9Solicitan el código SMS que el banco acaba de enviar al móvil
En esta campaña de smishing, la petición del código SMS es el último eslabón de una cadena cuidadosamente diseñada. El mensaje que suplanta a la Tesorería General de la Seguridad Social anuncia una actualización pendiente y redirige a una web clonada que, bajo el título de "Asistencia para la adaptación energética 2026", promete un pago de 305,85 euros (245 de subsidio básico, 42,15 de ajuste por inflación y 18,7 de complemento de energía). Tras recopilar el DNI, la dirección y los datos completos de la tarjeta —número, caducidad y CVV—, el fraude da el paso definitivo: solicitar el código de verificación que el banco acaba de enviar al móvil. Ese código es la única barrera que queda entre el estafador y la cuenta, y quien lo facilita autoriza, en la práctica, una operación real que la entidad interpreta como legítima. Lo que empieza como el cobro de una ayuda inexistente se convierte en una transferencia o compra que vacía el saldo en cuestión de minutos.
Que ni un banco ni un organismo público pidan jamás ese código por teléfono o en una web es la regla que convierte este elemento en una señal inequívoca de fraude. El código SMS de verificación existe precisamente para confirmar que es el titular quien ordena la operación, de modo que compartirlo equivale a entregar las llaves de la cuenta. La propia Seguridad Social y el INCIBE insisten en que nunca solicitan contraseñas ni códigos de verificación, y que cualquier trámite debe hacerse desde Importass o la Sede Electrónica, nunca desde un enlace recibido por mensaje. En esta estafa, además, la presión es el arma: la web insta a actuar con urgencia para "no perder la prestación" e intercala una verificación de "no soy un robot" para aparentar legitimidad. Quien reciba la llamada o el aviso pidiéndole el código que acaba de llegarle por SMS debe colgar y borrar el mensaje: el banco puede bloquear la operación, pero solo si la víctima reacciona antes de dictar esos seis dígitos.
