SMS fraudulentos: cómo reconocer los falsos mensajes de Correos, la DGT, Hacienda o tu banco

Los SMS fraudulentos funcionan porque se parecen a los que recibimos a diario: un envío, una multa, un aviso del banco o una devolución. La trampa es el enlace: lleva a una copia convincente de una web real que pide "pequeños gastos", el número de tu tarjeta o tus claves. Según el INCIBE, en 2025 el phishing encabezó los fraudes online con 25.133 casos, y el 28 % de las consultas a su línea 017 tuvieron que ver con phishing, vishing o smishing.

Los SMS fraudulentos más habituales

• Un paquete retenido: "no se han pagado las tasas de aduana" o "falta el número de la calle", según los ejemplos del INCIBE. Correos lo llama "un clásico".
• Una multa de tráfico pendiente de pago.
• Una devolución de Hacienda: la Agencia Tributaria recoge, por ejemplo, un SMS de abril de 2026 que prometía un reembolso.
• Una deuda o una actualización de datos de la Seguridad Social.
• Tu banco, que avisa de una operación sospechosa y te pide confirmar o llamar.

Ojo: el INCIBE advierte de que cada vez es más frecuente que el remitente esté suplantado, y el Banco de España explica que un SMS falso puede aparecer en el mismo hilo donde antes llegaron los mensajes reales del banco.

Qué hacen, y qué no hacen, las entidades de verdad

• Correos nunca te pedirá tus datos bancarios por ningún medio, ni pagos por correo o SMS; sus comunicaciones oficiales salen de [email protected], y puedes consultar un mensaje dudoso en el 915 197 197.
• La DGT nunca notifica sus multas por correo electrónico: llegan por carta certificada o se publican en el tablón edictal. Solo quien se ha dado de alta en la Dirección Electrónica Vial (DEV) puede recibir un aviso por SMS o correo, que se limita a pedirte que entres en la DEV.
• La Agencia Tributaria nunca pide por correo, SMS o Bizum números de cuenta ni de tarjeta; aconseja entrar directamente en su Sede electrónica y no usar los enlaces de los mensajes.
• La Seguridad Social no pide el pago de deudas ni la actualización de datos con enlaces enviados por SMS.
• Tu banco nunca te pedirá contraseñas o claves completas, y no necesita ningún código para anular una supuesta operación fraudulenta. Si te llaman, cuelga y llama tú al número que conoces.

Además, la CNMC ha creado un registro de alias para los remitentes de SMS: desde el 15 de septiembre de 2026, los operadores deben bloquear los mensajes enviados con alias no registrados. Ayuda, pero no sustituye a tu propia comprobación.

Cómo comprobarlo sin pulsar el enlace

1. No pulses el enlace, no respondas al SMS y no llames al número que aparece.
2. Abre tú la app o la web oficial (tu banco, Correos, la Sede de la Agencia Tributaria, la DEV de la DGT) y busca allí el mismo aviso.
3. Para un paquete, usa el número de seguimiento en la web de la empresa de mensajería o pregunta al remitente si de verdad te ha enviado algo.
4. Si dudas, llama a la entidad a un número que ya conozcas, por ejemplo el del dorso de tu tarjeta.

Dónde avisar y denunciar

• Si no pulsaste el enlace, el INCIBE pide reportar el mensaje a su buzón de incidentes ([email protected]), bloquear al remitente y borrar el SMS.
• Para dudas o ayuda, llama al 017, la línea gratuita y confidencial del INCIBE, todos los días de 8:00 a 23:00 (también por WhatsApp en el 900 116 117).
• Si has sufrido un fraude, denuncia ante la Policía Nacional o la Guardia Civil. La denuncia online de la Guardia Civil con firma electrónica no necesita ratificación posterior; la de la Policía Nacional hay que firmarla en comisaría en un plazo máximo de 72 horas.

Si pulsaste, pagaste o diste tus datos

1. Llama de inmediato a tu banco para bloquear la tarjeta y las operaciones sospechosas.
2. Cambia las contraseñas de las cuentas que hayas podido comprometer, y donde uses la misma, y activa la verificación en dos pasos.
3. Haz "egosurfing", como recomienda el INCIBE: busca información sobre ti en internet para ver si tus datos circulan.
4. Denuncia ante la Policía Nacional o la Guardia Civil y guarda las pruebas (capturas, número del remitente, justificantes).
5. Desconfía de una llamada posterior de un "empleado del banco" o de un "departamento de fraude": suele ser la segunda parte de la misma estafa.

¿Puede ayudar un antivirus?

En parte. El INCIBE aconseja considerar un software de seguridad móvil que ayude a detectar el smishing y mantener actualizados el sistema y las apps. Varias suites añaden la comprobación de enlaces y SMS: es una red de seguridad útil, sobre todo para los familiares con menos soltura. Pero nada sustituye la costumbre de comprobarlo en la web o la app oficial antes de pagar nada.

El mensaje no es la estafa. El enlace, sí. Entra siempre tú en la web de verdad.