Un SMS que parece de tu banco, de Correos o de la DGT, con un enlace para «resolver» un problema urgente, se ha convertido en una de las formas de fraude más extendidas en España. Solo en los primeros meses de 2026 se han registrado más de 340.000 denuncias por fraude vía SMS en el país. En este artículo te explicamos cómo funciona el smishing, cómo detectarlo antes de que sea tarde y qué hacer exactamente si ya has pulsado un enlace sospechoso.
Qué es el smishing
El smishing es una modalidad de phishing que utiliza mensajes de texto (SMS) en lugar de correo electrónico para engañar a la víctima y conseguir que facilite datos personales o bancarios, o que haga clic en un enlace que lleva a una web fraudulenta diseñada para robar esa información. El término combina «SMS» y «phishing», y su eficacia se basa en la confianza casi automática que generan los mensajes de texto frente a otros canales, además de la sensación de inmediatez que transmite este formato.
Las marcas más suplantadas en España
Aunque cualquier entidad puede ser objetivo de una campaña de smishing, en España destacan especialmente tres tipos de suplantación:
- Bancos (Santander, BBVA, CaixaBank y otras entidades), con mensajes que alertan de un movimiento sospechoso, una tarjeta bloqueada o un acceso no autorizado a la cuenta.
- Correos y otras empresas de paquetería, con la excusa de un envío retenido que requiere el pago de una pequeña cantidad (normalmente uno o dos euros) para «liberarlo». Este tipo de fraude ha crecido de forma muy notable en los últimos años.
- La DGT, con mensajes que anuncian una multa de tráfico pendiente y un plazo de 24 o 48 horas para pagarla antes de que se aplique un recargo.
Un dato clave que conviene recordar siempre: ni tu banco, ni Correos, ni la DGT solicitan pagos o datos personales a través de un enlace en un SMS. La DGT, en concreto, únicamente notifica sanciones por correo postal certificado o a través de la Dirección Electrónica Vial (DEV), un buzón al que solo acceden los conductores que se han dado de alta voluntariamente.
Cómo funciona el engaño
El mecanismo suele seguir un patrón similar en la mayoría de campañas:
- Recibes un SMS con un motivo creíble y urgente: un paquete retenido, una multa pendiente, un movimiento sospechoso en tu cuenta o una tarjeta temporalmente bloqueada.
- El mensaje incluye un enlace que, en apariencia, lleva a la web oficial de la entidad suplantada, pero que en realidad dirige a una página fraudulenta con un diseño prácticamente idéntico al original.
- La web falsa solicita datos de forma progresiva: primero información personal básica (nombre, dirección), y en un paso posterior, los datos completos de la tarjeta bancaria, incluyendo el CVV.
- En algunos casos, se simula un código de verificación que nunca llega realmente, y al introducir cualquier secuencia numérica, se avanza a otra pantalla donde se solicita directamente el PIN de la tarjeta.
Una de las técnicas más peligrosas es el uso del spoofing del remitente: el SMS fraudulento puede aparecer integrado en el mismo hilo de mensajes legítimos que ya tienes guardados de tu banco o de Correos, lo que reduce drásticamente la desconfianza inicial.
Una industria organizada detrás del fraude
El smishing ya no es obra de estafadores aislados: detrás de buena parte de las campañas actuales operan auténticas plataformas de «fraude como servicio». Una de las más conocidas, de origen chino, ofrece cientos de plantillas listas para suplantar marcas de todo el mundo, y ha llegado a estar implicada en el compromiso de cientos de miles de tarjetas bancarias en apenas unos meses. En 2026, estas plataformas han incorporado inteligencia artificial generativa, lo que ha eliminado buena parte de los errores gramaticales y de redacción que antes servían como señal de alerta fácil de detectar.
Señales para detectar un SMS de smishing
- Urgencia artificial. Cualquier mensaje que te dé un plazo muy corto (24-48 horas) para actuar antes de una consecuencia negativa es una señal de alarma clásica.
- Enlaces con dominios extraños. Aunque el diseño de la página de destino sea idéntico al original, la URL nunca coincidirá exactamente con el dominio oficial de la entidad.
- Solicitud de pagos de importes muy pequeños. Los 1-2 euros de un supuesto envío retenido son una cantidad diseñada para que no dudes en pagar «por si acaso», pero el verdadero objetivo es capturar los datos completos de tu tarjeta.
- Peticiones de códigos de verificación. Ninguna entidad legítima te pedirá nunca que «confirmes» un código recibido por SMS a través de un enlace o una llamada posterior.
- El mensaje aparece en el mismo hilo que SMS reales anteriores. Como hemos visto, esto no es garantía de legitimidad: es una técnica de suplantación del remitente relativamente sencilla de ejecutar.
Qué hacer si recibes un SMS sospechoso (sin haber pulsado el enlace)
- No pulses el enlace bajo ningún concepto.
- Bloquea el número o remitente desde tu propio teléfono.
- Elimina el mensaje una vez hayas guardado una captura de pantalla, por si necesitas reportarlo.
- Reenvía el SMS a INCIBE (incibe@incibe.es) o llama a la línea gratuita de ciberseguridad 017, disponible todos los días de la semana. Cada aviso ayuda a las autoridades a identificar patrones y dar de baja los dominios fraudulentos con mayor rapidez.
Qué hacer si ya has pulsado el enlace y facilitado tus datos
- Contacta con tu banco de inmediato para bloquear tarjetas y accesos a la banca online, incluso si no has notado ningún movimiento extraño todavía.
- Cambia tus contraseñas, especialmente si el mensaje te llevó también a introducir tus credenciales de banca online, no solo los datos de la tarjeta.
- Haz capturas de pantalla del SMS y de la web fraudulenta antes de borrar cualquier cosa. Son pruebas fundamentales tanto para la denuncia como para la reclamación al banco.
- Presenta una reclamación formal por escrito a tu banco, solicitando la devolución de cualquier cargo no autorizado derivado del fraude.
- Denuncia ante la Policía Nacional o la Guardia Civil, aportando toda la documentación reunida.
- Reporta también el caso a INCIBE, para contribuir a que se identifique y neutralice la campaña activa.
¿El banco tiene que devolverme el dinero si caí en un smishing?
Sí, en la mayoría de los casos. Al tratarse de una operación no autorizada (tú no diste tu consentimiento consciente a la operación fraudulenta, sino que fuiste engañado para facilitar los datos que la hicieron posible), se aplica el mismo régimen del Real Decreto-ley 19/2018 de servicios de pago: el banco debe devolver el importe salvo que demuestre fraude o negligencia grave por tu parte. Facilitar tus datos tras un engaño sofisticado —especialmente si el SMS aparecía en el mismo hilo que mensajes legítimos anteriores— generalmente no se considera negligencia grave según la jurisprudencia más reciente en este ámbito. Aun así, no des por buena una primera negativa del banco: si rechaza tu reclamación sin justificación suficiente, puedes escalarla al Banco de España.
Cómo protegerte del smishing
- Nunca hagas clic en enlaces de SMS que reclamen pagos urgentes, aunque parezcan proceder de una marca conocida.
- Accede siempre directamente a la app oficial de tu banco, de Correos o al portal de la DGT (dgt.gob.es) escribiendo tú mismo la dirección, en lugar de seguir el enlace recibido.
- Ten en cuenta que la ausencia de errores gramaticales ya no es una garantía de legitimidad: la inteligencia artificial ha mejorado mucho la calidad de redacción de estos mensajes fraudulentos.
- Activa las alertas de movimientos de tu cuenta bancaria para detectar cualquier cargo sospechoso de inmediato.
Preguntas frecuentes
¿Es seguro responder al SMS para preguntar si es real? No es recomendable. Lo mejor es no interactuar de ninguna forma con el mensaje sospechoso: ni pulsando el enlace, ni respondiendo, ni llamando a ningún número que aparezca en el propio SMS.
¿Cómo sé si una multa de tráfico es real? La DGT únicamente notifica sanciones por correo postal certificado o a través de la Dirección Electrónica Vial (DEV). Si tienes dudas, accede directamente a la app oficial miDGT o a dgt.gob.es, nunca a través de un enlace recibido por SMS.
¿Puedo recuperar el dinero si di los datos completos de mi tarjeta? Sí, en la mayoría de los casos, ya que se trata de una operación no autorizada obtenida mediante engaño. Reclama por escrito a tu banco y, si es necesario, escala la reclamación al Banco de España.
¿Merece la pena denunciar aunque no haya perdido dinero? Sí. Reportar el SMS a INCIBE o a tu banco, aunque no hayas facilitado ningún dato, ayuda a identificar campañas activas y a proteger a otros usuarios que podrían recibir el mismo mensaje.
Conclusión
El smishing se ha convertido en una de las estafas más frecuentes en España, impulsada por plataformas de fraude cada vez más sofisticadas y por el uso de inteligencia artificial para hacer los mensajes más creíbles. La mejor defensa sigue siendo desconfiar de cualquier SMS que exija una acción urgente y verificar siempre por tu cuenta, accediendo directamente a la app o web oficial de la entidad. Si ya has facilitado tus datos, actuar con rapidez —bloqueando tarjetas, reclamando por escrito y denunciando— es la mejor forma de proteger tu dinero y tus derechos.
Este artículo tiene un carácter meramente informativo y no sustituye el asesoramiento legal personalizado. Si has sido víctima de smishing, se recomienda actuar con rapidez y, si el importe es elevado o el banco rechaza tu reclamación, consultar con un abogado especializado en derecho bancario.
