Smishing: cómo saber si un SMS es falso y qué hacer

Marta Ruiz Tecnología 21/10/2026 | 0

Ilustración de una joven en la terraza de un café que mira con desconfianza la pantalla de su móvil, junto a una taza de café y una libreta

El smishing es el fraude que llega por SMS. Se hace pasar por tu banco, por Correos, por la DGT o por tu propio hijo. Quiere que pulses un enlace, llames a un número o des un dato. Saber si un SMS es falso no exige saber de tecnología: basta con conocer los patrones que se repiten. Desde el 15 de septiembre, además, España tiene un filtro nuevo. Según el Ministerio para la Transformación Digital, los operadores ya han bloqueado más de seis millones de mensajes con remitentes no registrados.

En este artículo:

Qué es el smishing y por qué funciona tan bien
Por qué ahora: el Registro de alias y lo que no frena
Siete señales de que un SMS es falso
Los disfraces más habituales en España
Cómo comprobar un SMS sin pulsar nada
Qué hacer si ya has pulsado o has dado datos
Los ajustes del móvil que te ahorran sustos
Errores comunes al enfrentarse a un SMS falso
Preguntas frecuentes
Resumen práctico
Referencias externas:
- Marta Ruiz

A mí me llega uno casi cada semana. El último hablaba de un paquete «retenido en aduanas» y pedía 1,79 euros para liberarlo, y yo no esperaba ningún paquete. Aquí va lo que dicen INCIBE, el Banco de España, la CNMC y la Guardia Civil, ordenado para decidir rápido.

Qué es el smishing y por qué funciona tan bien

Smishing es la suma de SMS y phishing: la suplantación de una empresa, un organismo o una persona de confianza a través de un mensaje de texto. INCIBE lo describe como un fraude para obtener información personal o financiera. Casi siempre usa un enlace a una web falsa o un número al que te piden llamar.

Funciona porque el SMS parece un canal serio. Si el móvil vibra con un «cargo de 1.250 euros pendiente de autorizar», el cuerpo reacciona antes que la cabeza. Ese tirón de atención lo explica la neurociencia del zumbido de las notificaciones, y los estafadores lo aprovechan a fondo.

Cuando el mensaje parece venir del banco o de Tráfico, entra en juego otro mecanismo. Hay un nombre para esto: sesgo de autoridad, la tendencia a dar por bueno lo que parece venir de alguien con poder sobre nosotros. Es uno de los resortes más usados en los fraudes. Si encima hay prisa, la parte de nosotros que revisaría el enlace ni siquiera llega a intervenir.

Por qué ahora: el Registro de alias y lo que no frena

El cambio del año es el Registro de alias de la CNMC. Un alias es el nombre que aparece como remitente en lugar de un número, como «BBVA» o «Correos». Hasta septiembre cualquiera podía usarlo, y el móvil agrupaba el mensaje falso con los auténticos. El Banco de España ya avisaba de que esos SMS podían aparecer en la misma sección que los avisos reales de la entidad.

La Orden TDF/149/2025 encargó ese registro a la CNMC, y el bloqueo empezó a aplicarse el 15 de septiembre de 2026. Los operadores deben frenar los mensajes con alias no inscritos, los enviados sin autorización del titular y los que llegan desde proveedores no habilitados.

Lo que hace interesante este filtro no es que acabe con el smishing, sino que obliga a los estafadores a cambiar de disfraz. El registro solo afecta a los alias de SMS, MMS y mensajes RCS. No frena los SMS enviados desde un número de móvil corriente, que es como funciona la estafa del «hola, mamá». Tampoco llega a WhatsApp ni a Telegram.

El fraude, mientras tanto, no afloja: el 017 de INCIBE atendió 95.064 consultas en el primer semestre de 2026, casi el doble que un año antes. Entre la ciudadanía, el 40 % trataban sobre suplantaciones por teléfono, SMS o correo. En Estados Unidos, la FTC registró 470 millones de dólares en pérdidas declaradas por estafas de texto en 2024, más de cinco veces la cifra de 2020.

Siete señales de que un SMS es falso

Ninguna señal basta por sí sola, pero dos juntas ya justifican no tocar nada.

1. Te mete prisa

«Último aviso», «en 24 horas», «su cuenta será bloqueada hoy». La urgencia busca que actúes antes de pensar.

2. Trae un enlace o un número al que llamar

Es la pieza clave del engaño: la web falsa o el teléfono donde espera un falso gestor. BBVA recordó el 15 de octubre que nunca incluye enlaces ni teléfonos en sus SMS. Aunque tu banco no lo haya dicho, la regla es la misma: no uses ni el enlace ni el número del mensaje.

3. Te pide algo que nadie pide por SMS

El número de la tarjeta y su CVV, una contraseña o un código de verificación. El Banco de España insiste en que una entidad nunca pide contraseñas ni claves completas.

4. Te ofrece algo que no esperabas

Un paquete que no has comprado, un reembolso o un trabajo desde casa. Según la FTC, los falsos avisos de entrega fueron la estafa por texto más denunciada en Estados Unidos en 2024.

5. El enlace no lleva al dominio oficial

Son direcciones parecidas a la real, con guiones o palabras añadidas, o acortadores que esconden el destino. Revisarla ayuda, pero lo seguro es no abrirla.

6. Falla la forma

Faltan tildes o el tono no encaja. INCIBE recoge mensajes como «Hola Mama, mi telefono se ha roto». Ojo: cada vez llegan mejor escritos, así que la buena ortografía no prueba nada.

7. Solo te convence el remitente

El Registro de alias hace más fiable el nombre que aparece arriba. El buscador de alias de la CNMC te dice quién es su titular, si lo escribes con las mismas mayúsculas que ves en el móvil. Aun así, si el nombre es lo único que encaja y el resto suena a prisa o trae un enlace, hazle caso al resto.

Los disfraces más habituales en España

Los avisos de INCIBE dibujan un catálogo bastante estable.

Disfraz	Qué dice el SMS	Qué busca	Cómo comprobarlo
Paquetería	Paquete retenido, tasa de 1-2 euros	Tarjeta con CVV	App o web oficial con tu número de seguimiento
Banco	Cargo sospechoso, llama a este número	Claves, códigos y transferencias	App del banco o teléfono del dorso de la tarjeta
DGT	Multa con recargo inminente	Nombre, matrícula y tarjeta	App de la DGT; las sanciones llegan por correo postal o por la Dirección Electrónica Vial. Si estás de alta en ella, un SMS puede avisarte de una notificación pendiente, pero no cobrártela en otra web
Agencia Tributaria	Reembolso a tu favor	Datos bancarios	Sede electrónica, escribiendo tú la dirección
Familiar en apuros	«Se me ha roto el móvil, escríbeme aquí»	Bizum o transferencia	Llamar a su número de siempre

El del banco es el que más dinero mueve. En septiembre, la Guardia Civil dio cuenta de la operación Ibermellow, que desarticuló un call center capaz de enviar más de 100.000 SMS falsos a la hora. El mensaje alertaba de un cargo alto y daba un teléfono para pararlo. Después llegaba la llamada de un falso gestor que ya conocía parte de los datos de la víctima y la llevaba a hacer transferencias o pedir préstamos. Así reunieron más de un millón de euros de 43 víctimas de Aragón; los agentes recuperaron más de 250.000.

Cómo comprobar un SMS sin pulsar nada

Mi regla es tratar cada SMS inesperado como un aviso de que «quizá haya algo», nunca como el camino para resolverlo.

Para. No pulses, no respondas y no llames al número del mensaje. INCIBE lo aconseja así, y yo no contesto ni con un «no».
Cambia de canal. Abre tú la app oficial, escribe la web en el navegador o llama al teléfono que ya conoces. Si es un familiar, llámale a su número de siempre.
Decide con lo que ves allí. Si la incidencia existe, aparecerá en tu área de cliente. Si no hay nada, el problema era el SMS.

Qué hacer si ya has pulsado o has dado datos

Si solo abriste el enlace y cerraste sin escribir ni descargar nada, borra el mensaje y bloquea al remitente. Si llegaste más lejos, el orden importa.

Tarjeta o claves del banco: llama al teléfono oficial del banco, pide el bloqueo y revisa los movimientos.
Contraseñas: cámbialas desde la app o la web oficial. La verificación en dos pasos en tus cuentas limita el daño de una clave filtrada.
App instalada desde el enlace: desinstálala y avisa a tu banco si la usaste con él.
Transferencia o Bizum: avisa al banco cuanto antes para intentar frenarla.
Pruebas: guarda capturas del SMS, del remitente, de la web y de los justificantes.
Denuncia y ayuda: acude a la Policía Nacional o la Guardia Civil y llama al 017 de INCIBE, gratuito. También atiende por WhatsApp en el 900 116 117 y en Telegram como @INCIBE017.

A medio plazo, ayuda depender menos de lo que se teclea en una web falsa. Las passkeys para entrar sin contraseña solo funcionan en el sitio legítimo, así que no hay nada que copiar.

Los ajustes del móvil que te ahorran sustos

El Banco de España señala que algunos móviles incorporan detectores de spam que bloquean estos mensajes. En iPhone con iOS 26, los ajustes de Mensajes permiten filtrar remitentes desconocidos y spam, que pasan a listas aparte. El filtro de desconocidos viene desactivado de serie, así que conviene activarlo. En Android, Google Mensajes trae activada la protección contra spam, que aparta los sospechosos en su propia carpeta.

Errores comunes al enfrentarse a un SMS falso

1. Llamar al número que trae el mensaje

Es el anzuelo de casos como Ibermellow. Quien está al otro lado puede saber tu nombre, pero ese teléfono no es el de tu banco.

2. Fiarse porque aparece en el hilo de siempre

Esa conversación compartida con tus avisos reales era lo que hacía creíble el engaño. El registro pone mucho más difícil colarse en ella. Además, algunos bancos ya marcan sus mensajes: BBVA los envía por mensajería RCS verificada, con su logotipo en los dispositivos Apple y el distintivo azul «Canal oficial de BBVA» en Android. Pero el hilo dice quién escribe, no que tengas que hacer lo que pide.

3. Contestar «STOP» o «no soy yo»

Responder no aporta nada y abre una conversación con el estafador. Bloquear y borrar es suficiente.

4. Pensar que los importes pequeños no importan

Los 1,79 euros son el cebo. Lo que buscan es la tarjeta completa con su CVV.

5. Dictar un código «para cancelar» una operación

Como recuerda el Banco de España, tu banco no necesita un código para anular un cargo. Quien te lo pide por teléfono lo usa para confirmar una operación con tu cuenta.

Preguntas frecuentes

¿Qué significa smishing?

Es un término que combina SMS y phishing. Nombra los mensajes de texto que imitan a bancos, empresas de reparto, organismos públicos o familiares. Su fin es quedarse con tus datos o tu dinero, o que marques un teléfono controlado por los estafadores.

¿Puede un SMS falso aparecer con el nombre de mi banco?

Puede, pero cada vez es más difícil. Durante años bastaba con configurar ese nombre como remitente para mezclarse con los auténticos. Desde el 15 de septiembre de 2026, los operadores deben bloquear los alias que no figuran en el registro de la CNMC, lo que reduce mucho esa vía. Su buscador público permite además comprobar quién es el titular de cada alias. Aun así, lo prudente es resolver cualquier trámite en la app oficial.

¿Es peligroso solo abrir un SMS fraudulento?

Leerlo no es el problema. El peligro empieza al pulsar el enlace, responder, llamar o escribir datos en la página de destino. Si abriste la web y la cerraste sin rellenar ni descargar nada, lo razonable es eliminar el mensaje, bloquear el número y mantener el móvil actualizado.

¿Dónde se denuncia un SMS falso en España?

Puedes reportarlo a INCIBE a través del 017 o de sus canales de WhatsApp y Telegram. Si has perdido dinero o has dado datos, denuncia en comisaría o en un cuartel de la Guardia Civil con capturas. Avisa también a tu entidad para que bloquee lo necesario.

¿El Registro de alias acaba con los SMS fraudulentos?

No del todo. Frena los mensajes que usan un nombre de empresa sin autorización, pero no los que salen de números de móvil normales ni los de WhatsApp o Telegram. Por eso el timo del familiar con número nuevo sigue vivo, y verificar por otra vía continúa siendo imprescindible.

Resumen práctico

Smishing es el fraude por SMS que suplanta a bancos, paquetería, DGT, Hacienda o familiares.
Alarmas: prisa, enlaces o teléfonos, peticiones de tarjeta o códigos, ofertas inesperadas y dominios raros.
Desde el 15 de septiembre se bloquean los alias no autorizados y la CNMC permite consultar su titular, pero el registro no cubre los números corrientes.
Ante un SMS inesperado: para, cambia de canal y decide con lo que ves en la app oficial.
Si has caído: banco primero, contraseñas después, pruebas guardadas, denuncia y 017.
Activa los filtros de spam y de remitentes desconocidos del móvil.

Mi resumen es corto: aunque el SMS diga la verdad, el trámite lo resuelvo en la app o en la web que abro yo, nunca en su enlace. Cuando un mensaje me mete prisa, sé que toca ir más despacio.