El INCIBE ha detectado una campaña de estafa por SMS que suplanta a la Seguridad Social para robar datos bancarios. El aviso afecta a cualquier persona que reciba el mensaje fraudulento en su teléfono móvil.
¿Qué ha pasado exactamente?
El Instituto Nacional de Ciberseguridad (INCIBE) ha lanzado un aviso ante una nueva oleada de smishing. Esta técnica utiliza mensajes de texto falsos que imitan a organismos oficiales para llevar a la víctima a páginas web controladas por los delincuentes.
La suplantación de la Seguridad Social no es nueva. El organismo público ya había advertido de intentos similares por SMS, correo o llamadas. En esta campaña, el cebo es una supuesta actualización pendiente y una ayuda que nunca existe.
El mensaje detectado dice: 'Seg Social: Tiene una actualización pendiente. Consulte su información y gestione el trámite correspondiente'. Al pulsar el enlace, la persona llega a una web que simula el portal de la Tesorería General de la Seguridad Social (TGSS).
Dentro de esa página se piden datos personales como el DNI o el domicilio y se anuncia una supuesta ayuda de 305,85 euros bajo el nombre de 'Asistencia para la adaptación energética 2026'. Para cobrarla, el sitio solicita el número de tarjeta, el CVV y la caducidad; es decir, los datos necesarios para vaciar la cuenta.
En el ejemplo difundido por el INCIBE, la web falsa combina el logotipo de la Seguridad Social con una promesa económica. La cifra de 305,85 euros busca que la víctima deje de lado la desconfianza y complete todos los pasos.
Cómo detectar el fraude antes de caer
El INCIBE recuerda que la la Seguridad Social no envía enlaces por SMS para actualizar datos ni para abonar prestaciones. La vía segura para los trámites es la aplicación IMPORTASS o la Sede Electrónica de la Seguridad Social, según el organismo.
El objetivo de la campaña es que la víctima entregue los datos de su tarjeta para recibir un ingreso que nunca llegará.
También conviene revisar el mensaje antes de pulsar. Las faltas de ortografía, los logos antiguos o incorrectos y las prestaciones inexistentes son señales de alerta. Las URL que no pertenecen al dominio oficial de la Seguridad Social deberían despejar cualquier duda.
Los mensajes de esta campaña juegan con la urgencia. La Seguridad Social no reclama pagos pendientes ni actualiza expedientes a través de mensajes de texto. Cualquier enlace que llegue por esa vía debe considerarse sospechoso.
Qué hacer si ya has facilitado tus datos
Si la persona ha llegado a introducir los datos personales o bancarios, lo primero es contactar con la entidad para bloquear la tarjeta y revisar cualquier movimiento no autorizado.
El INCIBE también propone seguir una serie de pasos:
- Contactar con la Línea de Ayuda en Ciberseguridad.
- Guardar capturas de pantalla, mensajes y enlaces maliciosos.
- Presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.
- Practicar egosurfing durante los meses siguientes para detectar si los datos se han filtrado.
La Línea de Ayuda en Ciberseguridad atiende en el teléfono 017, un servicio gratuito y confidencial. Este canal puede orientar a las víctimas sobre cómo frenar el fraude.
No es la primera vez que los ciberdelincuentes utilizan esta estrategia. El INCIBE ha documentado campañas similares que suplantan a la Seguridad Social y a otros organismos públicos. El patrón se repite: un SMS breve, un enlace y una supuesta prestación atractiva.
El impacto real puede traducirse en cargos no reconocidos en la cuenta y en la necesidad de anular tarjetas. Por eso, la recomendación de los organismos es desconfiar de cualquier mensaje que apremie a pulsar un enlace y comprobar siempre la información por canales oficiales.
Mientras la campaña siga activa, conviene revisar los mensajes con calma y avisar a personas del entorno que no suelen utilizar los canales oficiales. La prevención sigue siendo la herramienta más eficaz contra este tipo de engaños.
📌 El foco social: las claves
- 🔎 Qué es lo importante: El INCIBE alerta de una campaña de SMS que suplanta a la Seguridad Social.
- 👥 Quiénes son los afectados: Cualquier persona con móvil puede recibir el mensaje fraudulento.
- ➡️ Qué consecuencias puede traer: El fraude busca robar datos bancarios y autorizar pagos no deseados.
