¿Cómo identificar un SMS falso? Qué es el smishing y 7 señales

Llega un SMS: "Tu paquete está retenido, paga la tasa de R$ 7,90 para liberar la entrega". El remitente parece legítimo, el texto tiene prisa y el enlace es corto. Diez segundos después, alguien escribió el número de su tarjeta en un sitio que imita al correo brasileño. Eso es smishing — phishing por SMS — y sigue funcionando porque el mensaje llega al mismo lugar donde recibes los códigos de verificación de tu banco.

Qué es el smishing

¿Qué es el smishing?

El smishing es una estafa de phishing aplicada por mensaje de texto (SMS): el estafador se hace pasar por un banco, una empresa de mensajería, una operadora o un organismo público e intenta que hagas clic en un enlace falso o entregues datos.

El nombre viene de "SMS" + "phishing". La lógica es la misma del phishing por correo electrónico, pero el canal cambia el juego: el celular no tiene un filtro antispam decente para SMS, la pantalla es pequeña (la dirección completa del enlace queda oculta) y la gente todavía trata al SMS como un canal "oficial".

Cómo funciona la estafa por dentro

El flujo típico tiene cuatro etapas:

1. Envío masivo: el estafador manda miles de mensajes, muchas veces con sistemas de envío masivo o incluso antenas clandestinas. Según Tecnoblog, la policía y Anatel (el regulador de telecomunicaciones de Brasil) ya incautaron antenas falsas usadas para esto.
2. Anzuelo con urgencia: paquete retenido, cuenta bloqueada, puntos a punto de vencer, multa, "movimiento sospechoso".
3. Página clonada: el enlace lleva a un sitio parecido al original, alojado en un dominio recién registrado o escondido tras un acortador.
4. Recolección: escribes tu documento, contraseña, datos de la tarjeta o el código recibido por SMS — y el estafador lo usa al instante, en la app verdadera.

Un detalle técnico importante: el nombre que aparece como remitente puede estar falsificado. En muchos casos el mensaje falso cae en la misma conversación que los mensajes legítimos del banco, lo que da una falsa sensación de confianza. Ver el historial del contacto no prueba que el mensaje sea real.

7 señales de que el SMS es falso

1. Urgencia con plazo corto ("regulariza en 24 horas").
2. Cobro de una tasa pequeña para liberar un paquete. Según Estado de Minas, Correios no cobra tasas para liberar encomiendas por SMS.
3. Enlace acortado o dominio extraño (letras cambiadas, sufijos raros, el nombre de la marca perdido en una dirección larga). Mira también la estafa de la letra cambiada.
4. Pedido de datos o de pago por mensaje. Un banco no pide actualización de datos ni pagos por SMS.
5. Pedido de un código de verificación ("responde con el código que te enviamos"). Ese código es la llave de tu cuenta.
6. Mensaje genérico, sin tu nombre y sin ningún dato que solo la empresa tendría.
7. Un número de celular común en lugar de un canal oficial, o un pedido de escribir a un WhatsApp desconocido (variante de la estafa del "Hola, mamá").

Qué hacer al recibir un SMS sospechoso

¿Puedo abrir el enlace solo para ver qué es?

Lo ideal es no abrirlo. Solo tocar el enlace puede confirmarle al estafador que tu número está activo y, según el dispositivo y el sitio, exponerte a páginas de robo de datos o a la descarga de apps maliciosas. Si necesitas verificar la información, sal del mensaje y ve directo a la app oficial o escribe la dirección del sitio en el navegador.

• No respondas ni mandes "STOP": eso confirma que el número existe.
• Confirma por un canal oficial: la app del banco, la dirección del sitio escrita a mano, el teléfono impreso en la tarjeta.
• Bloquea al remitente y borra el mensaje. Denúncialo a tu operadora por sus canales.
• Activa autenticación fuerte: con 2FA por aplicación (TOTP) o passkeys, un código robado por SMS vale mucho menos.

¿Y si ya hice clic o escribí mis datos?

Actúa en los primeros minutos:

1. Si escribiste una contraseña, cámbiala en el sitio/app verdadero y en cualquier otro lugar donde la repitas.
2. Si diste los datos de la tarjeta, bloquéala desde la app del banco y pide una nueva.
3. Si entregaste un código de verificación, cierra las sesiones activas de la cuenta y revisa los accesos recientes.
4. Si salió un Pix (el sistema de pagos instantáneos de Brasil), llama al banco de inmediato y pide que active el MED (Mecanismo Especial de Devolución).
5. Si instalaste alguna app desde el enlace, desinstálala y sigue la guía de cómo saber si tu celular tiene spyware.

¿Ayuda la nueva regla de Anatel?

El 4 de noviembre de 2026, Anatel publicó en el Diario Oficial reglas para que las operadoras bloqueen los SMS corporativos enviados desde códigos cortos no registrados. La norma prevé un registro público de remitentes, con cada código vinculado a una empresa, y monitoreo automático de actividad sospechosa, con plazos de 60 a 90 días (prorrogables), según Tecnoblog.

Es un avance, pero no lo resuelve todo: el propio texto reconoce que el smishing sigue siendo posible y que las antenas clandestinas pueden enviar mensajes sin pasar por los sistemas de las operadoras. Estar en el registro tampoco garantiza que un mensaje sea seguro. La defensa sigue siendo el hábito de no hacer clic y comprobar por cuenta propia.

La lección de fondo

Ningún mensaje legítimo necesita que decidas en 30 segundos, a través de su propio enlace. Regla práctica: SMS con enlace y urgencia = verificar por fuera, siempre. Si quieres profundizar, lee cómo funciona el ataque de ingeniería social que ningún antivirus bloquea — es la base de toda estafa por mensaje — y comparte este post con quien todavía hace clic en una "tasa de liberación".