SMS falso del banco: cómo saber si el aviso es real

Acabas de recibir uno: haz solo esto

En los primeros minutos, no pulses el enlace. No necesitas la dirección que viene en el mensaje para saber si el aviso es verdad.

1. No contestes y no llames al número que te da el SMS. Responder solo confirma que esa línea está activa.
2. Abre tú la aplicación del banco, desde el icono de tu móvil, y mira si el aviso está dentro de tu cuenta.
3. Si necesitas hablar con alguien, usa el teléfono impreso en el reverso de tu tarjeta o el que aparece dentro de la aplicación.
4. Bloquea al remitente y marca el mensaje como spam en la aplicación de mensajes, para que el filtro aprenda.
5. Avísalo. INCIBE, el Instituto Nacional de Ciberseguridad, recoge este tipo de casos en su reporte de fraude, y su línea gratuita 017 te orienta antes de que toques nada, de ocho de la mañana a once de la noche, todos los días del año.

Si hay un problema real con tu cuenta, va a estar en el canal oficial sin necesidad del enlace. Nunca uses un teléfono, un botón o una dirección que te ha dado el mismo mensaje que estás intentando comprobar.

Lo que un banco hace y lo que no pide nunca

Cada entidad manda cosas distintas, así que la página de seguridad de tu propio banco es donde se confirman los detalles. Lo que sí se repite en todas es la forma de la petición. Un aviso real te cuenta algo y te devuelve a la aplicación. Un mensaje fraudulento necesita que hagas algo, dentro del mensaje, ahora mismo.

La última fila es la que conviene aprenderse. El Banco de España lo dice sin rodeos en sus normas básicas para prevenir la ciberdelincuencia: las claves son personales y no tienes ninguna obligación de facilitárselas a nadie. Una petición de mover el dinero a una supuesta cuenta segura no es un paso para arreglar un problema: es el fraude entero.

Con el código de seis dígitos que te llega al móvil pasa lo mismo. Ese código es la cerradura. Quien te pide que se lo leas, que se lo reenvíes o que lo escribas en una página que él mismo te ha mandado te está pidiendo la llave, sea cual sea la explicación.

Las historias que más se repiten

Las excusas se repiten porque funcionan con cualquiera al menos una vez. INCIBE describe el patrón en su página sobre smishing, que es el nombre del SMS fraudulento: un mensaje de un remitente que no conoces, un problema o un premio, y un enlace o un teléfono que hay que usar ya. La idea general la tienes en qué es el smishing; aquí vamos a la versión que dice venir de tu banco, que es la que mueve dinero más rápido.

En esa versión la historia suele ser una de estas: un cargo que no reconoces, un acceso desde un dispositivo nuevo, una cuenta a punto de bloquearse, una transferencia retenida o una devolución pendiente de liberar. Hay una variante más reciente que ni siquiera lleva enlace: te pide que respondas sí o no a una compra, y un minuto después llama alguien con voz de departamento antifraude y te va llevando hasta que dictas un código.

El dinero pendiente de cobrar también se usa de cebo. Si un mensaje dice que tienes una ayuda, una devolución o un pago esperando, entra por tu cuenta en la web del organismo o de la empresa y búscalo ahí. Lo que se repite en todas estas historias no es el asunto. Es la petición: pulsa aquí, díctame el código, instala esto, manda el dinero.

El remitente no demuestra nada

El nombre o el número que aparece como remitente no dice quién envió el mensaje. Un nombre corto se puede imitar, un número se puede falsear y un SMS fraudulento puede caer en el mismo hilo donde llevas años recibiendo los avisos de verdad, porque el móvil agrupa los mensajes por la etiqueta de remitente que traen.

Un número que parece español, un nombre bien escrito y un texto sin faltas tampoco confirman nada. Esos detalles cuestan poco de fabricar. La confirmación tiene que venir de un canal que hayas abierto tú: la aplicación, la dirección oficial escrita por ti o el teléfono impreso en la tarjeta.

Hay una novedad que ayuda, aunque no lo resuelve todo. La Orden TDF/149/2025 obligó a las operadoras a bloquear llamadas con numeración española falseada, y desde el 15 de septiembre de 2026 también a bloquear los SMS cuyo remitente alfanumérico, ese nombre corto que aparece en lugar de un número, no esté inscrito en el registro que gestiona la Comisión Nacional de los Mercados y la Competencia. Eso corta una parte del problema, no el problema entero: los mensajes fraudulentos siguen llegando desde números de móvil normales y corrientes, y desde aplicaciones de mensajería.

Mira la petición, no el susto

La parte alarmante es la que se lleva tu atención, pero el riesgo está en la solución que te ofrecen. Pasa por encima del aviso y mira qué te están pidiendo que hagas:

• Cuenta bloqueada o en revisión: el mensaje quiere que abras un enlace para desbloquearla.
• Compra sospechosa aprobada: el botón dice que pulses si no fuiste tú.
• Datos sin actualizar: el SMS te manda actualizarlos en una dirección que él mismo te da.
• Dinero disponible: el enlace promete liberar el pago.
• Clave a punto de caducar: quien te escribe pide el código que acaba de llegarte al móvil.

El asunto cambia; las acciones que te piden, casi nunca. Abrir un enlace, dar un código, instalar una aplicación o mover dinero. Esa acción es lo que hay que comprobar fuera del mensaje.

Cómo suele estar escrito el mensaje

El mensaje de abajo lo hemos escrito nosotros, desde cero, solo para enseñar el formato. No es la captura de nadie, y el nombre del banco falta a propósito: en uno real iría escrito ahí, y ese nombre es justo lo que hace que la gente se lo crea. La entidad cuyo nombre aparece en un mensaje así también es víctima del mismo fraude.

Hay tres cosas que hacen funcionar ese mensaje, y siguen funcionando con alguien que está prestando atención, porque imitan lo que el banco hace de verdad:

• Un plazo corto, que deja poco hueco para abrir la aplicación y mirar.
• Una salida fácil, un solo toque, puesta justo donde el arreglo de verdad llevaría más tiempo.
• Una dirección acortada, que esconde a dónde va el enlace.

No uses el enlace ni el teléfono del mensaje

El enlace abre una página hecha para parecerse a la de tu banco, y el teléfono te pone con alguien que hace el papel del departamento antifraude. No uses ninguno de los dos, aunque el texto suene bien y aunque estuvieras esperando un mensaje de tu banco. Sal del SMS, abre la aplicación desde la pantalla de inicio o escribe la dirección que ya conoces, y si necesitas un teléfono, cógelo de la aplicación o del reverso de la tarjeta. Lo que hay detrás de esa supuesta oficina antifraude está contado en qué es el vishing.

Si has llegado a abrir una página, el candado no es la respuesta. El cifrado protege la conexión, no te dice de quién es el sitio, y casi todas las páginas fraudulentas lo llevan también. Lee el dominio entero y compáralo con la dirección real de tu banco. Qué parte de una dirección identifica al dueño de un sitio está en cómo saber si un enlace es seguro, y las señales de una copia, en cómo detectar una web falsa.

Si en ese momento no puedes comprobarlo, déjalo para luego. Un problema real va a seguir ahí en el canal oficial, y no va a exigir el camino que te dio el mensaje.

Peticiones que significan cortar la conversación

Para el mensaje, o la llamada que viene detrás, en cuanto te pidan alguna de estas cosas. Luego busca tú al banco por la aplicación, la web o el teléfono que hayas mirado por tu cuenta:

• Una contraseña, entera o a trozos.
• El código de verificación que acaba de llegarte al móvil.
• Que instales una aplicación enviada por enlace para arreglar el problema.
• Que muevas el dinero a una cuenta descrita como segura, provisional o a tu nombre. No mandes nada antes de confirmarlo en el canal oficial.
• Que permitas el acceso remoto a tu móvil o a tu ordenador.

Y no te quedes en la misma conversación para preguntar si la petición es de verdad. El canal que te han dado es justo lo que hay que comprobar.

Cómo juzgar cualquier otro SMS sospechoso

Los mismos mensajes llegan en nombre de tiendas, empresas de reparto, organismos públicos y servicios digitales, muchas veces como una tasa pequeña por un paquete supuestamente retenido. Cambia la empresa; la comprobación, no. Cuando llegue un mensaje que no esperabas y traiga prisa o una petición, ve por aquí:

1. Separa el aviso de la acción. La frase alarmante crea la prisa. Mira si el arreglo exige un enlace, una respuesta, una llamada, un código, una instalación o un pago.
2. Comprueba la historia en un canal que hayas encontrado tú, nunca en el que vino dentro del mensaje.
3. Fíjate en qué dejaría de estar en tus manos. No mandes dinero, códigos ni datos, y no instales nada, antes de confirmar la petición.
4. Comprueba el plazo en el canal oficial. Un plazo corto suele estar ahí para que no te dé tiempo a mirar. El reloj del mensaje no es una prueba de que tengas que actuar por ahí.

Si quieres el repaso general, con las señales que valen para cualquier historia, está en cómo saber si es una estafa.

Si ya has pulsado o ya has dado datos

Pulsar le pasa a cualquiera, también a quien está atento. Lo que viene después depende de lo que hicieras a continuación. La culpa es de quien montó el fraude, y lo útil ahora es limitar lo que todavía puede pasar.

1. Si diste datos de la cuenta, de la tarjeta o un código, llama ya a tu banco, con el número del reverso de la tarjeta. Di la palabra fraude, pide que paren cualquier pago pendiente y que te manden una tarjeta nueva. El Banco de España recuerda, en su página sobre el uso fraudulento de la tarjeta, que en cuanto lo comunicas el banco se hace cargo de cualquier operación posterior que tú no hayas hecho, y que de las anteriores respondes como mucho hasta 50 euros, salvo que se pruebe que hubo negligencia en la custodia de la tarjeta. Por eso esta llamada no espera.
2. Si la página sigue abierta, ciérrala sin rellenar campos, sin descargar archivos y sin aceptar permisos.
3. Si escribiste una contraseña, cámbiala en la web o la aplicación oficial, desde un aparato de confianza, y cámbiala también donde usaras la misma. Activa de paso la verificación en dos pasos.
4. Si instalaste algo, deja de usar ese aparato para el banco, desconcéctalo de internet y habla con los servicios afectados desde otro.
5. Si ya hiciste una transferencia o un Bizum, avísalo al banco en el momento y di que fue un fraude. Una transferencia inmediata llega en segundos y no se puede anular, así que lo único que está en tu mano es la prisa. Los pasos, uno a uno, están en me han estafado con una transferencia.
6. Guarda las pruebas y denuncia. El mensaje, la dirección de la página, la hora y los justificantes. La Policía Nacional tiene la Oficina Virtual de Denuncias, donde la denuncia hay que ir a firmarla después a la comisaría que elijas y como mucho en 72 horas, porque sin esa firma no tiene validez; la Guardia Civil admite la denuncia electrónica por estafas y cargos fraudulentos cometidos por medios informáticos, que se firma en el momento con certificado digital y no hay que ratificar después.

Si alguien te está amenazando o hay peligro en ese momento, el teléfono es el 112, que no es el canal para un fraude que ya ocurrió.

Y una cosa más sobre el dinero. Si el cargo lo hizo otra persona sin ti, el Banco de España explica que ante una transferencia no autorizada el banco debe reembolsarte de inmediato los fondos, salvo que pruebe que actuaste de forma fraudulenta o que incumpliste de manera deliberada o por negligencia grave tus obligaciones. Si la transferencia la ordenaste tú, aunque fuera engañado, la situación es otra y nadie puede prometerte que el dinero vuelva.

Nada de esto dice nada de la persona que pulsa. Estos mensajes están escritos para parecerse a los que ya recibes y llegan un martes cualquiera, entre todo lo demás. Que uno cuele no es un descuido: es exactamente para lo que está hecho.

Preguntas frecuentes sobre el SMS falso del banco