«Correos: su paquete no ha podido ser entregado. Confirme sus datos en el siguiente enlace.» Si este mensaje te suena familiar, no estás solo. Lo has recibido tú, tu madre, tu vecino y probablemente hasta tu abuela. Y en algún caso, alguien ha picado.
El smishing —la estafa por SMS— se ha convertido en la epidemia de ciberseguridad número uno en España. Según datos del INCIBE, las denuncias por fraude a través de mensajes de texto se han multiplicado por 4 en los últimos dos años, y los ciberdelincuentes no paran de inventar nuevas trampas cada vez más creíbles.
En este artículo vas a aprender exactamente cómo funcionan estas estafas, verás ejemplos reales de los SMS que están circulando ahora mismo, y te daremos un plan infalible para no caer nunca en ellas. Y si ya has picado, también te explicamos qué hacer paso a paso.
📑 Tabla de Contenidos
- ¿Qué es el smishing y por qué funciona tan bien?
- Por qué España es un objetivo prioritario
- Los 8 SMS de smishing más comunes en España
- Anatomía de un ataque de smishing paso a paso
- Smishing vs. Phishing vs. Vishing: diferencias
- Cómo identificar un SMS fraudulento en 5 segundos
- ¿Has picado? Qué hacer inmediatamente
- 10 reglas de oro para protegerte del smishing
- Dónde y cómo denunciar en España
- Preguntas frecuentes
1. ¿Qué es el smishing y por qué funciona tan bien?
El smishing es una combinación de «SMS» y «phishing». Es una técnica de ingeniería social en la que los ciberdelincuentes envían mensajes de texto haciéndose pasar por entidades de confianza (bancos, Correos, Hacienda, empresas de paquetería) para engañarte y que entregues tus datos personales, bancarios o contraseñas.
¿Por qué funciona mejor que el email?
El smishing tiene tasas de éxito brutalmente superiores al phishing por email, y hay razones concretas para ello:
- Tasa de apertura del 98%: casi todo el mundo lee sus SMS, frente al 20% que abre los emails.
- Confianza inherente: asociamos los SMS con comunicaciones oficiales (bancos, verificaciones, entregas).
- Urgencia en la palma de la mano: un SMS llega al bolsillo y genera una reacción inmediata.
- Menos filtros: los filtros anti-spam de SMS son mucho menos sofisticados que los de email.
- Pantalla pequeña: en el móvil es más difícil ver la URL completa de un enlace sospechoso.
- Sin contexto visual: en un email puedes ver logos mal hechos o diseño chapucero. Un SMS es solo texto.
🚨 Cifras del smishing en España: En 2025, el INCIBE gestionó más de 118.000 incidentes de ciberseguridad, de los cuales el fraude por SMS fue la categoría con mayor crecimiento. La Policía Nacional estima que el smishing causa pérdidas de más de 50 millones de euros anuales solo en España, y la tendencia en 2026 sigue al alza.
2. Por qué España es un objetivo prioritario
España se ha convertido en uno de los países europeos más afectados por el smishing. ¿Por qué? Varios factores convergen:
- Altísima penetración del móvil: España tiene más líneas móviles que habitantes. Todo el mundo tiene un smartphone en el bolsillo.
- Cultura del SMS bancario: los españoles están acostumbrados a recibir SMS de sus bancos para verificaciones y alertas, lo que hace más creíbles los SMS falsos.
- Boom del e-commerce: con millones de paquetes circulando cada día, los SMS falsos de «tu paquete» son extremadamente efectivos.
- Campañas de la Renta: cada primavera, la campaña de la Renta genera oleadas de SMS falsos de la «Agencia Tributaria» que coinciden con comunicaciones reales.
- Menor cultura de ciberseguridad: comparado con otros países europeos, el nivel de concienciación sobre estafas digitales en España sigue siendo bajo, especialmente en la población mayor.
3. Los 8 SMS de smishing más comunes en España
Estos son los mensajes que más están circulando en 2026. Si recibes cualquiera de estos, es una estafa al 100%:
📦 1. El falso paquete de Correos
Cómo detectarlo: Correos nunca envía SMS con enlaces para «confirmar datos». La URL no es correos.es. Y tú probablemente ni esperabas un paquete.
🏦 2. La alerta bancaria falsa
Cómo detectarlo: tu banco nunca te pedirá que «verifiques» pulsando un enlace en un SMS. La URL no es bbva.es. Ante la duda, llama al teléfono oficial de tu banco.
💰 3. La devolución de Hacienda
Cómo detectarlo: la Agencia Tributaria nunca comunica devoluciones por SMS con enlaces. Las devoluciones se gestionan automáticamente en la cuenta bancaria que indicaste en la declaración.
📱 4. La verificación de WhatsApp
Cómo detectarlo: nadie envía códigos «por error». Si les pasas ese código, les estás dando acceso a tu cuenta de WhatsApp.
🚗 5. La multa de tráfico
⚡ 6. La factura de la luz
🎁 7. El premio falso
👤 8. La suplantación del hijo
⚠️ La estafa del «hijo en apuros»: Este último tipo se ha vuelto extremadamente popular en España. Los estafadores se dirigen a personas mayores simulando ser sus hijos. La clave para detectarlo: llama siempre al número antiguo de tu hijo para verificar.
4. Anatomía de un ataque de smishing paso a paso
Veamos exactamente cómo operan los ciberdelincuentes detrás del smishing:
Los atacantes consiguen tu número a través de brechas de datos previas, compra de bases de datos en la dark web, o simplemente generando números de forma automatizada y secuencial.
Crean un mensaje convincente que imita a una entidad. Registran un dominio que se parece al oficial (por ejemplo: correos-entrega.info en lugar de correos.es) y montan una web clon idéntica a la original donde alojan el formulario trampa.
Utilizan plataformas de envío de SMS o redes de teléfonos infectados para hacer "Spoofing" y falsear el remitente (para que aparezca "BBVA" o "DGT"). Pueden enviar cientos de miles de SMS en minutos a un coste mínimo.
Al pulsar el enlace, la víctima llega a la web falsa indistinguible de la real. Allí introduce sus datos: usuario, contraseña del banco, número de tarjeta, PIN, DNI...
Con los datos robados, los ciberdelincuentes vacían la cuenta bancaria, realizan compras online, suplantan la identidad para solicitar préstamos o revenden el perfil en la Deep Web. Todo ocurre en menos de 5 minutos.
5. Smishing vs. Phishing vs. Vishing: diferencias
Estos tres tipos de estafa usan la misma base (ingeniería social), pero diferentes canales:
| Tipo | Canal | Ejemplo | Tasa de éxito | Dificultad de detección |
|---|---|---|---|---|
| Phishing | Email falso del banco pidiendo verificar cuenta | 3-5% | Media (filtros anti-spam ayudan) | |
| Smishing | SMS / Textos | SMS falso de Correos con enlace | 10-15% | Alta (pocos filtros, mucha confianza) |
| Vishing | Llamada de voz | Llamada del «técnico de Microsoft» | 15-25% | Muy alta (la voz humana genera confianza) |
Como ves, el smishing tiene una tasa de éxito hasta 5 veces mayor que el phishing por email. Esto explica por qué los ciberdelincuentes están migrando masivamente al SMS como vector de ataque preferido.
⚡ Si tus credenciales se filtran, que al menos sean únicas
Si caes en un ataque de smishing y entregas una contraseña, el daño será mucho menor si esa contraseña es única para ese servicio. Usa contraseñas diferentes para cada cuenta.
🛡️ Generar Contraseña Única6. Cómo identificar un SMS fraudulento en 5 segundos
Aplica esta checklist mental cada vez que recibas un SMS sospechoso. Si el mensaje cumple una o más de estas señales, es smishing:
- 🚩 Urgencia artificial: «Tienes 24 horas», «Tu cuenta será bloqueada», «Actúa inmediatamente». La urgencia es la herramienta número uno.
- 🚩 Enlace sospechoso: la URL no es el dominio oficial. Mira la parte ANTES del primer «/»: si no es
bbva.es,correos.esoagenciatributaria.es, es falso. - 🚩 Te piden datos: ninguna entidad legítima te pedirá contraseñas, PIN o DNI por SMS.
- 🚩 Remitente genérico: un número de teléfono normal (+34 6XX...) en lugar del nombre de la empresa verificado.
- 🚩 No lo esperabas: si no has pedido un paquete, no tienes cuenta en ese banco, o no has hecho la declaración, ignóralo.
- 🚩 Recompensa inesperada: premios o regalos que no has solicitado son SIEMPRE estafas.
✅ La regla de oro: Nunca pulses un enlace de un SMS. Punto. Si el mensaje parece ser de tu banco, abre la app del banco directamente. Si es de Correos, entra en correos.es manualmente desde el navegador.
7. ¿Has picado? Qué hacer inmediatamente
Si ya has pulsado un enlace de smishing y has introducido datos, no entres en pánico, pero actúa rápido. Cada minuto cuenta:
Llama a tu banco INMEDIATAMENTE. Pide que bloqueen tu tarjeta y/o cuenta. Todos los bancos tienen línea de atención 24h para fraude. Además, cambia la contraseña del servicio comprometido y del email asociado desde otro dispositivo.
Activa el doble factor de autenticación (2FA). Revisa si usas esa misma contraseña en otros servicios y cámbialas todas. Comprueba los movimientos bancarios de las últimas horas.
Denuncia ante la Policía o Guardia Civil. Reporta el SMS al INCIBE (017). Si instalaste alguna app (.apk) desde el enlace, desinstálala o formatea el móvil de fábrica. Instala un gestor de contraseñas para el futuro.
📞 Teléfonos de emergencia para fraude bancario en España:
BBVA: 900 102 801 | CaixaBank: 900 40 40 90 | Santander: 915 123 123 | Sabadell: 963 085 000 | ING: 901 105 115 | Línea INCIBE: 017 (gratuito, 365 días)
8. 10 reglas de oro para protegerte del smishing
- Nunca pulses enlaces en SMS. Ve directamente a la web o app oficial.
- Desconfía de la urgencia. Si el mensaje te presiona, es una estafa.
- Verifica por otro canal. Llama al teléfono oficial del reverso de tu tarjeta.
- No compartas códigos de verificación. Jamás se los des a nadie por WhatsApp o SMS.
- Usa contraseñas únicas. Genera contraseñas fuertes aquí.
- Activa el 2FA. Es tu red de seguridad vital.
- Instala solo apps de tiendas oficiales (Google Play / App Store).
- Bloquea y reporta. Marca el número como spam en tu móvil.
- Mantén tu móvil actualizado. Evita que los troyanos aprovechen fallos viejos.
- Educa a tu entorno. Especialmente a las personas mayores.
9. Dónde y cómo denunciar en España
Denunciar es importante no solo para intentar recuperar tu dinero, sino para ayudar a las autoridades a rastrear y desmantelar las redes de estafadores.
| Organismo | Cómo denunciar | Para qué sirve |
|---|---|---|
| Policía Nacional | Comisaría o policia.es | Denuncia formal, necesaria para reclamar al banco. |
| Guardia Civil (GDT) | gdt.guardiacivil.es | Investigación integral de ciberdelitos a nivel nacional. |
| INCIBE | Teléfono 017 o incibe.es | Asesoramiento técnico, triaje y gestión del incidente. |
| AEPD | aepd.es | Si tus datos personales han sido publicados y comprometidos. |
💡 Sobre el reembolso bancario: Según la normativa europea (PSD2), los bancos están obligados a devolverte el dinero en transacciones no autorizadas, salvo que demuestren «negligencia grave» por tu parte. Aportar la denuncia policial rápido te dará la razón legal casi siempre.
10. Preguntas frecuentes (FAQ)
¿Qué es exactamente el smishing?
El smishing es una estafa de phishing ejecutada a través de SMS. Los ciberdelincuentes envían mensajes suplantando la identidad de bancos, empresas de envíos o instituciones públicas para que hagas clic en enlaces trampa y robar tus datos bancarios.
¿Cómo puedo identificar un SMS de smishing en mi móvil?
Presta atención a la sensación de urgencia ("tu cuenta será bloqueada hoy"), a los enlaces con dominios extraños o acortados (bit.ly), a errores gramaticales y, sobre todo, al hecho de que un remitente te pida hacer clic para introducir un PIN o contraseña.
¿Los bancos de España envían SMS con enlaces?
No. Los bancos españoles legítimos (BBVA, Santander, CaixaBank...) han eliminado la política de enviar SMS con enlaces operativos. Nunca te pedirán que pulses un enlace para verificar tu cuenta o cancelar un cargo. Si el SMS lleva enlace, bórralo.
¿Puedo recuperar mi dinero si me han vaciado la cuenta por smishing?
Sí, la ley te protege. La normativa de servicios de pago (PSD2) obliga al banco a reembolsar operaciones no autorizadas. Bloquea tu cuenta al instante, presenta denuncia ante la Policía Nacional o Guardia Civil y entrégala al banco para exigir el reintegro.
11. Conclusión: Tú eres el muro cortafuegos
El smishing no va a desaparecer. De hecho, con la IA generativa permitiendo crear mensajes perfectos y ultra personalizados, las estafas por SMS en 2026 son más peligrosas que nunca. Ya no basta con buscar faltas de ortografía: los mensajes actuales son gramaticalmente impecables y logotipos perfectos.
Tu mejor defensa no es un antivirus caro, es la desconfianza por defecto (Zero-Trust). Interioriza estas reglas y serás inmune al smishing:
- Ninguna entidad legítima te pedirá datos sensibles por SMS. Si lo hacen, es estafa.
- La urgencia siempre es una manipulación psicológica de ataque.
- Ante la mínima duda, entra a la app oficial por tus propios medios; nunca por el enlace del SMS.
Por último, el daño de un robo de credenciales se multiplica si usas la misma clave para todo. Usa un generador para que cada puerta de tu vida digital tenga su propio candado.