Te llega un SMS de tu banco, en el mismo hilo donde recibes los códigos de siempre. Dice que han bloqueado tu tarjeta, que alguien ha entrado en tu cuenta desde otro dispositivo o que hay un cargo que no reconoces, y que pulses un enlace para solucionarlo. Lo haces, la página es igual que la de tu banco, metes tus claves… y al rato empiezas a sospechar. Si estás ahí ahora mismo, respira: le pasa a mucha gente, y todavía puedes hacer mucho.
A esto se le llama smishing, que es el phishing por SMS: un mensaje que se hace pasar por tu banco (BBVA, Santander, CaixaBank o cualquier otro) para que entres en una web falsa, llames a un número falso o instales una app que no deberías. Te contamos cómo saber si un SMS es falso, por qué te llega junto a los mensajes reales y qué hacer hoy si ya pulsaste el enlace o diste tus datos.
Respuesta rápida
Si diste tus claves o ha salido dinero, llama ya a tu banco por el número de su web o el que aparece detrás de tu tarjeta (nunca el del SMS), pide que bloqueen tarjetas y banca online y que intenten frenar las operaciones. Cambia tus claves, guarda capturas, denuncia y reclama por escrito. Si hicieron cargos que tú no ordenaste, la ley obliga al banco a devolvértelos salvo que pruebe fraude o negligencia grave. En muchos casos el dinero se recupera, sobre todo si actúas rápido.
En este artículo
- Cómo son los SMS falsos de bancos en España
- Por qué aparecen en el mismo hilo que los reales
- Cómo saber si un SMS es falso
- Si pulsaste el enlace o diste claves
- Llamar al banco y bloquear
- Cómo reclamar si te vaciaron la cuenta
- Imagina que te pasa esto
- Cómo protegerte
- Cuidado con la segunda estafa
- Cuándo pedir ayuda
Cómo son los SMS falsos de bancos en España
El smishing funciona porque un SMS parece algo serio y cercano: lo lees en segundos, casi siempre en el móvil y muchas veces con prisa. INCIBE lo explica en su página sobre smishing: mensajes que parecen venir de fuentes de confianza, como bancos o empresas de paquetería, con un enlace a una web fraudulenta o un número al que llamar, para que acabes dando tus claves, los datos de tu tarjeta o instalando una aplicación.
Los mensajes que más se repiten suenan más o menos así:
- «Se ha iniciado sesión desde un nuevo dispositivo. Si no has sido tú, verifica aquí». El enlace lleva a una copia de la web de tu banco que te pide usuario, clave y, al final, el código que te llega por SMS.
- «Tu tarjeta ha sido bloqueada» o «tienes que activar el nuevo sistema de seguridad». Misma trampa, con la excusa de que si no lo haces hoy te quedas sin tarjeta.
- «Se va a realizar una transferencia de varios miles de euros. Si no la reconoces, llama a este número». Aquí no hay enlace, hay un teléfono. INCIBE avisó de esta campaña de SMS que te pide que llames: al otro lado te atiende un supuesto departamento de seguridad que te guía en tu propia app hasta que mueves tu dinero a una «cuenta de respaldo».
- «Descarga la nueva app de seguridad». El enlace instala una aplicación que puede leer tus SMS o controlar el móvil a distancia.
Fíjate en que todos tienen lo mismo: miedo, prisa y algo que tienes que hacer desde el propio mensaje. Tu banco de verdad no trabaja así. BBVA, por ejemplo, explica que los SMS que envía no contienen enlaces y que nunca te contactará por SMS, email o llamada para que hagas o anules una operación.
Por qué aparecen en el mismo hilo que los reales
Esto es lo que más desconcierta, y es normal que te haya convencido. Tu móvil agrupa los SMS por el nombre del remitente, y ese nombre no es un número de teléfono, sino un texto, lo que técnicamente se llama alias. El Banco de España lo llama SMS spoofing: con algunas herramientas se puede enviar un SMS poniendo como remitente «BBVA» o el nombre de tu banco, y el teléfono lo coloca justo debajo de los mensajes reales con tus códigos.
Por suerte, en España esto se está cerrando. La Orden TDF/149/2025 creó un registro de alias que gestiona la CNMC, y desde el 15 de septiembre de 2026 los operadores tienen que bloquear los SMS que usen un nombre de remitente no inscrito en ese registro o enviados por quien no está autorizado a usarlo, y también los que llegan del extranjero con un alias español. Es un filtro muy útil, pero ningún sistema es perfecto y los estafadores cambian de táctica, así que la idea con la que quedarte es sencilla: que un SMS esté en el hilo de tu banco no demuestra que lo haya enviado tu banco.
Cómo saber si un SMS es falso
No necesitas ser experto. Si te paras diez segundos antes de tocar nada, casi siempre se nota:
- Lleva un enlace. Aunque se vea bien y empiece por algo parecido al nombre de tu banco. Un SMS que te manda a una web para «verificar» tus datos es la señal más clara.
- Te pide llamar a un número para anular algo. Si no has hecho esa operación, tu banco no necesita que lo llames tú para pararla.
- Te mete prisa. «Hoy», «en las próximas horas», «o se bloqueará tu cuenta». La urgencia está ahí para que no pienses.
- Te pide claves, el código que te acaba de llegar o instalar algo. Nadie legítimo te va a pedir eso por mensaje.
- Hay detalles raros: faltas de ortografía, tildes que faltan o un tono que no es el de tu banco. No siempre aparecen, así que su ausencia no significa que sea real.
Si tienes cualquier duda, no respondas al mensaje ni uses lo que trae. Abre tú la app de tu banco o escribe su dirección en el navegador, y si hay algo de verdad, lo verás ahí.
Si pulsaste el enlace o diste claves
Respira, porque lo que hagas ahora depende mucho de hasta dónde llegaste, y en casi todos los casos todavía hay margen:
- Solo abriste el enlace y cerraste la página. Normalmente no ha pasado nada grave. No rellenes nada, borra el mensaje y vigila los movimientos unos días.
- Metiste tu usuario y tu clave. Entra en la app oficial o en la web de tu banco escribiendo tú la dirección y cambia la clave cuanto antes. Si usas esa misma contraseña en otros sitios, cámbiala también.
- Diste los datos de la tarjeta o el código que te llegó por SMS. Con eso pueden hacer pagos o dar de alta tu tarjeta en otro móvil. Llama al banco ya para bloquear la tarjeta.
- Instalaste una app. Desinstálala, desconecta el móvil de internet un momento y cuéntaselo al banco, porque puede que hayan tenido acceso a tus mensajes o a tu pantalla.
- Llamaste al número del SMS. Si te guiaron para hacer transferencias o confirmar operaciones, cuelga y sigue los pasos de abajo. Te explicamos cómo funcionan estas llamadas en vishing y spoofing: llamadas falsas del «banco».
Que te haya pasado no te convierte en descuidado. Estos mensajes están hechos para parecer exactamente lo que esperas ver, y caen en ellos personas muy prudentes. Ahora lo importante es moverse rápido.
Llamar al banco y bloquear
Este es el paso que más pesa, así que conviene hacerlo bien:
- Llama tú al banco por el número de su web oficial o el que aparece detrás de tu tarjeta. Nunca uses el teléfono que venía en el SMS. Pide que bloqueen tarjetas, banca online y operaciones pendientes.
- Pide que intenten frenar o recuperar lo que ya ha salido. Si una transferencia todavía no ha llegado a la cuenta de destino o el dinero sigue allí, se puede parar. Anota la hora, con quién hablas y el número de incidencia.
- Cambia tus claves desde un dispositivo de confianza y revisa si han dado de alta algún dispositivo, beneficiario o tarjeta en tu banca online.
- Guarda todo: captura del SMS con el remitente y la hora, la dirección de la web falsa si la tienes, el registro de llamadas y los movimientos. Aunque el remitente fuera falso, sirve para la investigación.
- Denuncia en la Policía Nacional o en la Guardia Civil, que tiene denuncia electrónica. Te contamos cómo hacerlo en cómo denunciar una estafa online en España.
Cuanto antes avises, mejor para ti: la ley de servicios de pago pide comunicar las operaciones no autorizadas sin demora injustificada, y el plazo máximo es de 13 meses desde el cargo. No esperes a tener todo perfecto para llamar.
Cómo reclamar si te vaciaron la cuenta
Aquí mucha gente se rinde antes de tiempo, y no debería. En España las reglas están en el Real Decreto-ley 19/2018, y lo que más importa es distinguir dos situaciones:
- Si con tus claves o tu código hicieron cargos o transferencias que tú no ordenaste, son operaciones no autorizadas, que es lo más habitual en el smishing. El banco tiene que devolvértelas como tarde al final del día hábil siguiente a tu aviso, salvo que pruebe que actuaste con fraude o con negligencia grave, que es un descuido muy serio, mucho más que caer en un SMS que parecía de tu banco. El Ministerio de Consumo recuerda además que no basta con que el banco diga que se usaron tus claves.
- Si fuiste tú quien hizo la transferencia, porque te convencieron de que así protegías tu dinero, la devolución no es automática, pero hay camino: tu banco puede pedir al banco de destino que devuelva el dinero y, con la denuncia, un juzgado puede ordenar bloquearlo. Si te dijeron que la operación servía para parar un fraude, explícalo bien en la reclamación, porque tú no querías hacer ese pago, querías evitarlo.
Presenta la reclamación por escrito al servicio de atención al cliente de tu banco, contando qué operaciones no reconoces y cómo llegó el SMS. Si te dicen que no o no te responden en plazo, puedes acudir gratis al Servicio de Reclamaciones del Banco de España. Tienes los plazos y un modelo de escrito en fraude bancario: ¿el banco me devuelve el dinero?, y todas las vías según cómo salió el dinero en ¿se puede recuperar el dinero de una estafa online?.
Imagina que te pasa esto
Imagina que un martes por la noche te llega un SMS de «BBVA», justo debajo del último código que te mandó el banco de verdad. Dice que tu cuenta se ha bloqueado por un acceso desde otro dispositivo y que la verifiques en un enlace. Entras, la página es idéntica, pones tu usuario, tu clave y el código que te llega. A la mañana siguiente ves dos transferencias de 1.200 euros que tú no has hecho.
En un caso así, lo primero sería llamar al banco por su número oficial, bloquearlo todo y pedir que intenten frenar las transferencias. Ese mismo día, denunciar con capturas del SMS y de la web falsa, y reclamar por escrito explicando que esas operaciones no las ordenaste y que diste tus datos en una página que suplantaba a tu banco. Es solo un ejemplo, pero muestra lo que más ayuda: moverse rápido y contar con detalle cómo te engañaron.
Cómo protegerte
Si todavía no te ha pasado, unos pocos hábitos te dejan muy por delante:
- No entres nunca al banco desde un enlace de un SMS. Ni aunque esté en el hilo de siempre. Abre tú la app o escribe la dirección.
- Los códigos que te llegan son solo para ti. Si alguien te los pide, por mensaje o por teléfono, es una estafa.
- Si el SMS te pide llamar, no llames a ese número. Busca el teléfono oficial en la web de tu banco o en tu tarjeta.
- Lee lo que confirmas en la app. Si te dicen que estás «cancelando» algo y la pantalla pone «autorizar pago», cree a la pantalla.
- Activa las notificaciones de cada movimiento. Cuanto antes veas algo raro, antes lo paras.
- Cuéntalo en casa, sobre todo a las personas mayores. Saber que el banco no manda enlaces por SMS puede ahorrarles un disgusto enorme.
Si te queda la duda con un mensaje, puedes consultarlo gratis en el 017, la línea de ayuda en ciberseguridad de INCIBE, y avisar del fraude en su formulario de reporte. Reenviar el SMS a tu banco por sus canales oficiales también ayuda a que avisen a otros clientes.
Cuidado con la segunda estafa
Después de un smishing es muy habitual que vuelvan a contactarte. A veces se presentan como el propio banco o la policía y otras como una empresa que «recupera dinero estafado», y te piden un pago por adelantado para devolvértelo todo. Entendemos las ganas de arreglarlo ya, pero quien te garantiza el 100 % a cambio de pagar antes suele ser la segunda estafa. Antes de pagar a nadie, lee cómo detectar falsas empresas de recuperación.
Cuándo pedir ayuda
Si el banco te devuelve el dinero en uno o dos días, perfecto: guarda la documentación y sigue con la denuncia. Merece la pena que lo revise un profesional cuando el banco se niega o no contesta, cuando te acusan de negligencia grave, cuando el importe es importante o cuando la transferencia la hiciste tú y hay que moverse rápido para intentar bloquear el dinero en la cuenta de destino.
Somos abogados y peritos especialistas en estafas online, criptomonedas y delitos informáticos, y cada caso lo lleva un abogado o un perito. Revisamos contigo qué operaciones se hicieron, cómo encajan legalmente y qué pedirle al banco para que tu reclamación tenga fuerza. En muchos casos el dinero se recupera, sobre todo si actúas rápido. En Kironic hacemos todo lo posible por recuperar tu dinero: envíanos tu caso y lo miramos juntos.
