Estafas por SMS y WhatsApp: cómo detectarlas antes de caer
Un SMS de tu banco avisando de un cargo que no reconoces. Un mensaje de un número desconocido que empieza con "Hola mamá". Un aviso de que tu paquete está retenido por no pagar un euro de aduanas. Todos parecen urgentes, y justamente esa es la trampa.
Las estafas por mensaje funcionan porque llegan al móvil, donde leemos rápido y con prisa. Los delincuentes copian logotipos, nombres de empresas reales e incluso consiguen que el SMS aparezca en el mismo hilo que los mensajes auténticos de tu banco.
En esta guía repasamos los engaños más frecuentes en España y Latinoamérica, las señales que los delatan y qué hacer si ya has caído. Nadie está a salvo del todo, así que conviene conocerlos bien.
Por qué funcionan tan bien
Los estafadores no buscan a gente despistada, buscan momentos de despiste. Sus mensajes juegan con tres emociones:
- Urgencia: "tu cuenta será bloqueada en 24 horas".
- Miedo: "se ha detectado un acceso sospechoso".
- Cariño o preocupación: "mamá, se me ha roto el móvil y necesito ayuda".
A esto se suma una técnica llamada suplantación de remitente. Permite que un SMS parezca enviado por tu banco, Correos o la DGT, y que aparezca junto a mensajes reales de esa entidad. Por eso el nombre del remitente, por sí solo, no garantiza nada.
La estafa del "Hola mamá" o del familiar en apuros
Es una de las más extendidas por WhatsApp. INCIBE la describe como la estafa del familiar en apuros, y suele seguir este guion:
- Recibes un mensaje de un número desconocido: "Hola mamá, se me ha caído el móvil al agua y este es mi número nuevo".
- La conversación sigue con naturalidad, a veces con faltas de ortografía o sin tildes.
- Al poco, aparece un problema urgente: una factura que vence hoy, una compra que no puede pagar porque su banca está bloqueada.
- Te pide una transferencia o un Bizum a una cuenta que no es la suya "solo por esta vez".
Cómo desmontarla: llama al número antiguo de tu hijo o hija, o hazle una pregunta que solo esa persona sabría responder. Si no puedes contactar, no pagues. Un familiar real puede esperar diez minutos.
Sigue leyendo
Mira un anuncio corto para desbloquear el resto de esta guía. Así nuestro contenido sigue siendo gratis.
Si no hay anuncio disponible, el artículo se desbloquea automáticamente.
Paquetes retenidos, multas y avisos oficiales falsos
Otro clásico es el mensaje que suplanta a una empresa de mensajería o a un organismo público. Los más comunes:
- Paquetería: Correos, SEUR, DHL o GLS en España; DHL, Estafeta o Correos de México; Correo Argentino y otras en el resto de Latinoamérica. Te piden pagar gastos de envío o aduanas mínimos para liberar el paquete.
- Multas de tráfico: SMS que suplantan a la DGT con un enlace para pagar una multa "con descuento".
- Hacienda: mensajes falsos de la Agencia Tributaria o del SAT en México anunciando una devolución o una deuda.
El objetivo casi nunca es el euro o el peso que te piden. Es que escribas los datos completos de tu tarjeta en una web falsa. Con ellos harán cargos mucho mayores.
Smishing bancario: el más peligroso
El smishing es el nombre técnico del fraude por SMS. En su versión bancaria, el mensaje avisa de un acceso sospechoso o un cargo raro, e incluye un enlace a una web idéntica a la de tu banco. Allí te piden usuario, contraseña y el código que te llega por SMS.
A veces va un paso más allá. Minutos después te llama alguien que dice ser del departamento de seguridad del banco, con un número que parece real, y te pide que "confirmes" una operación o que traslades tu dinero a una "cuenta segura".
Recuerda estas tres reglas:
- Tu banco nunca te pedirá claves ni códigos por SMS, WhatsApp, correo ni teléfono.
- Ninguna cuenta segura existe para proteger tu dinero de un fraude. Es siempre la cuenta del estafador.
- Si dudas, cuelga y llama tú al número que aparece en tu tarjeta o en la app oficial del banco.
Otras variantes que conviene conocer
| Estafa | Cómo llega | Qué buscan | Señal de alarma |
|---|---|---|---|
| Hola mamá / familiar en apuros | WhatsApp desde número nuevo | Transferencia o Bizum | Urgencia y cuenta de un tercero |
| Paquete retenido | SMS con enlace | Datos de tarjeta | No esperabas ningún envío o el importe es ridículo |
| Aviso bancario falso | SMS y luego llamada | Claves y códigos | Te piden el código que te llega por SMS |
| Código de WhatsApp | Mensaje de un "amigo" | Robar tu cuenta | Te piden reenviar un código de 6 cifras |
| Solicitud de Bizum | Compraventa de segunda mano | Que aceptes un pago en vez de cobrar | Recibes una "solicitud", no un ingreso |
| Oferta de empleo | WhatsApp de "reclutadora" | Pagos por adelantado o datos | Sueldo alto por dar "me gusta" o tareas simples |
La estafa del código de WhatsApp merece atención especial. Si alguien te pide el código de verificación que te acaba de llegar, aunque sea un contacto tuyo, no se lo des. Con él pueden quedarse con tu cuenta y usarla para estafar a todos tus contactos.
Señales rápidas para desconfiar
Si no tienes claro si un mensaje es real, repasa esta lista. Con que se cumpla una sola, lo más prudente es no pulsar nada:
- El enlace no lleva a la web oficial, o usa un dominio raro con letras y números.
- Te meten prisa con plazos muy cortos.
- Te piden datos que la empresa ya tiene, como tu DNI, tu tarjeta o tus claves.
- El mensaje llega de un número normal de móvil en lugar de un remitente de empresa.
- La historia no encaja: no esperabas ningún paquete o no tienes cuenta en ese banco.
Ante la duda, entra tú mismo en la app oficial o llama al número de siempre. Nunca uses los datos de contacto que vienen en el propio mensaje.
Cómo protegerte desde hoy
Unos pocos ajustes reducen mucho el riesgo:
- Activa la verificación en dos pasos de WhatsApp en Ajustes > Cuenta > Verificación en dos pasos. Elige un PIN que no uses en otro sitio.
- Silencia las llamadas de desconocidos en WhatsApp desde Ajustes > Privacidad > Llamadas.
- Usa la app oficial del banco para consultar movimientos, no los enlaces de los SMS.
- Activa las notificaciones de cargos en tu banco para detectar cualquier movimiento raro al momento.
- Habla de estas estafas con tus padres, abuelos e hijos. Una charla de cinco minutos puede evitar un disgusto enorme.
Qué hacer si ya has picado
No te culpes: estas estafas están muy bien diseñadas. Lo importante es actuar rápido.
- Llama a tu banco de inmediato para bloquear tarjetas y cancelar operaciones si aún es posible.
- Cambia las contraseñas que hayas escrito en la web falsa.
- Guarda las pruebas: capturas del mensaje, número del remitente y justificantes.
- Denuncia. En España, ante la Policía Nacional o la Guardia Civil. En México puedes acudir a la policía cibernética de tu estado y, si el problema es con tu banco, a la CONDUSEF. En otros países, a la policía o la fiscalía.
- Pide ayuda gratuita. En España, el 017 de INCIBE te orienta paso a paso. Funciona todos los días de 8:00 a 23:00, también por WhatsApp en el 900 116 117 y por Telegram en @INCIBE017.
- Avisa a tus contactos si te han robado WhatsApp o redes sociales.
Preguntas frecuentes
¿Pueden robarme solo por abrir un SMS?
Leer un SMS no es peligroso en un móvil actualizado. El riesgo está en pulsar el enlace y, sobre todo, en escribir tus datos o instalar lo que te pidan.
¿Cómo saben mi nombre o mi banco?
A veces por filtraciones de datos de empresas, y otras veces no lo saben: envían miles de mensajes y aciertan por pura estadística.
¿Tengo que responder "STOP" o "baja"?
No respondas nunca. Contestar confirma que el número está activo y puedes recibir más intentos. Bloquea y borra.
¿Si pagué con Bizum puedo recuperar el dinero?
Es difícil, porque es inmediato, pero llama a tu banco cuanto antes y denuncia. Cuanto más rápido actúes, más opciones tendrás.