Cómo detectar SMS y llamadas fraudulentas y qué hacer después

Un mensaje que avisa de un paquete retenido, una llamada que dice ser del banco o una supuesta alerta de seguridad pueden parecer comunicaciones normales. Sin embargo, muchas estafas empiezan precisamente así: con un SMS o una llamada que buscan que actúes deprisa, pulses un enlace, reveles un código o autorices un pago.

Saber cómo detectar SMS y llamadas fraudulentas no exige conocimientos técnicos. La clave está en reconocer las señales de presión, verificar la información por un canal independiente y no entregar nunca credenciales o códigos de seguridad a quien contacta contigo de forma inesperada.

Qué diferencia hay entre smishing y vishing

El smishing es el fraude que utiliza SMS, MMS o mensajes similares para suplantar a un banco, una empresa de transporte, una Administración o una compañía de servicios. Normalmente incluye un enlace y pretende robar datos, credenciales o información bancaria, o instalar software malicioso.

El vishing emplea una llamada telefónica para conseguir el mismo objetivo. El interlocutor puede hacerse pasar por un empleado del banco, un técnico, una compañía eléctrica, una operadora o incluso un organismo público. En ocasiones utiliza información real sobre la víctima para que la conversación resulte más convincente.

También puede existir spoofing telefónico: el número o el nombre que aparece en pantalla se manipula para que parezca el de una empresa legítima. Por eso, que la llamada muestre el nombre de tu banco o un número conocido no demuestra por sí solo que sea auténtica.

Señales que delatan un SMS fraudulento

1. Te mete prisa o amenaza con una consecuencia

Frases como “tu cuenta será bloqueada hoy”, “debes pagar ahora”, “tu paquete será devuelto” o “confirma la operación en cinco minutos” intentan impedir que compruebes la información con calma. La urgencia es una de las herramientas más habituales de la ingeniería social.

2. Incluye un enlace inesperado

Desconfía especialmente de los enlaces que llegan sin que hayas iniciado ninguna gestión. Aunque el mensaje utilice el logotipo o el nombre de una empresa, el destino puede ser una página falsa. Los enlaces acortados, las direcciones extrañas y los dominios con palabras añadidas o errores ortográficos son señales de alerta.

No abras el enlace para “ver qué hay”. Si necesitas consultar un pedido, una factura o una cuenta, entra directamente en la aplicación oficial o escribe manualmente la dirección de la web en el navegador.

3. Solicita datos que la entidad ya debería conocer

Un banco o una plataforma puede pedirte que confirmes una operación desde su aplicación, pero no deberías facilitar por SMS datos como la contraseña, el PIN, el código completo de una tarjeta o los códigos de un sistema de autenticación de doble factor.

4. El mensaje llega desde un remitente aparentemente legítimo

Los estafadores pueden intentar colocar el SMS dentro del mismo hilo en el que recibes comunicaciones reales de una entidad. Por ello, el nombre del remitente no basta para verificar el mensaje. Comprueba siempre la operación desde un canal oficial independiente.

5. El texto resulta extraño o no encaja contigo

Errores de redacción, expresiones poco naturales, un saludo genérico o referencias a servicios que no utilizas pueden revelar el fraude. Aun así, una estafa bien escrita también puede ser peligrosa: la ausencia de errores no garantiza que el mensaje sea legítimo.

Cómo reconocer una llamada fraudulenta

• Te llaman sin que lo esperes para informarte de un problema urgente con tu cuenta, contrato, router, suministro o tarjeta.
• El interlocutor te pide códigos recibidos por SMS, claves de acceso, datos completos de la tarjeta o información personal.
• Te solicita instalar una aplicación para “verificar tu identidad”, reparar el dispositivo o permitir asistencia remota.
• Te pide mover tu dinero a una cuenta supuestamente segura o hacer una transferencia para cancelar otra operación.
• Se enfada o insiste cuando dices que quieres colgar y llamar tú a la entidad.
• El número parece oficial, pero la conversación contiene peticiones que una empresa legítima no debería realizar por teléfono.

Una empresa puede llamarte para ofrecer información o gestionar un servicio, pero eso no convierte en segura cualquier petición que se haga durante la conversación. Si tienes dudas, cuelga y contacta tú con la entidad mediante su aplicación, su web oficial o un número que ya tuvieras guardado.

Qué hacer si recibes un SMS o una llamada sospechosa

1. No respondas ni pulses el enlace. Tampoco devuelvas la llamada al número que aparece en el mensaje.
2. No facilites datos ni códigos. Ninguna urgencia justifica compartir tus credenciales con un interlocutor inesperado.
3. Comprueba la información por otra vía. Abre la app oficial, visita la web escrita manualmente o llama al número que figura en tu tarjeta, contrato o factura.
4. Guarda pruebas antes de borrar nada. Haz capturas del SMS, conserva el número, anota la hora de la llamada y guarda correos, justificantes o direcciones web relacionadas.
5. Bloquea el número y elimina el mensaje después de conservar las evidencias. En el móvil también puedes marcarlo como spam.
6. Reporta el fraude. INCIBE permite comunicar incidentes de phishing, smishing y vishing, especialmente si aportas capturas o la dirección maliciosa.

Reenviar el mensaje a familiares puede servir para alertarles, pero no compartas el enlace de forma que alguien pueda pulsarlo por error. Es preferible explicar el engaño y mostrar la señal de alerta.

Qué hacer si has dado datos, pulsado el enlace o instalado una aplicación

Si ya has interactuado con el fraude, actúa con rapidez, pero sin seguir las instrucciones del estafador.

Si has facilitado datos bancarios o códigos

1. Llama inmediatamente a tu banco desde el número oficial y explica exactamente qué información has compartido.
2. Pide el bloqueo de la tarjeta, las credenciales o los servicios que puedan estar comprometidos.
3. Revisa la cuenta y las tarjetas para detectar transferencias, pagos o retiradas que no reconozcas.
4. Cambia las contraseñas desde un dispositivo seguro, empezando por el correo electrónico y las cuentas financieras. Si reutilizabas la misma clave, sustitúyela también en el resto de servicios.
5. Activa la autenticación multifactor cuando esté disponible.

Si aparece un cargo no autorizado, comunícalo al banco cuanto antes y solicita instrucciones para reclamarlo. El Banco de España recomienda notificar los pagos no reconocidos a la entidad y conservar la documentación de la operación.

Si has instalado una aplicación o dado acceso remoto

1. Desconecta el dispositivo de Internet si sospechas que sigue controlado.
2. Desinstala la aplicación sospechosa y ejecuta un análisis de seguridad actualizado.
3. Desde otro dispositivo confiable, cambia las contraseñas que hayas utilizado.
4. Comprueba si se han instalado perfiles, permisos de accesibilidad, aplicaciones desconocidas o extensiones que no reconozcas.
5. Si el teléfono sigue comportándose de forma extraña, solicita asistencia técnica antes de volver a utilizarlo para operaciones bancarias.

Si has realizado una transferencia o pago

Contacta con el banco de inmediato y pregunta si todavía puede bloquearse o recuperarse la operación. No esperes a tener todas las pruebas preparadas. Después, recopila los justificantes, conversaciones, números de teléfono, cuentas de destino y capturas para presentar una denuncia.

Dónde pedir ayuda o denunciar en España

El servicio Tu Ayuda en Ciberseguridad de INCIBE atiende consultas de ciudadanos en el 017, de 8:00 a 23:00 todos los días del año. También dispone de atención por WhatsApp en el 900 116 117 y por Telegram mediante el alias @INCIBE017.

Si has sufrido un perjuicio económico, robo de cuentas o una suplantación, presenta una denuncia ante la Policía Nacional, la Guardia Civil o el juzgado. Lleva las evidencias disponibles: capturas, SMS originales, números de teléfono, direcciones web, correos, conversaciones, justificantes bancarios y una cronología de lo ocurrido.

Si el problema es publicidad comercial no deseada y no un intento claro de fraude, puedes ejercer tu derecho de oposición ante la empresa y valorar la inscripción en la Lista Robinson. La AEPD recuerda que este sistema ayuda a reducir comunicaciones comerciales de empresas con las que no tienes relación, aunque existen excepciones, como determinados contactos de empresas de las que ya eres cliente o cuando has dado consentimiento.

Cómo protegerte para la próxima vez

• Activa los filtros antispam del móvil y del correo electrónico.
• Mantén actualizado el sistema operativo, el navegador y las aplicaciones.
• Utiliza contraseñas diferentes y un gestor de contraseñas si te resulta práctico.
• Activa las notificaciones bancarias para recibir avisos de pagos y transferencias.
• Guarda en la agenda los teléfonos oficiales de tu banco, compañía telefónica y aseguradora.
• No publiques más datos personales de los necesarios en redes sociales o anuncios.
• Explica estas señales a las personas mayores o menos familiarizadas con la tecnología de tu entorno.
• Antes de actuar, aplica la regla de los diez minutos: cuelga, cierra el mensaje y comprueba la información con calma.

¿Una llamada comercial insistente es siempre una estafa?

No necesariamente. Una llamada comercial no solicitada puede ser publicidad molesta o incumplir las reglas aplicables sin llegar a ser un fraude. Desde el 29 de junio de 2023, las llamadas comerciales no solicitadas con intervención humana deben respetar determinadas garantías: informar de quién llama, indicar la finalidad comercial y permitir el ejercicio del derecho de oposición. La AEPD también señala que la inscripción en listas de exclusión publicitaria puede reducir estas comunicaciones.

La diferencia práctica es importante: si solo te ofrecen un producto, pide que no vuelvan a contactarte y ejerce tus derechos. Si intentan obtener claves, códigos, pagos o acceso al dispositivo, trátalo como un posible fraude y corta la comunicación.

Resumen: qué recordar ante un mensaje o llamada sospechosa

Una entidad legítima no necesita que actúes bajo presión. No pulses enlaces inesperados, no compartas contraseñas ni códigos y no te fíes únicamente del número que aparece en pantalla. Verifica siempre desde un canal oficial independiente. Si ya has entregado información o dinero, contacta primero con el banco, protege tus cuentas, conserva las pruebas y denuncia.

Para reforzar la seguridad del móvil, también puede interesarte esta guía de cómo pagar por internet con más seguridad y estos consejos sobre cómo proteger tus contraseñas. Si necesitas recuperar la información del dispositivo tras un incidente, consulta cómo hacer una copia de seguridad del móvil.

También puede interesarte: Botón de desistimiento: cómo usarlo y reclamar si falta