Llega un SMS de tu banco. Te informa de una compra que no reconoces — un importe concreto, un comercio específico, una hora exacta. Al final del mensaje, una instrucción: si no reconoces esta compra, responde CANCELAR. No hay enlace. No hay número de teléfono sospechoso. Parece legítimo.
No lo es. Es una estafa. Y es uno de los tipos de smishing más difíciles de detectar precisamente porque no tiene ninguna de las señales habituales que nos han enseñado a buscar.
🔍 ¿Dudas de un mensaje recibido?
Analiza remitentes, enlaces o archivos en tiempo real con nuestro scanner.
Por qué este SMS parece real
La mayoría de los consejos sobre smishing se centran en los enlaces: no hagas clic, verifica el dominio, desconfía de los acortadores. Ese consejo es correcto, pero incompleto. Los estafadores lo saben y han adaptado sus técnicas. Cada vez más campañas de fraude bancario por SMS prescinden completamente del enlace.
En su lugar, el mensaje incluye detalles que generan credibilidad inmediata: el nombre exacto del banco, un importe con decimales, el nombre de un comercio conocido, una fecha y hora recientes. El cerebro procesa esos detalles y concluye que el mensaje es auténtico — porque un estafador no podría saber todo eso, ¿verdad?
En realidad sí puede. Esos datos se obtienen de filtraciones de bases de datos, de información pública o simplemente se inventan con suficiente detalle para parecer reales. El importe y el comercio no son datos verificados — son anzuelos diseñados para provocar una reacción emocional inmediata.
Qué pasa cuando respondes
Cuando la víctima responde "CANCELAR" — o "NO", o "STOP", o cualquier variante — varias cosas pueden ocurrir dependiendo de la sofisticación del ataque.
En el caso más simple, el atacante confirma que el número está activo y en manos de alguien que reacciona a mensajes de su banco. Ese número pasa a una lista de objetivos prioritarios para ataques más elaborados.
En versiones más avanzadas, la respuesta desencadena una llamada de teléfono casi inmediata de alguien que se presenta como el servicio de fraude del banco. Esa persona ya sabe que acabas de recibir el SMS — porque lo envió ella misma — y usa ese contexto para ganarse tu confianza y pedirte datos bancarios, un código OTP o que autorices una transferencia de "verificación".
Esto se llama vishing — phishing por voz — y combinado con el SMS previo es una de las técnicas más efectivas porque la víctima llega a la llamada ya predispuesta a creer que hay un problema real con su cuenta.
Las señales que hay que mirar cuando no hay enlace
Sin URL que analizar, las señales de alerta son más sutiles pero siguen existiendo.
El número de origen es la primera. Un banco legítimo envía sus SMS desde un número corto o un alias alfanumérico reconocible — no desde un número de móvil largo, y mucho menos desde un número con prefijo internacional diferente al del país donde opera. Un SMS de "BBVA España" que llega desde un número con prefijo +52 (México) o +44 (Reino Unido) no es de BBVA España.
La instrucción de responder es la segunda. Ningún banco gestiona cancelaciones de cargos mediante respuesta a un SMS. El proceso real siempre pasa por la app oficial, la web del banco o llamando al número que figura en el reverso de tu tarjeta — nunca por responder a un mensaje de texto.
La ausencia de referencia verificable es la tercera. Los SMS legítimos de bancos incluyen referencias que puedes comprobar en tu app o en el extracto: número de operación, los últimos cuatro dígitos de la tarjeta, un código de transacción. Si el mensaje solo tiene un importe y un comercio pero nada que puedas cruzar con tus registros, es sospechoso.
La urgencia implícita es la cuarta. "Si no reconoces esta compra" apela directamente al miedo a perder dinero. Esa presión emocional está diseñada para que actúes antes de pensar.
Qué hacer si recibes un SMS así
No respondas al SMS. Ni "CANCELAR", ni "NO", ni nada. Cualquier respuesta confirma que el número está activo.
No llames a ningún número que aparezca en el mensaje. Si recibes una llamada poco después del SMS de alguien que dice ser de tu banco, no facilites ningún dato — por muy convincente que parezca.
Si tienes dudas sobre si hay un cargo real en tu cuenta, compruébalo directamente en la app oficial de tu banco o llamando al número que ya tenías guardado antes de recibir el SMS. No uses ningún contacto que aparezca en el mensaje sospechoso.
Si ya has respondido o has facilitado datos, contacta inmediatamente con tu banco para bloquear posibles movimientos y denuncia el caso ante las autoridades de ciberseguridad de tu país.
Por qué el scanner no detecta este tipo de SMS
ORTSLAB analiza automáticamente los patrones técnicos de los mensajes: autenticación del remitente, reputación de dominios, presencia de acortadores, homoglifos en URLs, códigos QR maliciosos. Cuando un SMS no tiene enlace, muchas de esas señales técnicas simplemente no están presentes.
Este es un límite real de cualquier herramienta de análisis automático. Los patrones de vishing por respuesta — SMS sin URL diseñados para provocar una reacción o desencadenar una llamada — son más difíciles de detectar automáticamente que el smishing con enlace, precisamente porque evitan los vectores técnicos habituales.
Si recibes un SMS sin enlace que te genera dudas, puedes pegarlo en ORTSLAB para analizar lo que sí es analizable — el número de origen, el alias del remitente, los patrones de ingeniería social en el texto. Pero en este tipo de mensajes, el criterio humano sigue siendo la mejor defensa: si algo no cuadra, no respondas y verifica por un canal que ya conocías.