El SMS de tu banco que no es de tu banco: cómo reconocerlo

Son las nueve de la noche. Llega un mensaje: «Hemos detectado un acceso no autorizado. Verifique su identidad en el siguiente enlace o su cuenta quedará bloqueada». El remitente parece el banco. El texto incluso aparece debajo de otros avisos legítimos. Y la mano va sola hacia el enlace.

Ese gesto es lo que buscan. Se llama suplantación por SMS (muchos la conocen como smishing, una variante del phishing) y funciona porque mezcla dos ingredientes: una entidad en la que confías y una urgencia que no deja pensar. En nuestros talleres lo repetimos hasta que se queda: el banco nunca resuelve nada por un enlace de un mensaje.

Por qué el mensaje parece auténtico

Los delincuentes pueden hacer que el SMS aparezca con el nombre de tu entidad como remitente. Es una técnica conocida y no requiere haber entrado en tu cuenta. Por eso el mensaje falso se cuela en el mismo hilo que los reales: el teléfono los agrupa por el nombre que ve, no por quién lo envía.

Conclusión práctica: que el mensaje esté «donde siempre» no demuestra nada. Lo que lo delata es lo que pide.

Tres preguntas que desmontan el engaño

1. ¿Me mete prisa? «Inmediato», «en las próximas 24 horas», «bloqueo definitivo». Un aviso legítimo se puede comprobar con calma al día siguiente.
2. ¿Me pide entrar por un enlace? Los bancos comunican por su aplicación oficial o te piden que llames. Si el mensaje trae una dirección web, sobre todo acortada o con letras cambiadas respecto a la de siempre, es falso.
3. ¿Me pide datos? Claves de acceso, número completo de la tarjeta, el código que te llega por SMS, la firma electrónica. Ninguna entidad los solicita así.

Si la respuesta a cualquiera de las tres es sí, ya tienes el veredicto.

Qué hacer con el mensaje

1. No abras el enlace. Si no pulsas, el mensaje no puede hacer nada por sí solo.
2. Llama al banco al número que aparece en el reverso de tu tarjeta o en tu contrato, nunca al que figure en el SMS.
3. Bloquea el remitente desde la propia conversación: en la mayoría de móviles, entra en los detalles del contacto y busca Bloquear.
4. Borra el mensaje para no reabrirlo por error semanas después.

Puedes denunciar el intento. La Policía Nacional y la Guardia Civil recogen estas denuncias, y el INCIBE atiende consultas gratuitas en el teléfono 017.

Si ya has pulsado

No pasa nada irreversible por abrir una página. El daño aparece si escribes tus claves en ella. Si lo hiciste:

1. Llama al banco de inmediato para bloquear el acceso y las tarjetas.
2. Cambia la contraseña de la banca desde la aplicación oficial, no desde ningún enlace.
3. Revisa los movimientos de los días siguientes y guarda capturas del SMS para la denuncia.

Preguntas frecuentes

Diez segundos de calma

Todo el sistema del fraude descansa en que reacciones sin pensar. Diez segundos de calma lo desactivan. Y si esos diez segundos los compartes con alguien de confianza, un familiar o la persona de al lado en el taller, mejor todavía: dos miradas ven más que una.