Te llega un mensaje que parece urgente: tu banco detectó un cargo, el SAT tiene una notificación pendiente, una paquetería no pudo entregar un envío o un comercio necesita confirmar un pago. El SMS incluye un enlace y parece bastante convincente.

Antes de tocarlo, hay una regla más útil que intentar decidir a simple vista si el mensaje “se ve real”: verifica la situación fuera del propio SMS.

Ese tipo de fraude se conoce como smishing. Los delincuentes utilizan mensajes de texto para llevarte a una página falsa y tratar de obtener contraseñas, datos financieros o códigos de seguridad. CONDUSEF identifica entre los señuelos habituales las alertas bancarias, problemas con servicios, premios y supuestos avisos del SAT.

Cómo saber si un SMS merece desconfianza

Un SMS fraudulento no siempre tiene faltas de ortografía ni un diseño descuidado. Puede copiar el tono de una empresa real y mencionar una situación perfectamente posible.

Lo que suele revelar el intento de engaño es la acción que quiere provocar.

Desconfía si el mensaje te presiona para actuar de inmediato, amenaza con bloquear una cuenta, presenta un cargo inesperado o promete un premio, reembolso o beneficio que no esperabas. También si te pide entrar desde un enlace para proporcionar una contraseña, número de tarjeta, NIP, CVV o código de verificación.

Revisa además la dirección a la que apunta el enlace. Un dominio extraño, ligeramente modificado o acortado merece especial atención, pero tampoco debes asumir que una página es legítima sólo porque luce profesional.

La comprobación más segura es sencilla: abre por tu cuenta la aplicación oficial de la empresa o escribe su dirección en el navegador. Si el supuesto problema existe, compruébalo desde ahí. La Guardia Nacional CERT-MX recomienda confirmar la autenticidad de las solicitudes urgentes y evitar los enlaces incluidos en mensajes sospechosos.

Un ejemplo de smishing muy común es el aviso de una entrega que supuestamente no pudo completarse. Si recibiste uno, tenemos una guía específica para identificar un mensaje de paquete retenido y comprobar si es una estafa.

Qué hacer depende de hasta dónde llegaste

No todos los casos de fraude por SMS requieren la misma respuesta. Haber recibido el mensaje no es lo mismo que haber entregado una contraseña o un código bancario.

Sólo recibiste el SMS. No respondas, no llames al número que aparece en el mensaje y no abras el enlace. Comprueba la situación desde un canal oficial y, si confirmas que es falso, repórtalo como spam y bloquea al remitente.

Abriste el enlace, pero no escribiste nada. Cierra la página y no aceptes permisos, descargas ni instalaciones. Abrir el enlace no significa por sí solo que hayan robado tus credenciales si no las introdujiste, pero una página maliciosa puede intentar descargar contenido dañino o aprovechar vulnerabilidades del dispositivo, especialmente si el sistema o el navegador están desactualizados. Revisa si se descargó algún archivo o instaló una aplicación, mantén actualizado el sistema operativo y el navegador y presta atención a comportamientos extraños.

En Android, Google recomienda mantener Play Protect activo y utilizar las actualizaciones de seguridad disponibles. Apple también advierte de que versiones desactualizadas de iOS pueden ser vulnerables a contenido web malicioso, por lo que mantener el iPhone actualizado es una medida importante de protección.

Introdujiste una contraseña o credenciales. Entra a la cuenta desde la aplicación o sitio oficial y cambia la contraseña inmediatamente. Cierra sesiones que no reconozcas, activa la verificación en dos pasos o una passkey cuando esté disponible y modifica también esa contraseña en cualquier otro servicio donde la hubieras reutilizado. Si la plataforma muestra un historial de accesos o dispositivos, revísalo. 

Entregaste datos bancarios, de tarjeta o un código de seguridad. Aquí la prioridad cambia. Contacta de inmediato a la institución financiera mediante su aplicación, el número impreso en tu tarjeta o su sitio oficial. Solicita el bloqueo que corresponda y revisa los movimientos recientes.

Guarda capturas del SMS, la dirección del sitio y cualquier operación relacionada antes de borrar el mensaje. Si además realizaste un pago, consulta nuestra guía sobre qué hacer si fuiste víctima de fraude por transferencia bancaria.

Los códigos de un solo uso merecen especial atención: pueden servir para autorizar accesos u operaciones. Ninguna urgencia mostrada en un mensaje debería convencerte de compartirlos.

Después del incidente, corta el camino al estafador

Smishing

Una vez que aseguraste tus cuentas, si tu aplicación de mensajes ofrece la opción, repórtalo como spam o mensaje sospechoso y bloquea al remitente. También conviene avisar a la empresa o institución que fue suplantada. La Guardia Nacional recibe reportes relacionados con delitos cibernéticos a través del 088.

Si el mensaje intenta llevarte a una llamada telefónica, el engaño puede continuar como vishing: cambia el canal, pero la lógica es parecida. Smishing y vishing buscan que confíes en una identidad aparente y actúes antes de comprobar quién está realmente del otro lado.

La mejor defensa no consiste en memorizar todos los ejemplos de smishing. Los señuelos cambian constantemente. Lo que funciona en casi todos los casos es romper la urgencia: no utilices el enlace, teléfono o instrucciones que te entrega el propio mensaje y comprueba la situación desde un canal que tú mismo hayas abierto.

En seguridad digital, unos segundos para verificar pueden evitar que un SMS termine convirtiéndose en acceso a una cuenta, robo de información o pérdida de dinero.

Preguntas frecuentes sobre smishing

¿Un SMS falso puede aparecer con el nombre de mi banco o de una empresa conocida?

Sí. El nombre o número que aparece como remitente no debe tomarse por sí solo como prueba de autenticidad. Los sistemas de mensajería pueden ser utilizados para imitar identificadores de empresas o presentar remitentes muy parecidos a los legítimos. Por eso, aunque el SMS parezca venir de una institución conocida, comprueba cualquier alerta directamente desde su aplicación o sitio oficial.

¿Debo borrar inmediatamente un mensaje de smishing?

Si sólo lo recibiste y no interactuaste con él, puedes reportarlo, bloquear al remitente y eliminarlo. Pero si abriste el enlace, proporcionaste información o realizaste alguna operación, conviene guardar primero evidencia: capturas de pantalla, el número del remitente, el mensaje y cualquier comprobante relacionado. Guardia Nacional CERT-MX recomienda conservar este tipo de información cuando puede ser necesaria para una denuncia.

¿Dónde puedo reportar un SMS fraudulento en México?

Puedes utilizar la función para reportar spam de tu aplicación de mensajes cuando esté disponible y avisar también a la empresa o institución que está siendo suplantada. Si fuiste víctima de un ciberdelito, Guardia Nacional CERT-MX señala el 088 como canal de orientación para realizar el reporte y, en su caso, proceder con una denuncia.

¿Bloquear el número evita que vuelva a ocurrir?

Bloquearlo impide recibir nuevos mensajes de ese remitente, pero no evita que los delincuentes utilicen otros números o identificadores. En Mensajes de Google, por ejemplo, reportar una conversación como spam permite bloquear al remitente; en iPhone también es posible reportar mensajes no deseados y bloquear contactos.

¿Tengo que cambiar mis contraseñas si sólo recibí el SMS?

No por el simple hecho de recibirlo. Si no abriste el enlace, no proporcionaste información y no detectas actividad extraña en tus cuentas, normalmente basta con no interactuar, reportar el mensaje y eliminarlo. El cambio inmediato de contraseña cobra importancia cuando introdujiste tus credenciales en una página sospechosa o existen indicios de que una cuenta pudo quedar comprometida.

Fuentes y recursos consultados

Lecturas recomendadas