Estafas SMS en Espana: como detectar mensajes falsos de Correos, bancos y Hacienda

Las estafas por SMS, conocidas como smishing, se han convertido en una de las formas de fraude más extendidas en España. Además de los conocidos mensajes falsos de entrega de Correos, los estafadores suplantan ahora a bancos (Santander, BBVA), a la Agencia Tributaria, a compañías de suministros y a empresas de mensajería como MRW y SEUR.

Un panorama de smishing en expansión

Entidad suplantada	Mensaje típico	Objetivo
Correos	«No hemos podido entregar su paquete. Pague las tasas de aduana: [enlace]»	Robo de tarjetas de crédito
Santander/BBVA	«Detectado acceso no autorizado. Verifique: [enlace]»	Credenciales bancarias
Agencia Tributaria	«Tiene una devolución de impuestos pendiente. Solicítela aquí: [enlace]»	Robo de identidad o financiero
MRW/SEUR	«Entrega reprogramada. Confirme su dirección: [enlace]»	Robo de datos personales
Compañía eléctrica o de gas	«Detectado un cobro de más. Solicite el reembolso: [enlace]»	Robo de tarjetas de crédito
DGT (tráfico)	«Multa pendiente. Pague en 24 h: [enlace]»	Robo financiero

Cómo funciona el smishing

El lado técnico

Los estafadores usan servicios de suplantación de SMS que pueden:

• Mostrar cualquier nombre de remitente (por ejemplo, «BBVA» o «Correos»)
• Insertar mensajes falsos en hilos de conversación legítimos
• Enviar millones de mensajes a la vez con un coste bajo
• Dirigirse a zonas geográficas concretas

El lado psicológico

Todo mensaje de smishing se apoya en:

• Urgencia: «24 horas para responder» o «su cuenta será cerrada»
• Autoridad: suplantar a instituciones de confianza
• Importes pequeños: pedir de 1 a 3 EUR no despierta sospechas
• Miedo: avisos de accesos no autorizados o multas impagadas

Nuevos vectores en 2025-2026

Mensajes falsos de la Agencia Tributaria

La campaña de la renta trae una oleada de SMS falsos de Hacienda:

• «Su devolución del IRPF de 278,50 EUR está lista. Solicítela: [enlace]»
• «Error en su declaración de la renta. Corríjalo de inmediato: [enlace]»

La Agencia Tributaria real nunca envía enlaces de devolución por SMS.

Phishing de compañías de suministros

Mensajes falsos de eléctricas (Iberdrola, Endesa) y compañías de gas:

• «Cobro de más en su última factura. Solicite el reembolso: [enlace]»
• «Corte de suministro programado. Actualice su método de pago: [enlace]»

Más empresas de mensajería suplantadas

Además de Correos, los estafadores suplantan ahora a:

• MRW
• SEUR
• GLS
• Amazon Logistics

Cómo identificar el smishing

Señales de alerta universales

1. Contiene un enlace: las organizaciones legítimas rara vez envían enlaces por SMS
2. Pide un pago: ninguna empresa real pide pagos a través de un enlace en un SMS
3. Genera urgencia: «actúe en 24 horas» o «se requiere acción inmediata»
4. Saludo genérico: «Estimado cliente» en lugar de tu nombre
5. URL sospechosa: no es el dominio oficial de la empresa

Cómo verificarlo

• Abre directamente la app o la web oficial de la empresa (nunca desde el enlace del SMS)
• Llama a la empresa al número que figura en su web oficial
• Consulta el estado de tu cuenta a través de los canales oficiales

Cómo denunciar el smishing

Paso	Acción	Contacto
1	No hagas clic en ningún enlace	Borra el mensaje
2	Informa a INCIBE	Llama al 017 (gratuito)
3	Denuncia ante la Policía Nacional	Si has sufrido pérdidas económicas
4	Reenvíalo a tu operadora	Algunas operadoras aceptan avisos de spam
5	Avisa a la empresa suplantada	A través de sus canales oficiales

Protege tu información

Nunca compartas información personal o financiera por SMS. Para compartir datos delicados de forma segura con contactos de confianza, usa LOCK.PUB y crea enlaces protegidos con contraseña (caducidad automática con Pro) en lugar de enviar la información por WhatsApp o SMS, precisamente los canales que explotan los estafadores.

Mantente a salvo

El smishing en España sigue evolucionando, con nuevas entidades suplantadas y mensajes cada vez más convincentes. La regla de oro sigue siendo la misma: nunca hagas clic en los enlaces de un SMS y verifica siempre a través de los canales oficiales. Denuncia los mensajes sospechosos a INCIBE en el 017: tu aviso ayuda a proteger a otras personas.

LOCK.PUB ofrece una alternativa segura para compartir información delicada sin depender de los SMS ni de apps de mensajería sin cifrar.