Smishing: ¿tu banco te envió un SMS o es una estafa?
Agosto 15, 20265 minutos
Seguridad Digital
El teléfono vibra. Un mensaje de texto aparece con el logo de tu banco, tu nombre y una alerta que dice que se detectó un cargo no reconocido en tu tarjeta. Hay un número para llamar o un enlace para "cancelar el cargo de inmediato". La redacción es correcta, el tono es institucional y la urgencia es real, pero no es tu banco, es un intento de fraude digital llamado smishing.
El smishing (SMS y phishing) no busca tu dinero directamente. Busca algo que vale más: tus credenciales, un usuario, una contraseña, un código de un solo uso o tus datos de tarjeta son la llave que abre todo lo demás, y una vez que esa llave se comparte, lo que pase después ya no depende de qué tan bueno sea tu banco protegiéndote, depende de qué tan rápido reacciones tú.
El SMS es un canal donde la gente baja la guardia porque lo asocia con avisos reales: confirmaciones, códigos, notificaciones. Esa confianza en el canal es exactamente lo que se explota. El atacante no necesita saber nada de ti; le basta con que el mensaje llegue a suficiente gente y que una parte pequeña reaccione desde el impulso, no desde la verificación.
Una variante que se ha vuelto común combina el mensaje con una llamada: el SMS anuncia un "intento de acceso sospechoso" y pide confirmar si fuiste tú. Si respondes que no, te llaman de inmediato simulando una "verificación de seguridad". El objetivo de toda la secuencia es el mismo: que en algún punto compartas información confidencial que normalmente no darías, porque para entonces ya sientes que estás siendo protegido, no atacado.
Un banco legítimo no envía enlaces de acción urgente por SMS. Esta regla no tiene excepciones. Si un mensaje te pide entrar a un link para ingresar datos, cambiar tu contraseña, confirmar una operación o "desbloquear" algo, es smishing, sin importar qué tan legítimo se vea el remitente. El nombre que aparece como remitente se puede falsificar igual que el número; que el mensaje llegue en la misma conversación donde ya tienes SMS reales de tu banco no prueba nada. Ante cualquier sospecha por un SMS no reconocible, cierra el mensaje, abre tu aplicación oficial directamente desde tu teléfono y verifica desde ahí. Es la única acción que confirma que estás hablando con la institución real y no con alguien que la está imitando.
Aquí está el punto que más se pasa por alto: si diste clic y escribiste una contraseña, esa contraseña ya está comprometida en cualquier otro lugar donde la hayas usado igual o parecida, no solo en tu banco. Cámbiala ahí y en cualquier otro sitio donde la reutilices (correo, redes sociales, otras apps) porque un atacante que obtiene una credencial suele probarla en varios servicios, no solo en el que la robó. Después de eso, entra a tu banco y revisa movimientos, bloquea la tarjeta si aplica, y reporta el incidente para que quede registrado. El orden importa: contener la exposición de la información viene primero, y la respuesta financiera es la consecuencia, no el punto de partida.
La idea que vale la pena quedarse: ninguna urgencia real te va a pedir un dato por un canal que no controlas. Si algo te hace sentir que debes actuar ya, esa sensación es la alerta, no la instrucción.
Recibir un mensaje de texto que alerta sobre un supuesto problema bancario genera alarma de inmediato. Sin embargo, antes de reaccionar o hacer clic en cualquier lugar, hazte estas preguntas para confirmar en segundos si se trata de un fraude:
¿Te piden entrar desde un enlace en vez de abrir tu app directamente?
Ningún trámite urgente ni validación oficial requiere que ingreses a través de una liga externa adjunta en un mensaje de texto.
¿El mensaje te presiona con un límite de tiempo para actuar?
La urgencia es la herramienta favorita de los ciberdelincuentes para infundir miedo y evitar que pienses con claridad.
¿Te solicitan contraseñas, códigos de seguridad o datos personales por texto o llamada?
Esos datos son confidenciales. Tu banco nunca te pedirá tus claves por esta vía, sin importar la situación.
¿Existe algún canal legítimo donde tu banco solicite esta información?
Sin importar qué tan convincente luzca el mensaje o qué tan real parezca el remitente, los protocolos bancarios prohíben estrictamente pedir credenciales por SMS.
Cierra el mensaje. No respondas, no le des clic en el enlace, no marques al número que aparece ahí.
Verifica directamente desde tu app, abierta por tu cuenta, nunca desde el enlace.
Si tienes duda, llama al número impreso en tu tarjeta o en tu app, nunca al del mensaje.
Un mensaje puede parecer autentico y confiable, pero tus datos solo son tuyos hasta que los compartes después, ya no puedes decidir a dónde van.
¡Conoce cómo financiarte con Kapital!
Recibe la llamada de un asesor
