Estafas por SMS y WhatsApp: cómo reconocer falsos mensajes de paquetería, bancos y premios

Te llega un mensaje al móvil: «Su paquete no ha podido entregarse por una dirección incompleta. Pulse aquí para actualizar sus datos». Si de verdad esperas un pedido, el mensaje resulta muy creíble. Pulsas el enlace, se abre una página muy parecida a la de la empresa de paquetería real y te piden los datos de la tarjeta para pagar unos pequeños «gastos de reenvío».

Esta técnica se llama smishing (SMS + phishing), es decir, suplantación por SMS. Las mismas trampas se tienden por WhatsApp, Telegram, correo electrónico y redes sociales. En esta guía explicamos los escenarios más comunes, cómo reconocer mensajes y webs falsas y qué hacer si ya has pulsado un enlace.

Los tipos de mensaje falso más comunes

Falsos mensajes de paquetería y aduanas

«Su paquete está retenido en aduanas, debe pagar las tasas», «Entrega fallida, actualice su dirección». Son muy frecuentes en épocas de muchas compras.

Falsos mensajes del banco

«Su cuenta ha sido bloqueada por motivos de seguridad», «Se ha realizado una operación sospechosa con su tarjeta, pulse para cancelarla», «Sus puntos de recompensa están a punto de caducar».

Falsos mensajes de organismos públicos

Mensajes falsos sobre devoluciones de Hacienda, multas de tráfico, la Seguridad Social o ayudas públicas. «Tiene una devolución de 245 € pendiente, pulse aquí para cobrarla».

Mensajes de premios y sorteos

«¡Enhorabuena! Ha ganado un iPhone en nuestro sorteo, solo tiene que pagar el envío». No hay premio en un concurso en el que no sabías que participabas.

Falsas ofertas de empleo y dinero fácil

«Gane 150 € al día desde casa», «Gane dinero solo dando “me gusta” a productos». Estas ofertas suelen ganarse tu confianza primero con pequeños pagos y después te piden ingresar dinero para una «tarea».

Mensajes que parecen de alguien conocido

«Mamá, se me ha roto el móvil, este es mi número nuevo. Tengo que hacer un pago urgente, luego te cuento». En este escenario, el estafador se hace pasar por un familiar.

Cómo roban las cuentas de WhatsApp

Las cuentas de WhatsApp son valiosas para los estafadores: desde una cuenta robada se pueden enviar peticiones de dinero a todos los contactos.

• La trampa del código: «Te he enviado un código de 6 dígitos por error, ¿me lo reenvías?». Ese código es en realidad el de verificación para instalar tu cuenta de WhatsApp en otro móvil. El mensaje suele venir de la cuenta, ya robada, de un amigo.
• Falsos mensajes de soporte: «Soporte de WhatsApp: su cuenta será cerrada, comparta el código para verificarla». WhatsApp no te escribe así.
• Falsos enlaces de encuestas y sorteos: enlaces compartidos en grupos que piden los datos de acceso.

8 formas de reconocer un mensaje falso

1. Urgencia y amenazas: «en 24 horas», «su cuenta será bloqueada», «último día». Las entidades reales no te meten tanta prisa.
2. Un premio o una deuda inesperados: un premio, una devolución o una multa que no conocías.
3. Lleva un enlace: las entidades no suelen enviar enlaces por SMS para pagos o actualizar datos; te piden que entres en su app o su web.
4. Una dirección extraña: el enlace no coincide con la dirección conocida, por ejemplo algo como «envio-paquete-es.xyz» para una empresa de paquetería.
5. Saludo impersonal: «Estimado cliente» o ningún saludo.
6. Faltas de ortografía: no siempre aparecen, pero son una señal frecuente.
7. Piden datos de la tarjeta, contraseñas o códigos: nunca se piden por mensaje ni en un formulario detrás de un enlace.
8. Un número extranjero o raro: números internacionales o mensajes «oficiales» desde números de móvil normales.

Cómo reconocer una web falsa

Si has pulsado un enlace y se ha abierto una página, comprueba esto antes de escribir nada:

• Lee con atención la barra de direcciones. Las webs falsas se parecen mucho a la real: letras cambiadas («rn» en lugar de «m»), palabras añadidas («-seguridad», «-soporte», «-pago») o terminaciones distintas (.xyz, .top, .online).
• El candado no basta. El candado (https) solo indica que la conexión está cifrada, no que la web sea de fiar. La mayoría de las webs falsas también usan https.
• Cuidado si te piden más datos de los necesarios. Que te pidan juntos el número de tarjeta, la caducidad, el código de seguridad y un código SMS para una entrega es una gran señal de alarma.
• Si dudas, cierra la web y abre la app oficial de la entidad o escribe tú mismo su dirección.

La regla de oro: no pulses, ve tú

Ante cualquier mensaje que diga venir de una entidad, el método más seguro es: no uses el enlace del mensaje. En su lugar:

• Abre la app oficial de tu banco.
• Escribe tú el número de seguimiento en la web oficial de la empresa de paquetería.
• Entra en la sede electrónica de la Agencia Tributaria escribiendo tú mismo la dirección.
• Si dudas, llama a la entidad a un número oficial que conozcas.

Si de verdad hay un problema, también lo verás en el canal oficial.

Qué hacer si has pulsado un enlace

Sin pánico; actúa paso a paso:

Si solo pulsaste y no escribiste nada

• Cierra la página.
• Si se descargó una app o un archivo desconocido (sobre todo un .apk en Android), no lo abras y bórralo.
• Pasa un análisis de seguridad al móvil.

Si escribiste los datos de la tarjeta

• Llama enseguida a tu banco y bloquea la tarjeta.
• Revisa los movimientos y reclama los cargos que no reconozcas.

Si escribiste una contraseña

• Cambia enseguida la contraseña de esa cuenta.
• Cámbiala también en otras cuentas donde usaras la misma.
• Activa la verificación en dos pasos.

Si compartiste un código o instalaste una app

• Llama a tu banco y explica lo ocurrido.
• Desinstala la app. Si era una app de control remoto, desconecta el móvil de internet y habla con tu banco.
• Si hace falta, plantéate restablecer el móvil de fábrica.

En todos los casos

• Denuncia: en España, la línea 017 de INCIBE te ayuda gratis y de forma confidencial, y puedes reportar fraudes en su web. Si has perdido dinero, denuncia ante la Policía Nacional o la Guardia Civil. Fuera de España, usa el servicio nacional de denuncia de fraudes de tu país.
• Guarda las pruebas: guarda una captura del mensaje, el número del remitente y la dirección de la web.

Para niños y adolescentes

Los niños también son objetivo de estas trampas: moneda de juego gratis, suscripciones gratis, falsos sorteos. Enséñales: «Cualquier mensaje que prometa algo gratis y te pida tus datos o tu contraseña es una trampa. Enséñamelo antes de pulsar». Encontrarás más información en nuestro artículo sobre seguridad en juegos online.

Cómo ayuda Koriva

La comprobación de enlaces y el filtro web de Koriva bloquean las webs de phishing conocidas; si la familia quiere, también las webs para adultos y de apuestas. Esta protección funciona en Android y en iPhone. El filtro web solo filtra direcciones; no lee ni guarda el contenido de las páginas visitadas. En Android, además, se avisa a la familia de enlaces sospechosos en los mensajes que recibe el niño. Aun así, ninguna lista conoce al instante cada web falsa nueva, así que la regla «no pulses, ve tú» sigue valiendo siempre.

Conclusión

Las estafas por SMS y WhatsApp cambian constantemente de guion, pero usan siempre las mismas tácticas: urgencia, miedo o promesa de ganancia, y un enlace. Ir tú mismo al canal oficial en lugar de pulsar el enlace, no compartir nunca los códigos de verificación y activar la verificación en dos pasos en WhatsApp dejan sin efecto casi todas estas trampas.

Para las estafas telefónicas, lee también nuestro artículo sobre la estafa del falso policía.