Si en los últimos días te ha llegado un SMS pidiéndote renovar la tarjeta sanitaria, para antes de tocar ese enlace. El INCIBE ha confirmado una nueva campaña de fraude que suplanta a la Seguridad Social con un único objetivo: quedarse con tus datos personales y, en algunos casos, también los bancarios.
No es la primera vez que ocurre, pero sí es la oleada más persistente detectada hasta ahora. Los mensajes han variado la fecha límite —marzo, abril, mayo, julio de 2026— para generar una sensación de urgencia distinta en cada envío masivo, una táctica que los ciberdelincuentes repiten porque funciona.
Cómo actúa el fraude que suplanta al INCIBE
El mecanismo es siempre el mismo: un SMS que llega como si fuera oficial, avisando de que la tarjeta sanitaria "debe renovarse" por un cambio normativo o un nuevo sistema de identificación electrónica. El texto incluye un enlace acortado que, lejos de llevarte a la sede oficial, redirige a una web fraudulenta diseñada para robar tus datos.
Una vez dentro, la página pide nombre, apellidos, fecha de nacimiento y correo electrónico. En algunas variantes detectadas por el organismo, el fraude va más allá y solicita también datos bancarios, con la excusa de cobrar el envío a domicilio de la nueva tarjeta.
Qué hacer si ya has picado en el enlace
Si has introducido tus datos en el formulario falso, INCIBE recomienda actuar de inmediato y sin esperar a confirmar si ha habido cargos. El primer paso es contactar con tu banco para bloquear tarjetas o cuentas, usando la expresión "operación no autorizada", que obliga a la entidad a abrir un expediente de reclamación. Este tipo de ataque se conoce técnicamente como smishing, una variante del phishing que utiliza mensajes de texto en lugar de correo electrónico para engañar a la víctima.
El segundo paso es cambiar todas las contraseñas que puedan haberse visto comprometidas, empezando por la banca online. Si reutilizabas esa misma clave en otros servicios, el riesgo se multiplica, así que conviene revisar cada cuenta por separado.
Por qué este tipo de estafa engaña tan bien
El smishing resulta especialmente efectivo porque los usuarios confían más en un SMS que en un correo electrónico, según explican los propios expertos del INCIBE. Un mensaje de texto se percibe como algo directo, casi personal, y eso reduce la capacidad de análisis crítico del destinatario en el momento de leerlo.
A eso se suma que los ciberdelincuentes han perfeccionado la falsificación del remitente. En muchos casos consiguen que el SMS fraudulento se agrupe en la misma conversación que los mensajes legítimos de la entidad suplantada, lo que hace prácticamente imposible distinguirlo a simple vista sin mirar el enlace con lupa.
Las señales que delatan el mensaje falso
Detectar este tipo de fraude no requiere conocimientos técnicos, solo prestar atención a un par de detalles que casi siempre se repiten. La Seguridad Social, como cualquier otro organismo público, nunca pide datos bancarios ni personales sensibles a través de un SMS, y mucho menos exige clicar en un enlace acortado para "no perder" un servicio.
Antes de tocar cualquier mensaje sospechoso, conviene fijarse en estos puntos:
- La URL del enlace: si no termina en .gob.es o .es, o usa extensiones raras como .top o .click, es una señal de alarma inmediata.
- Errores ortográficos o de redacción: muchos de los SMS reportados contienen faltas o frases mal construidas, típico de traducciones automáticas.
- La sensación de urgencia: fechas límite ajustadas o amenazas de "pérdida de servicios" buscan que actúes sin pensar.
- La solicitud de pago: ningún trámite oficial de la Seguridad Social se gestiona pidiendo dinero por SMS para "gastos de envío".
Qué hacer si recibes el mensaje y no has pinchado
Si el SMS te ha llegado pero no has llegado a acceder al enlace, la recomendación es sencilla: borra el mensaje y bloquea el número remitente sin darle más vueltas. No hace falta responder ni pedir explicaciones, ya que el propio acto de contestar puede confirmar al estafador que tu número está activo.
También puedes reportarlo directamente a INCIBE a través de su línea gratuita 017, disponible todos los días del año, o mediante su buzón de incidentes online. Cuantos más avisos reciba el organismo, más rápido puede bloquear los dominios fraudulentos y avisar a otros usuarios antes de que caigan en la misma trampa.
Hacia dónde va esta amenaza y cómo anticiparte
La tendencia para lo que queda de 2026 apunta a campañas de smishing todavía más sofisticadas, que combinan la suplantación clásica con inteligencia artificial para generar textos más creíbles y personalizados. Esto significa que las faltas de ortografía, hasta ahora una pista fiable, podrían dejar de ser un indicador tan claro en los próximos meses.
La buena noticia es que la defensa sigue siendo la misma de siempre: desconfiar por sistema de cualquier SMS que pida datos o dinero, y verificar cualquier trámite directamente desde la app o la web oficial, nunca desde un enlace recibido por mensaje. Un hábito simple, pero que sigue siendo la barrera más eficaz contra este tipo de fraude, según insiste el propio INCIBE en cada nuevo aviso.
