SMS y llamadas fraudulentos: cómo reconocer el smishing y el vishing

Un SMS que dice ser de tu banco o de una empresa de paquetería, una llamada que te urge a actuar: son formas muy comunes de fraude. No son lo mismo que las llamadas comerciales molestas pero legales, de las que hablamos en otro artículo; aquí se trata de intentos de engaño. Esta guía resume las páginas de la Oficina de Seguridad del Internauta y del INCIBE sobre smishing y vishing.

Smishing: el fraude por SMS

El INCIBE explica que el smishing llega por SMS. Los delincuentes se hacen pasar por bancos, organismos públicos, empresas de paquetería u otras entidades para que compartas datos personales o financieros, abras un enlace o llames a un número. A veces también buscan que instales una aplicación.

Señales para reconocerlo:

• Remitente desconocido, aunque también puede estar suplantado.
• Errores gramaticales u ortográficos poco habituales en empresas serias.
• Peticiones inusuales, como datos que una empresa legítima no pediría por SMS.
• Enlaces sospechosos a webs maliciosas o a descargas de aplicaciones.
• Urgencia o amenazas para que actúes rápido.

Qué hacer con un SMS sospechoso

• No respondas ni pulses ningún enlace.
• Si tienes dudas, comunícate directamente con la empresa por su web oficial o su teléfono habitual, nunca respondiendo al SMS.
• Elimina el mensaje y bloquea el número.
• Mantén actualizados el sistema operativo, las aplicaciones y el software de seguridad del móvil.
• Activa la autenticación de dos factores en los servicios que la ofrezcan.

Vishing: el fraude por teléfono

El vishing es una técnica de ingeniería social por teléfono. Según el INCIBE, los delincuentes se hacen pasar por bancos, servicios de atención al cliente, entidades públicas o soporte técnico para obtener datos personales, lograr que instales programas maliciosos o conseguir un pago.

Entre los tipos de llamada que menciona están los premios o sorteos que exigen datos o dinero para tramitarlos, las amenazas de cierre de cuenta, el falso soporte técnico, los supuestos problemas con tu banco, los mensajes de voz automatizados y las ofertas de inversión en criptomonedas con rentabilidades muy atractivas.

Cómo reconocer una llamada fraudulenta

• Suplantan a una entidad de confianza, a veces imitando una voz conocida o el número de la llamada.
• Crean urgencia para que actúes sin pensar.
• Piden datos sensibles: tarjetas, contraseñas o datos personales.
• Amenazan con bloqueos, multas o acciones legales.
• Te piden instalar una aplicación o dar acceso remoto.
• Eluden tus preguntas sobre su identidad o desaconsejan verificar la llamada.

Si recibes una llamada así, mantén la calma, no facilites información, no pulses enlaces ni visites webs que te indiquen y corta ante la menor duda. Confirma lo que te han dicho llamando tú a la empresa por sus canales oficiales.

Si ya has pulsado o has dado datos

Para el smishing, el INCIBE recomienda contactar con tu banco cuanto antes si diste datos bancarios, revisar las cuentas en busca de cargos no autorizados y cambiar las contraseñas de las cuentas que puedan estar comprometidas. También sugiere buscar tu información en internet y, si tus datos aparecen, ejercer el derecho al olvido.

Para el vishing, los pasos son: contactar con tu banco, desinstalar cualquier programa que te hayan hecho instalar y ejecutar un antivirus, cambiar tus contraseñas, informar a la empresa que el atacante dijo representar, denunciar ante las Fuerzas y Cuerpos de Seguridad aportando las pruebas y mantenerte alerta ante nuevos intentos.

Dónde denunciar y pedir ayuda

Las dos páginas remiten a la sección «Cómo reportar un fraude» del INCIBE. En el caso del vishing, además, enlazan la Línea de ayuda en ciberseguridad del INCIBE. Las páginas no detallan más pasos de denuncia, así que consulta esas secciones para el trámite actual.

Después de un fraude, también puede ser útil comprobar qué datos tuyos están visibles. El análisis gratuito de Remove Me no requiere cuenta y revisa resultados web visibles públicamente, filtraciones públicas conocidas y un registro de intermediarios de datos. No evita las llamadas ni los SMS fraudulentos, pero te ayuda a ver qué información circula.