SMS falso o phishing: cómo detectarlo y qué hacer

He pulsado un SMS falso, pero no he dado datos

Cierra la página y comprueba si descargaste un archivo, instalaste algo o concediste permisos. Abrir un enlace no equivale a haber entregado una contraseña; tampoco permite certificar que el dispositivo esté libre de problemas. El siguiente paso depende de lo que hiciste.

Si aún estás valorando el mensaje, usa el analizador local. Si el problema es un código de WhatsApp compartido, consulta la recuperación de la cuenta. Evita introducir códigos, contraseñas o datos bancarios en cualquier analizador.

Qué son el phishing y el smishing

El phishing utiliza mensajes o páginas engañosas para obtener información o acceso a una cuenta. Cuando el engaño llega por SMS se suele llamar smishing. Un supuesto paquete, una cuenta bloqueada o un premio pueden servir de excusa para pedir datos, dinero o una descarga. INCIBE explica cómo funciona el smishing.

La pregunta útil es qué acción te están pidiendo. Leer un aviso, iniciar sesión, autorizar un pago e instalar una aplicación tienen consecuencias distintas. Antes de hacer cualquiera de ellas, puedes detenerte y comprobar el asunto por otra vía.

Cuatro señales que merecen una pausa

• Prisa: te ponen un plazo mínimo o amenazan con una pérdida inmediata.
• Identidad confusa: el nombre visible parece conocido, pero la dirección del remitente no encaja.
• Destino inesperado: el enlace apunta a una dirección diferente de la que anuncia.
• Una petición fuera de contexto: recibes un adjunto, un cobro o una solicitud de acceso que no esperabas.

Microsoft recomienda revisar estas señales y contactar por un canal independiente ante una duda. Son pistas para investigar, no un diagnóstico automático. Consejos de Microsoft contra el phishing.

No hace falta demostrar quién está detrás para decidir que todavía no vas a introducir información.

Un mensaje impecable también necesita comprobación

La ausencia de faltas de ortografía no demuestra que un SMS sea legítimo. INCIBE lo recuerda en su ejemplo de una entrega falsa. La comprobación final debe hacerse con la empresa a través de sus canales oficiales. Ver el caso de INCIBE.

El texto no demuestra que exista un envío. Si esperas una compra, abre tú la aplicación donde la hiciste y busca el pedido. Si no aparece incidencia, puedes consultar al soporte desde esa cuenta. El mensaje inicial no debe elegir por ti ni el enlace ni el teléfono de contacto.

Una ficha para decidir sin precipitarte

Prueba este pequeño ejercicio con un mensaje ficticio, sin abrir enlaces: anota qué afirma, qué quiere que hagas, qué dato pide y cómo podrías comprobarlo fuera del mensaje. Separar estas cuatro cosas ayuda a ver dónde falta información.

Son ejercicios editoriales, no mensajes reales analizados. Para el segundo caso, usa también nuestra guía para identificar quién factura una suscripción.

Cómo revisar y denunciar un correo en Gmail

Google recomienda respetar las advertencias de seguridad y acceder directamente al servicio si un enlace de un mensaje pide una contraseña. Que Gmail no muestre una advertencia tampoco certifica que el mensaje sea seguro. En Gmail desde un ordenador, la opción para denunciarlo está en el menú Más, junto a Responder, y después Denunciar phishing. Instrucciones de Google.

Si necesitas pedir ayuda a alguien, describe la situación sin reenviar códigos de acceso. Puedes ocultar datos personales de una captura. Tu objetivo es revisar la petición, no distribuir tus credenciales ni exponer a otra persona al mismo enlace.

Revisa las señales del texto sin enviarlo

Para ordenar tus dudas puedes usar el analizador de mensajes sospechosos. Pega una versión sin datos personales y revisa qué señales encuentra. Funciona en el navegador, no abre enlaces y no comprueba al remitente. Su puntuación es orientativa: un resultado bajo no garantiza seguridad. Después vuelve a la comprobación independiente de esta guía; si ya pulsaste, prioriza lo que hiciste y los datos que pudiste compartir.