SMS falsos de tu banco que aparecen junto a los reales: cómo detectarlos

Qué tiene de diferente esta nueva estafa respecto a las anteriores

La versión anterior del smishing, que es el nombre técnico de las estafas por SMS, era relativamente fácil de identificar si sabías qué mirar: un número desconocido, un enlace con una URL rara llena de guiones, y un texto con alguna errata. La nueva versión ha corregido casi todos esos fallos. Los mensajes llegan dentro del mismo hilo de conversación donde tu banco real te ha enviado notificaciones anteriores. Sí, dentro del mismo hilo. Eso es lo que hace que tanta gente caiga.

¿Cómo consiguen colocarse en ese hilo? Falsificando el nombre del remitente (el «alias») para que aparezca igual que el de tu banco. No necesitan hackear nada: el móvil agrupa los mensajes por ese nombre y el mensaje fraudulento queda mezclado con los avisos legítimos. Para atajarlo, desde el 15 de septiembre de 2026 los operadores deben bloquear los SMS con alias no inscritos en el Registro de Alias de la CNMC. Eso dificulta esta técnica, pero no impide que los mensajes falsos sigan llegando desde números de teléfono corrientes.

El contenido del mensaje también ha evolucionado. Ya no dicen cosas como «has ganado un premio». Ahora simulan alertas de seguridad creíbles: un acceso no autorizado desde otro dispositivo, una transferencia retenida pendiente de verificación o un bloqueo preventivo de tu tarjeta. Generan urgencia sin que suene a timo. Y adjuntan un enlace a un dominio que imita al del banco, a veces con una letra cambiada o palabras añadidas que en el móvil pasan desapercibidas.

Las señales que sí puedes ver antes de hacer clic

Aunque la estafa es sofisticada, no es perfecta. Hay detalles que la delatan si sabes dónde mirar. El primero y más importante: tu banco nunca te va a pedir que introduzcas tu contraseña, tu PIN ni tu clave de firma a través de un enlace que llega por SMS. Nunca. Esa es la regla de oro y no tiene excepciones. Si el mensaje te lleva a una página donde te piden esos datos, es una estafa sin importar lo convincente que parezca.

El segundo indicador: fíjate en la URL antes de tocarla. En el móvil, los enlaces se acortan y no se ve bien el dominio completo. Antes de hacer clic, mantén pulsado el enlace en iPhone o Android para ver la URL completa. Si el dominio no es exactamente el oficial de tu banco, sin subdominios extraños ni extensiones raras, no entres. Un ejemplo orientativo: si tu banco es 'mibancoejemplo.es', un dominio como 'seguridad-mibancoejemplo-verificacion.com' es una señal de alarma clara.

El tercer elemento a revisar es la urgencia artificial. Los mensajes legítimos de los bancos no te presionan con frases como 'tienes 30 minutos para verificar o perderás el acceso'. Esa presión temporal es una técnica psicológica deliberada para que no pienses y actúes impulsivamente. Si sientes esa presión, es precisamente el momento de frenar, cerrar el mensaje y llamar directamente a tu banco por el número que tienes en la parte de atrás de tu tarjeta o en la app oficial.

Qué hacer si ya has hecho clic (o algo peor)

Si has pinchado el enlace pero no has introducido ningún dato, lo más probable es que no haya pasado nada grave. Aun así, conviene que cambies las contraseñas de tu banca online por precaución y actives la autenticación en dos pasos si no la tienes. También es recomendable revisar los movimientos de tu cuenta durante los días siguientes con más atención de lo habitual.

Si has llegado a introducir tu contraseña, tu número de tarjeta o cualquier código de verificación, actúa en los próximos minutos, no en las próximas horas. Llama de inmediato a tu banco por el número oficial para bloquear el acceso y la tarjeta. Si hay cargos que tú no autorizaste, el Real Decreto-ley 19/2018 de servicios de pago obliga al banco a devolverlos como tarde al final del día hábil siguiente a que se lo comuniques, salvo que tenga motivos razonables para sospechar fraude por tu parte, y es el banco quien tiene que probar que actuaste con negligencia grave. Avisa sin demora y nunca más tarde de 13 meses desde el cargo. Si fuiste tú quien hizo la transferencia, aunque fuera engañado, el banco puede tratarla como autorizada y la devolución deja de ser automática.

Además de actuar con tu banco, denuncia en comisaría de la Policía Nacional, en un puesto de la Guardia Civil o ante la policía autonómica, con capturas, números y justificantes. Si dudas sobre qué hacer, llama al 017, la Línea de Ayuda en Ciberseguridad de INCIBE, gratuita y confidencial. Si el banco no te devuelve el dinero, reclama por escrito a su servicio de atención al cliente, que tiene 15 días hábiles para responder en servicios de pago, y después ante el Banco de España. Puedes consultar los casos más activos en nuestra sección de alertas de estafas financieras.

Actualización octubre 2026: dos protecciones nuevas

Desde el 15 de septiembre de 2026 los operadores deben bloquear los SMS cuyo remitente use un alias no inscrito en el registro de la CNMC. Es una barrera útil contra los mensajes que se cuelan en el hilo de tu banco, pero no te protege de los que llegan desde un número normal, por WhatsApp o por llamada: que el remitente parezca legítimo nunca es prueba de nada.

Si después del SMS te llaman para que muevas tu dinero a una «cuenta segura», recuerda que desde el 9 de octubre de 2025, antes de cada transferencia en euros, tu banco comprueba gratis si el nombre del beneficiario coincide con el titular del IBAN (verificación del beneficiario). Si la app te avisa de que no coincide, no envíes el dinero. INCIBE recoge ejemplos de estos mensajes en su aviso sobre la suplantación de entidades bancarias.

El vínculo entre esta estafa y las matrículas universitarias de junio

Junio tiene una particularidad financiera que los estafadores conocen perfectamente: es el mes en que muchas familias mueven más dinero de lo habitual. Matrículas universitarias, pagos de cursos de verano, reservas de vacaciones, el fin del curso escolar. Hay más transferencias, más operaciones, más momentos en los que uno espera recibir confirmaciones o alertas de su banco. Y eso crea el caldo de cultivo ideal para que un SMS fraudulento parezca completamente normal.

Si este mes estás gestionando el pago de una matrícula universitaria y necesitas liquidez adicional, hay opciones legítimas y seguras que conviene conocer antes de tomar decisiones apresuradas. Algunas universidades permiten fraccionar el pago en cuotas sin coste. Otras aceptan aplazamientos con justificación económica. Y si necesitas un respaldo financiero externo, existen opciones como los préstamos sin intereses para nuevos clientes o los microcréditos online diseñados para cubrir gastos puntuales de este tipo. También puedes leer nuestra guía sobre cómo financiar los gastos universitarios sin recurrir a opciones que te puedan salir caras a largo plazo.

Lo que nunca deberías hacer es facilitar datos bancarios en una página a la que hayas llegado desde un SMS, aunque sea para pagar la matrícula. Las plataformas legítimas de pago universitario siempre tienen sus propias pasarelas de pago accesibles desde la web oficial de la universidad, no desde un enlace en un mensaje. Si recibes un SMS que te pide pagar la matrícula o actualizar datos de cobro, verifica siempre accediendo directamente a la web de la universidad, no a través del enlace recibido. Y si tienes dudas sobre si un mensaje es real, la única llamada que vale es la que haces tú al número oficial, no la que te piden que hagas ellos. También puedes revisar los riesgos de financiar la matrícula con tarjetas revolving para tener una visión completa de las trampas financieras más comunes en esta época del año.

Corrección (2 de octubre de 2026): se ha corregido quién debe probar la negligencia en los cargos no autorizados (es el banco, no el cliente), se ha retirado una referencia a un supuesto análisis propio que enlazaba a este mismo artículo y se han añadido el bloqueo de alias de la CNMC y la verificación del beneficiario.