La Policía Nacional ha lanzado una advertencia que conviene leer con calma, aunque el mensaje que la motiva llegue con urgencia fingida. Se trata de una oleada de SMS que suplantan a entidades bancarias y que, según los últimos avisos oficiales, logran algo que hace unos años parecía imposible: integrarse en el mismo hilo de conversación que los mensajes legítimos de tu banco.
El resultado es una estafa que no depende de que bajes la guardia por descuido, sino de que confíes en algo que parece, literalmente, indistinguible de lo real. Y el dato que acompaña la alerta no ayuda a relajarse: casi la mitad de los españoles ha estado a punto de caer en un fraude online en el último año, según el CIS.
Cómo actúa la Policía Nacional ante esta oleada de SMS falsos
El mecanismo, explicado por los propios agentes en sus canales oficiales, empieza con un mensaje que avisa de un acceso no autorizado, un cargo sospechoso o la necesidad urgente de "verificar" la cuenta. El SMS incluye un número de teléfono al que se insta a llamar de inmediato, y ahí es donde entra el segundo golpe: al otro lado responde alguien que se hace pasar por un empleado del banco.
Ese falso operador pide claves de acceso, códigos de verificación o datos que ninguna entidad solicita jamás por teléfono. La Policía insiste en un punto clave: la presión del momento es el arma real de los estafadores, no la sofisticación técnica del mensaje. Cuanto más urgente suena, más motivos hay para desconfiar.
Por qué esta técnica ha dejado obsoletas las señales de alarma de siempre
La Policía Nacional recuerda que este tipo de fraude, conocido técnicamente como smishing, ya no depende de errores ortográficos ni de números extraños para colarse. Los ciberdelincuentes usan ahora numeraciones cortas que imitan las oficiales y enlaces con dominios casi idénticos a los de bancos y organismos públicos, lo que borra casi todas las pistas visuales que antes servían de defensa.
La consecuencia es que la vieja recomendación de "fíjate si está bien escrito" ya no basta. El diseño de la web falsa suele ser una réplica exacta del portal de acceso real, y basta con introducir las credenciales una sola vez para que los criminales tomen el control completo de la cuenta.
El perfil de las víctimas y el dato que más preocupa a los expertos
Contra lo que podría pensarse, esta estafa no se ceba especialmente en las personas mayores. Los informes disponibles señalan que la mayoría de los ataques por SMS se dirigen a personas de entre 25 y 45 años, el mismo grupo que convive a diario con alquileres altos, incertidumbre laboral y una revisión constante del móvil por costumbre, no por desconfianza.
Ese detalle explica en parte el éxito del fraude: quien más pendiente está del teléfono, más rápido reacciona a un aviso alarmante. Los delincuentes lo saben y ajustan el mensaje para tocar justo ese nervio, ya sea con la amenaza de un bloqueo o con la promesa de una devolución de dinero que nunca llega por esa vía.
Las señales que sí delatan un SMS fraudulento
Aunque las técnicas se perfeccionan, todavía existen patrones que se repiten en casi todos los casos y que conviene tener localizados antes de que aparezca el mensaje. Ninguna entidad bancaria pide datos sensibles por SMS, y esa frase, por repetida que suene, sigue siendo la barrera más eficaz.
- El mensaje exige actuar de forma inmediata, sin margen para comprobar nada.
- Incluye un enlace o número de teléfono distinto a los canales oficiales del banco.
- Solicita claves, códigos de verificación o datos de tarjeta por teléfono o web.
- Aparece integrado en un hilo real, pero con un remitente ligeramente distinto al habitual.
Qué hacer si ya has recibido o abierto uno de estos mensajes
Si el SMS ha llegado pero no se ha pulsado ningún enlace, lo más seguro es borrarlo sin responder y, si es posible, reportarlo al banco o a la propia Policía. La reacción cambia por completo cuando ya se ha introducido algún dato en la web fraudulenta.
En ese caso, el tiempo es determinante: hay que llamar de inmediato al servicio oficial del banco para bloquear tarjetas y accesos, y después presentar una denuncia aportando capturas del mensaje y de la web falsa. Revisar los movimientos de la cuenta en los días siguientes y activar las alertas de banca online añade una capa extra de protección mientras se resuelve el caso.
- Bloquear tarjetas y banca online llamando al teléfono oficial, nunca al del SMS.
- Guardar capturas de pantalla del mensaje y del enlace como prueba.
- Denunciar ante la Policía Nacional o Guardia Civil cuanto antes.
- Activar alertas de movimientos para detectar cargos sospechosos a tiempo.
Hacia dónde va esta amenaza y cómo prepararse sin obsesionarse
La buena noticia, dicen los propios investigadores, es que la coordinación entre bancos, Policía y organismos como el INCIBE es cada vez más rápida a la hora de detectar y frenar campañas activas. La conciencia social sobre el smishing crece cada año, y eso reduce el margen de maniobra de quienes diseñan estos fraudes.
Aun así, la inteligencia artificial generativa ya se usa para pulir textos y eliminar los errores que antes delataban el engaño, así que la prevención seguirá dependiendo más del sentido común que de la tecnología. Desconfiar de la urgencia, verificar siempre por canales propios y no dejarse arrastrar por el miedo sigue siendo, hoy por hoy, la defensa más sólida que existe.
