vías pueden llegar con un aspecto con el que tu filtro no tiene historia. El bloqueo de alias sin registrar tampoco alcanza a los mensajes enviados desde un número de móvil normal.

Trata el filtro como algo que reduce cuántas veces tienes que decidir, no como algo que decide por ti. El SMS que pasa no es más legítimo por haber pasado, y la comprobación que importa sigue haciéndose fuera del mensaje.

Comprueba envíos y cargos fuera del SMS

Si es un envío, abre la aplicación o escribe la dirección de la tienda donde compraste, o la de la empresa de transporte, y mira el pedido que ya está registrado ahí. Si es un banco o una tarjeta, abre la aplicación oficial y lee los movimientos y los avisos. No copies un número de seguimiento, un teléfono ni una dirección del SMS sospechoso para empezar esa búsqueda, porque un número de seguimiento inventado para la estafa solo te devuelve a la estafa.

Los estafadores usan en estos mensajes nombres de empresas de transporte y de organismos públicos, y ni unas ni otros son quienes los envían. La Agencia Tributaria, por ejemplo, avisa en su página sobre phishing de que nunca pide por correo ni por SMS información confidencial, económica o personal, ni números de cuenta o de tarjeta. Lo que sea real siempre se puede encontrar sin usar el enlace.

Si dentro de tu cuenta oficial no aparece nada, no pagues para liberar ni para regularizar algo. No existe una versión real de un cobro que solo se pueda resolver por un enlace de un SMS.

No contestes, bloquea y avisa

No respondas, ni siquiera para decir que lo has pillado o para pedir que paren, y no llames al número del mensaje, porque ese número es parte de la estafa. Una respuesta confirma que la línea está activa y normalmente trae más mensajes.

Después, avisa a INCIBE con su reporte de fraude, que sirve para que analicen el número o la página y para que el caso quede registrado. Si quieres que alguien te oriente sobre qué hacer, el 017 es la línea gratuita y confidencial de ayuda en ciberseguridad, de ocho de la mañana a once de la noche todos los días del año. Bloquea al remitente en la aplicación de mensajes y avisa también a la empresa suplantada por el formulario de su propia web.

Si un SMS te dice que instales una aplicación, da igual que sea para proteger tu cuenta, para liberar un envío o para actualizar la firma del banco, no la instales. Instala aplicaciones solo desde la tienda oficial, nunca desde un enlace que llegó en un mensaje. Un programa instalado así puede darle a quien lo envió el acceso a tu móvil y, desde ahí, a todo lo que abres con él.

Si ya pulsaste el enlace

Cierra la página. Si no escribiste nada, lo más probable es que no haya pasado nada, y no hay ningún motivo para volver a entrar a comprobarlo. Lo que importa es si llegaste a escribir algo o a pagar.

1. Si diste los datos de la tarjeta, bloquéala ahora. Desde la aplicación del banco o llamando al número que viene impreso en la tarjeta. El Banco de España recuerda, en su página sobre el uso fraudulento, que desde que lo comunicas el banco se hace cargo de cualquier operación posterior que tú no hayas hecho, y que de las anteriores respondes como mucho hasta 50 euros. Pide una tarjeta nueva.
2. Si pagaste de otra forma, llama al banco cuanto antes, di que fue un fraude y pregunta qué se puede hacer con ese medio de pago. El Banco de España explica que, ante una transferencia no autorizada, el banco debe reembolsarte de inmediato los fondos, salvo que pruebe que actuaste de manera fraudulenta o que incumpliste de forma deliberada o por negligencia grave tus obligaciones. Si la transferencia o el Bizum los ordenaste tú, aunque fuera engañado, el banco del destinatario no puede devolver el dinero sin el consentimiento de quien lo recibió, así que ahí lo que cuenta es la rapidez.
3. Si escribiste una contraseña, cámbiala en la web oficial, y cámbiala en todos los sitios donde usaras la misma. Activa la verificación en dos pasos para que la contraseña sola no baste.
4. Guarda las pruebas antes de borrar nada. Haz una captura del SMS, apunta la dirección que abrió el enlace y la hora a la que llegó, y guarda cualquier justificante. Los avisos sirven de mucho más con eso adjunto, y una reclamación al banco suele pedirlo.
5. Denuncia. Puedes hacerlo en cualquier comisaría o cuartel, por la Oficina Virtual de Denuncias de la Policía Nacional, que hay que ir a firmar después en comisaría y como muy tarde en 72 horas, o por la denuncia electrónica de la Guardia Civil, que admite los cargos fraudulentos hechos por medios informáticos y se firma en el momento con certificado digital.

Si después del SMS te llamó alguien diciendo ser del departamento antifraude del banco, lee cómo funcionan las llamadas falsas antes de devolver ninguna llamada. Las dos mitades suelen ser del mismo grupo.

Preguntas frecuentes sobre el smishing