Cómo detectar un SMS falso de tu banco y qué hacer si ya has pinchado

Un SMS falso del banco (lo que se llama smishing) intenta que pulses un enlace y escribas tus claves en una web que imita a la de tu entidad. La regla que más protege es sencilla: tu banco nunca te pedirá por SMS que entres en un enlace para verificar, desbloquear o cancelar nada. Si recibes un mensaje así, no pulses: abre la app oficial del banco tú mismo y comprueba allí si hay algún aviso.

En esta guía te explico cómo reconocer estos mensajes, por qué a veces aparecen en la misma conversación que los SMS auténticos de tu banco y qué hacer, paso a paso, si ya has pinchado o has escrito tus datos.

Por qué el SMS falso aparece junto a los mensajes reales de tu banco

Es lo que más confunde. Los móviles agrupan los SMS por el nombre del remitente que se muestra, no por quién los envía de verdad. Los estafadores pueden enviar mensajes con un remitente alfanumérico idéntico al de tu banco (por ejemplo, “BANCO”), así que el móvil los coloca en el mismo hilo que tus códigos de verificación auténticos. Esta técnica se conoce como spoofing.

Que un mensaje aparezca en la misma conversación no demuestra que sea legítimo. Juzga cada SMS por lo que te pide, no por dónde aparece.

8 señales de que un SMS del banco es falso

Te pide pulsar un enlace para “verificar tu identidad”, “desbloquear la cuenta”, “cancelar un pago” o “actualizar tus datos”.
Crea urgencia: “tu cuenta será bloqueada en 24 horas”, “se ha detectado un acceso no autorizado”, “confirma ahora o perderás el acceso”.
El enlace no lleva al dominio oficial. Suelen ser dominios con palabras como “seguridad”, “verificar” o el nombre del banco mezclado con guiones o letras de más. Mantén pulsado el enlace (sin abrirlo) para ver la dirección completa.
Menciona un cargo que no reconoces con un importe concreto para que reacciones rápido.
Te pide datos que tu banco ya tiene: número de tarjeta completo, CVV, claves de acceso o el código que te acaba de llegar por SMS.
Tiene fallos de redacción o un tono extraño, aunque cada vez son menos frecuentes porque los estafadores también usan herramientas de traducción e IA.
Llega a una hora o en un momento raro, o de un banco con el que no tienes cuenta.
Después del SMS te llama “el departamento de seguridad” para que le dictes un código o hagas una transferencia “a una cuenta segura”. Es la misma estafa en dos pasos.

Cómo comprobar si un mensaje es real sin arriesgarte

No uses el enlace ni el número que aparece en el SMS. Abre la app oficial del banco o escribe tú mismo la dirección de su web.
Llama al teléfono que figura en el reverso de tu tarjeta o en la web oficial.
Revisa los movimientos en la app. Si el cargo del que habla el SMS no aparece allí, el mensaje es falso.
Recuerda la regla de los códigos: un código de verificación sirve para autorizar una operación que tú estás haciendo. Si alguien te lo pide, es una estafa.

Qué hacer si ya has pinchado el enlace

Si solo has abierto la web y no has escrito nada

Cierra la página y no vuelvas a ella.
Borra el mensaje después de hacerle una captura (te servirá como prueba si hiciera falta).
Si el enlace te pidió instalar una aplicación o un “certificado de seguridad” y lo instalaste, desinstálalo y contacta con tu banco: podría darles control sobre los SMS de tu móvil.

Si has escrito tus claves, tu tarjeta o un código

Actúa en este orden y sin esperar:

Llama a tu banco por el teléfono oficial y pide que bloqueen tarjetas y acceso a la banca online. Muchas apps permiten bloquear la tarjeta al instante desde la propia aplicación.
Cambia la contraseña de la banca online desde un dispositivo de confianza.
Revisa los movimientos y apunta cualquier cargo o transferencia que no hayas hecho.
Guarda las pruebas: capturas del SMS, de la web falsa y de los movimientos.
Denuncia en comisaría de Policía Nacional o en un puesto de la Guardia Civil (o en la policía autonómica que corresponda). El banco te pedirá la denuncia para tramitar la reclamación.
Reclama por escrito al banco la devolución de las operaciones que no autorizaste.

¿Te devuelve el banco el dinero?

En España, las operaciones de pago no autorizadas están reguladas por el Real Decreto-ley 19/2018 de servicios de pago. Como norma general, si comunicas al banco sin demora una operación que no autorizaste (y siempre dentro de los 13 meses siguientes), el banco debe devolverte el importe, salvo que demuestre que actuaste con fraude o con negligencia grave.

Qué se considera negligencia grave depende de cada caso, y los bancos a veces la alegan cuando el cliente facilitó un código. No te rindas con la primera respuesta: si el banco rechaza tu reclamación o no contesta en el plazo legal, puedes presentar una reclamación ante el Servicio de Reclamaciones del Banco de España.

Este apartado es informativo y no sustituye el asesoramiento legal. Si la cantidad es importante, consulta con una asociación de consumidores o un abogado.

Dónde pedir ayuda

017, la línea de ayuda en ciberseguridad de INCIBE. Es gratuita y confidencial, y te orientan sobre qué hacer en cada caso.
Tu banco, siempre por sus canales oficiales.
Policía Nacional y Guardia Civil, para la denuncia.
Banco de España, para reclamar si el banco no te da una solución.

Qué hacer ahora para estar protegido

Guarda en tus contactos el teléfono oficial de tu banco para no tener que buscarlo con prisas.
Activa en la app las notificaciones de cada movimiento: detectarás un cargo extraño en segundos.
Configura un límite diario de pagos y transferencias que se ajuste a tu uso real.
Comparte esta guía con familiares mayores, que son el objetivo más frecuente de estas campañas.

Aviso: este artículo es informativo y no constituye asesoramiento financiero, legal ni de inversión. Ante dudas sobre tu caso concreto, consulta con tu entidad o con un profesional.