El smishing que no necesita enlace: cuando el fraude te pide que respondas
Durante años, el consejo ha sido siempre el mismo: no pulses el enlace. Y durante años, ha funcionado razonablemente bien como primera línea de defensa. El problema es que los atacantes también leen los mismos consejos que las víctimas.
La variante que estamos viendo crecer en España en 2026 no lleva enlace. No lleva teléfono. No lleva acortador. Es un SMS limpio, con el formato exacto de tu banco, que te pide una sola cosa: que respondas con el código.
🔍 ¿Dudas de un mensaje recibido?
Analiza remitentes, enlaces o archivos en tiempo real con nuestro scanner.
El patrón
El mensaje llega al hilo de SMS donde ya están los avisos reales de tu banco. Mismo remitente, mismo formato, mismo tono. El texto dice algo así:
"BBVA: Hemos detectado un acceso no autorizado a tu cuenta. Para cancelarlo, responde a este mensaje con el código que acabas de recibir."
En ese momento, el atacante ya ha intentado iniciar sesión en tu banca online con tus credenciales — obtenidas previamente de una filtración o de un ataque anterior. El banco le ha enviado a tu móvil un código OTP real para autorizar la operación. Lo único que le falta al atacante es ese código. Y acaba de pedírtelo directamente, haciéndose pasar por el propio banco.
La víctima, creyendo que está cancelando un acceso no autorizado, envía el código. Con ese código, el atacante completa la autenticación. Ha entrado sin forzar nada, sin página falsa, sin enlace sospechoso.
Por qué es diferente
Los filtros de smishing — incluido el motor de ORTSLAB — están construidos sobre una lógica sólida: banco + enlace externo, organismo + acortador, paquetería + URL. Son patrones que funcionan porque el fraude siempre ha necesitado llevar a la víctima a algún sitio.
Este ataque no lleva a ningún sitio. No hay URL que analizar, no hay dominio recién registrado, no hay redirección encubierta. El vector de ataque es la respuesta SMS de la propia víctima.
Es exactamente el mismo principio que ESET documentó en EvilTokens para cuentas Microsoft — publicamos el análisis el 18 de junio — pero trasladado al canal SMS y sin necesidad de ninguna infraestructura técnica sofisticada. El atacante solo necesita que respondas.
Lo que hemos actualizado
Esta semana hemos incorporado al motor de ORTSLAB una nueva regla de detección para este patrón: mensajes que solicitan activamente responder con un código de verificación, sin URL ni teléfono, en contexto bancario o de organismo oficial.
La regla detecta variantes como:
- "Responde con el código"
- "Envía el código para cancelar"
- "Conteste con la clave"
- "Para anular responda con su PIN"
Si el mensaje además menciona una marca financiera o un organismo, el peso de la detección sube porque la suplantación es explícita.
No es un parche cosmético. Es una ampliación estructural de la lógica de análisis para cubrir el vector que hasta ahora quedaba fuera: el fraude sin enlace.
La señal que no falla
Independientemente de lo que diga el SMS, hay una regla que ningún banco español incumple: los bancos no piden códigos OTP por respuesta de SMS.
El código OTP llega a tu móvil para que lo introduzcas tú, en la app o en la web del banco, en una operación que tú has iniciado. Nunca para enviárselo a nadie. Si un SMS te pide que reenvíes un código — por el motivo que sea, urgente o no — es fraude.
Eso no cambia. Lo que cambia es que ahora el motor también lo sabe.
¿Has recibido un SMS sospechoso o crees que tu cuenta ha sido comprometida? Oscar Orts — perito informático judicial — puede analizar el incidente y emitir un informe pericial con validez legal para procedimientos judiciales o reclamaciones a aseguradoras.