Un simple SMS notificando un paquete retenido, una cuenta suspendida o una multa de tráfico puede vaciar una cuenta bancaria en cuestión de segundos. Con la llegada de alertas inmediatas y links acortados directo al móvil, el smishing se ha consolidado como una de las trampas más peligrosas de la ingeniería social. Comprender qué es el smishing y la mecánica detrás de estos mensajes falsos, reconocer las estrategias que utilizan los ciberdelincuentes y analizar casos reales observados en España y Latinoamérica resulta imprescindible para blindar la información confidencial.
¿Qué es smishing?
El smishing es un tipo de ciberataque de ingeniería social que utiliza mensajes de texto (SMS) o apps de mensajería instantánea para engañar a los usuarios y lograr que revelen datos confidenciales, realicen transferencias de dinero o descarguen código malicioso en sus dispositivos.
Significado de smishing y origen del término
El término proviene de la combinación de las palabras «SMS» (Short Message Service) y «phishing» (suplantación de identidad). El objetivo central del SMS smishing es suplantar la identidad de organizaciones de confianza (como bancos, agencias gubernamentales o empresas de logística) para manipular emocionalmente a la víctima mediante el miedo, la curiosidad o la urgencia.
Smishing vs. phishing vs. vishing vs. quishing
Aunque todas estas técnicas comparten la ingeniería social como base, se diferencian por el canal empleado:
- Smishing. Utiliza SMS o aplicaciones como WhatsApp para enviar enlaces maliciosos o solicitudes directas de datos.
- Phishing. Se realiza mediante emails fraudulentos que imitan a entidades legítimas. Si has abierto un enlace sospechoso por esta vía, conviene revisar la guía sobre qué hacer si abres un link de phishing.
- Vishing. Es la variante por voz, donde el estafador realiza llamadas telefónicas simulando ser personal de soporte técnico o de un banco.
- Quishing. Utiliza códigos QR fraudulentos (habitualmente impresos o digitales) para dirigir a la víctima a páginas web maliciosas. Puedes profundizar en esta modalidad leyendo más sobre el quishing.
¿Cómo funcionan los ataques de smishing?
Un ataque típico de smishing mediante mensajes de texto sigue una estructura bien definida en varias etapas:
- Envío del mensaje inicial. El ciberdelincuente envía un SMS redactado para apelar a emociones fuertes (bloqueos de cuenta, cobros pendientes, premios).
- Suplantación (spoofing). Utiliza técnicas o servicios de envío masivo para modificar el remitente y colarse incluso en el mismo hilo de mensajes legítimos de una entidad.
- Petición de acción. Se incluye un enlace acortado hacia una web falsa o se pide una llamada/respuesta directa con información privada.
- Captura de datos o infección. La víctima ingresa sus credenciales o instala un archivo que infecta su dispositivo.
¿Por qué el smishing es tan efectivo?
A diferencia del email, que cuenta con filtros de spam corporativos y de seguridad muy avanzados, los SMS llegan directamente a la bandeja de entrada del teléfono móvil. Además, los smartphones dificultan la previsualización del enlace completo antes de hacer clic, lo que aumenta la probabilidad de que los usuarios interactúen con la URL.
¿Qué buscan los ciberdelincuentes?
El objetivo principal de una estafa smishing es el beneficio económico directo o la recopilación de datos para cometer fraude:
- Credenciales de acceso a la banca electrónica.
- Números de tarjeta de crédito/débito y códigos de seguridad.
- Códigos de verificación de un solo uso (OTP/MFA).
- Datos de identificación personal (DNI/NIE, número de la Seguridad Social, RFC, etc.) para suplantación de identidad.
Tipos de ataques de smishing
Existen diversas formas en que los hackers disfrazan sus mensajes:
Suplantación de entidades bancarias y Hacienda
Es una de las variantes más peligrosas, puesto que el hacker usa otro nombre o directamente se hace pasar por una institución reconocida. El usuario recibe una alerta sobre un supuesto acceso no autorizado, un bloqueo inminente de la cuenta o una devolución de impuestos pendiente. El enlace lleva a una copia exacta de la web de la entidad que captura las claves secretas.
Falsas entregas de paquetes
Aprovechando el auge del comercio online, los estafadores envían SMS indicando que un paquete no ha podido ser entregado por falta de número de calle o por el impago de una pequeña tasa aduanera.
Verificación de cuenta y robo de códigos MFA
En el fraude de autenticación multifactor, el atacante intenta acceder a la cuenta de la víctima (por ejemplo, redes sociales o correo) y utiliza el SMS para pedirle el código de verificación recibido, alegando que se trata de un error o de un favor.
Smishing con enlaces de descarga de malware
El mensaje insta al usuario a descargar una aplicación (como una actualización del sistema o un rastreador de envíos) que en realidad contiene malware o troyanos bancarios diseñados para espiar el dispositivo.
5 Ejemplos de smishing reales
Conoce algunos ejemplos de smishing que han ocupado los titulares de España y Latinoamérica en los últimos años:
1. DGT: "Último recordatorio" de multa (España)
Los usuarios recibieron un SMS alegando una infracción de tráfico no pagada que se incrementaría si no se abonaba de inmediato. El enlace dirigía a una web falsa que imitaba a la Dirección General de Tráfico para capturar datos bancarios. La DGT recordó que nunca notifica multas vía SMS.
2. Agencia Tributaria: devolución del IRPF (España)
Aprovechando la campaña de la renta, se enviaron mensajes indicando que la AEAT había ordenado una devolución del IRPF 2023. La página web falsa solicitaba datos personales y números de tarjeta para efectuar el supuesto ingreso.
3. DHL: falta el número de la vivienda (España)
El mensaje notificaba la suspensión de la entrega de un paquete porque faltaba el número de la casa, por lo que se pedía actualizar la dirección a través de un enlace corto. Tanto DHL como el INCIBE confirmaron la falsedad de la campaña.
4. SAT: falsa devolución de impuestos (México)
La Unidad Cibernética de Sonora alertó sobre SMS que suplantaban al Servicio de Administración Tributaria (SAT) notificando un saldo a favor. El portal falso solicitaba RFC, CURP, domicilio y datos bancarios.
5. Autoridades de tránsito: amenaza de embargo (Colombia)
En Bogotá se detectaron SMS que advertían de multas en cobro jurídico con amenaza de embargo. El enlace redirigía a sitios destinados al robo de datos personales y bancarios, confirmado por la Secretaría Distrital de Seguridad.
Todos estos casos han sido reportados en los últimos años, pero los hackers siguen empleando estos métodos. Por lo tanto, activar un kit de ciberseguridad especializado en telefonía móvil es más necesario que nunca.
Señales de alerta: cómo identificar un SMS falso
Para detectar que es smishing antes de cometer un error, presta atención a estas señales:
- Urgencia extrema. Mensajes que exigen actuar de inmediato o amenazan con sanciones o bloqueos. Este es un cebo que saben que funciona.
- Links sospechosos o acortados. URL que no coinciden con las de los sitios web oficiales de las organizaciones.
- Solicitud de información confidencial. Ninguna entidad legítima solicita contraseñas o datos de tarjeta vía SMS.
- Remitente desconocido o extraño. Números internacionales no habituales o alias genéricos.
- Errores de redacción o modismos inusuales. Aunque la IA ha mejorado la calidad de los textos, algunos mensajes mantienen incoherencias gramaticales.
Cómo protegerte del smishing
Aplicar buenos hábitos de seguridad digital reduce el riesgo de ser víctima de estas estafas:
- Nunca hagas clic en enlaces. Acude directamente a la web o app oficial desde tu navegador.
- Verifica el alias del remitente. En España, desde el 15 de septiembre de 2026, los operadores móviles están obligados por ley (según la Orden Ministerial TDF/149/2025 y la Circular 1/2026 de la CNMC) a bloquear mensajes comerciales SMS, MMS y RCS con alias no registrados. Puedes comprobar si un remitente es legítimo consultando el portal público de la CNMC.
- No proporciones contraseñas ni códigos OTP. Los códigos que recibes por SMS son de uso privado para confirmar tus operaciones.
- Mantén tu sistema actualizado. Las actualizaciones corrigen vulnerabilidades que el malware intenta explotar.
- Utiliza soluciones de protección avanzadas. Contar con herramientas como la protección antiestafas por SMS de Surfshark permite filtrar y detener intentos de fraude antes de que comprometan tu dispositivo.
¿Qué hacer si has sido víctima de smishing?
Si has caído en una trampa de smishing, mantén la calma y sigue estos pasos de inmediato:
- Bloquea tus tarjetas y contacta a tu banco para cancelar transacciones no autorizadas.
- Cambia las contraseñas de las cuentas comprometidas y activa la verificación en dos pasos (2FA).
- Elimina cualquier archivo o aplicación descargada a través del enlace fraudulento.
- Escanea tu teléfono con una solución de ciberseguridad para detectar malware.
- Recopila pantallazos como prueba y denuncia ante las fuerzas de seguridad de tu país.
Mantén tu teléfono protegido frente a las ciberamenazas
El smishing se apoya en la ingeniería social y en la urgencia para manipular a los usuarios. Según datos de INCIBE, el smishing representó el 10% del total de consultas ciudadanas atendidas en su línea de ayuda 017.
Aunque el modus operandi de los estafadores en ataques de smishing y vishing seguirá evolucionando con estrategias cada vez más complejas, conocer sus patrones más comunes es el primer paso para detectar el engaño a tiempo. Mantener la cautela, verificar la información por canales oficiales y aplicar medidas de ciberseguridad clave resultan fundamentales para blindar tu dispositivo y proteger tus datos personales y financieros en el entorno digital.
No caigas en la trampa: protege tu móvil del smishing
Activa una VPN y evita que un SMS falso robe tus datos confidenciales
Consigue SurfsharkPreguntas frecuentes
¿Cuál es la diferencia entre phishing y smishing?
El phishing utiliza el correo electrónico para lanzar su ciberataque, mientras que el smishing se ejecuta exclusivamente a través de SMS o aplicaciones de mensajería instantánea. Aunque ambas técnicas persiguen el mismo objetivo mediante ingeniería social, se diferencian por el canal empleado. Te recomendamos leer con atención qué es el smishing y sus diferencias respecto al phishing para identificar las características a tiempo y proteger tus dispositivos.
¿Qué hacer si me llega un SMS sospechoso?
No abras ningún link ni respondas al mensaje. Bloquea el número y, si el SMS menciona a una empresa de la que eres cliente, contrástalo por sus canales oficiales de atención. Los casos de engaños con SMS y phishing cada vez son más reportados.
¿Qué datos te piden cuando te estafan?
Suelen solicitar credenciales de banca en línea, números de tarjeta de crédito, códigos de verificación SMS (OTP) y documentos de identidad (DNI, pasaporte, etc.).
¿Un SMS puede infectar mi móvil?
El SMS en sí no infecta el dispositivo, pero el enlace contenido en él puede descargar un archivo malicioso (malware) si se interactúa con él. Si crees que tu número ha sido expuesto, consulta qué ocurre cuando tu número de teléfono lo tiene alguien.
¿Cómo denunciar un intento de smishing?
Puedes reportarlo a las autoridades policiales de tu país o a organismos de ciberseguridad como el INCIBE en España. También puedes consultar cómo bloquear llamadas spam en tu dispositivo. Recuerda que es un problema que afecta a cualquier persona, ya que estos estafadores tienen equipos trabajando todo el año para mejorar sus prácticas.
¿Cómo evitar el smishing?
Adoptando hábitos de navegación segura, no compartiendo información sensible por mensajería y recurriendo a servicios de protección contra el robo de identidad para supervisar la filtración de tus datos en la red.
