Smishing: qué hacer si pinchas en un SMS falso y el día hábil que tiene tu banco para devolverte un cargo que no hiciste

Un SMS es falso si te lleva a un enlace para pagar, entrar en tu banco o dar un código. No hace falta mirar más. Lo dicen las propias marcas que suplantan: Correos «nunca solicita datos personales, bancarios o movimientos económicos» por SMS ni por correo; la Agencia Tributaria nunca te pide la tarjeta ni te manda un enlace para cobrar una devolución; y la DGT notifica las multas por carta o por la Dirección Electrónica Vial, la DEV. Si estás dado de alta en la DEV te puede llegar un aviso de que hay una notificación, nunca una web para pagar.

El nombre del remitente no prueba nada. Desde el 15 de septiembre de 2026 las operadoras bloquean los SMS que usan un nombre (un «alias» como «Correos» o «DGT») que no está inscrito en el registro de la CNMC. Ayuda, pero no lo cierra: el 28 de septiembre INCIBE documentó SMS falsos de multas «agrupados bajo el nombre “DGT”», y el bloqueo no toca WhatsApp ni los mensajes desde un número normal. Tampoco prueba nada que salga en el mismo hilo que los SMS de verdad: INCIBE avisó el 26 de mayo de SMS falsos con el remitente «AEAT» que se colaban entre los auténticos de Hacienda.

Lo que repiten todos, y basta con ver uno:

• Prisa: la falsa multa de la DGT que pasa de 100 a 200 y a 400 € en 24 horas, o la de 140 € «rebajada» a 70 € el «último día».
• Algo que te espera: un paquete retenido, una prestación de la Seguridad Social, una devolución de Hacienda.
• Una dirección que no es la oficial: la de la Agencia Tributaria acaba en .gob.es o .es; la de la DGT, en dgt.es; la de Correos, en correos.es. Las de la campaña falsa de Hacienda acababan en .top o .click.
• Frases que ya circulan: «sms correos su paquete no se pudo entregar», «sms hacienda se ha ordenado el pago», «sms seguridad social actualizacion pendiente» o «sms dgt multa 35 euros» salen hoy en el autocompletado de Google, porque la gente las copia para saber si son verdad.

No es poca cosa: en 2025 la Policía y la Guardia Civil registraron 429.677 fraudes informáticos, unos 1.177 al día (Ministerio del Interior), y desde marzo de 2025 las operadoras han bloqueado cerca de 32 millones de SMS fraudulentos (Ministerio para la Transformación Digital, 16 de octubre de 2026).

Nuestra regla, la que le contaríamos a nuestros padres: nunca se paga ni se escribe nada desde un mensaje. Se cierra, se abre la app de siempre y se mira allí.

Abrir la web, por sí solo, casi nunca les da tus datos ni te «hackea» el móvil. INCIBE lo resume así en su aviso del 28 de septiembre: si solo has abierto la web, ciérrala sin rellenar nada; si has metido la tarjeta, llama al banco y bloquéala sin esperar a ver un cargo. Tres de los vídeos más vistos en español sobre «cómo saber si tu móvil está intervenido» suman más de cuatro millones y medio de visualizaciones y venden un miedo que, en el caso de un SMS, casi nunca toca.

Lo que sí importa es el siguiente paso:

• Si escribiste la tarjeta (número, fecha y los tres números de detrás): bloquéala desde la app del banco y pide una nueva. No esperes a ver un cargo.
• Si escribiste las claves del banco: cámbialas desde la app de siempre, no desde el SMS, y avisa al banco.
• Si diste un código que te llegó por SMS o aceptaste una operación en la app: llama al teléfono de urgencias del banco. Ese código es la firma de un pago.
• Si instalaste una app que te pedía la web (en Android se puede instalar desde fuera de la tienda): desinstálala y cambia las claves desde otro dispositivo.
• Si escribiste una contraseña que repites en otros sitios: cámbiala en todos.
• Si diste tu nombre, tu DNI o tu fecha de nacimiento: con eso pueden pedir un duplicado de tu SIM a la operadora (lo que se busca como «SIM swapping») y recibir los SMS de tu banco. Si el móvil se queda sin cobertura de repente, llama a tu operadora para que lo anule.

Y en todos los casos: guarda una captura del SMS y de la web, porque es tu prueba si hay que reclamar o denunciar. Y si diste tu nombre o tu DNI, INCIBE recomienda buscarte en internet de vez en cuando durante unos meses, para ver si alguien usa tus datos.

La sentencia y el día hábil son para lo que no autorizaste. Si fuiste tú quien hizo la transferencia o el Bizum, aunque te engañaran (el «hola mamá, se me ha roto el móvil», el falso comprador que te pide pagar un envío), el pago cuenta como tuyo y el banco no tiene la misma obligación. INCIBE lo dice sin rodeos en sus avisos del 14 y el 21 de octubre: llama al banco para que intente detenerlo o recuperarlo, pero «la devolución no está garantizada».

Distinto es si diste un código y fue el estafador quien hizo la transferencia: eso es una operación que no ordenaste tú y entra en el apartado anterior. Esa línea es la que discute el banco cuando contesta «lo hiciste tú»; si no fuiste tú quien la pidió, reclama.

Lo que hay que hacer en la primera hora:

1. Llamar al banco y pedir que intente parar la operación.
2. Denunciar con los datos de la cuenta que te dieron: eso ayuda a bloquearla.
3. Guardar los mensajes y los justificantes.

Y para la próxima: desde el 9 de octubre de 2025 los bancos comprueban si el nombre del titular coincide con la cuenta de destino antes de una transferencia en euros. Si te salta ese aviso, para.

El «Bizum inverso» es la versión de compraventa: el falso comprador de Wallapop o Vinted te manda una solicitud de dinero en vez de un pago, y al aceptarla pagas tú. INCIBE lo resume en una regla: leer cada aviso del Bizum antes de aceptar, porque un Bizum no se puede deshacer.

Y ojo con el segundo timo. Debajo de uno de los vídeos más vistos en español sobre cómo recuperar el dinero de una estafa, con casi medio millón de visualizaciones, varios comentarios ofrecen una «agencia de investigación en línea» que te lo devuelve si les escribes. Es la estafa de recuperación: ni el banco, ni la Policía, ni un juzgado te devuelven el dinero a través de un comentario o cobrándote por adelantado.

1. Ahora: bloquea la tarjeta o la banca desde la app y llama al teléfono de urgencias del banco. Pide que quede registrado el aviso y la hora.
2. Hoy: denuncia en una comisaría de la Policía Nacional, en un cuartel de la Guardia Civil o ante tu policía autonómica, con el SMS, las capturas y los movimientos. Si dudas de qué hacer, llama al 017 de INCIBE: es gratis y confidencial, de 8:00 a 23:00, y también atiende por WhatsApp (900 116 117) y Telegram (@INCIBE017).
3. Hoy o mañana: reclamación por escrito al Servicio de Atención al Cliente del banco, pidiendo la devolución de cada cargo que no hiciste y citando el artículo 45 del Real Decreto-ley 19/2018 y la sentencia del TJUE C-70/25. La devolución tiene que llegar como tarde al final del día hábil siguiente al aviso.
4. 15 días hábiles: es lo que tiene el banco para contestar por escrito una reclamación de servicios de pago.
5. Hasta un año desde tu reclamación al banco: si no contesta, la rechaza o te da la razón a medias, puedes reclamar gratis al Banco de España. Su informe no es vinculante para el banco. En 2025 recibió 30.970 reclamaciones y admitió a trámite 10.856.
6. Después: si el banco sigue sin devolverlo, la vía es el juzgado. La Autoridad de Defensa del Cliente Financiero, que podría dictar resoluciones obligatorias por debajo de 20.000 €, no existe: su proyecto de ley seguía en el Congreso en septiembre y decae con la disolución de las Cortes del 5 de octubre de 2026, como ya le pasó en 2023.

Lo que nunca hace falta: pagar a nadie por adelantado para recuperar tu dinero.

El concurso de baile (aviso de INCIBE del 21 de octubre). Te escribe un conocido para que votes a una niña en un concurso de baile; la web te pide tu número y te da un código para «vincular un dispositivo». Ese código no es un voto: mete un móvil ajeno en tu cuenta, desde el que piden dinero a tus contactos. Si lo has hecho: WhatsApp, Dispositivos vinculados, toca cada uno que no reconozcas y «Cerrar sesión»; después, Ajustes, Cuenta, Verificación en dos pasos, con un PIN y un correo solo tuyo.

Los iPhone sin actualizar (aviso del 14 de octubre). Hay quien recibe mensajes desde la cuenta de un amigo pidiendo 980 o 970 euros con un «te lo devuelvo mañana», y el amigo ni los ve en su historial. INCIBE lo ha resuelto en sus casos con este orden: actualizar primero iOS, hacer copia, borrar WhatsApp del todo y reinstalarlo; en algunos casos, hacerlo al revés no ha bastado.

La regla que vale para los dos: si alguien te pide dinero por un chat, llámale a su número de siempre. Que salga su foto y su nombre no quiere decir que escriba él.

Phishing es el engaño para que des tus datos haciéndose pasar por alguien de confianza; smishing es el mismo engaño cuando llega por SMS (de SMS y phishing). Vishing es cuando llega por una llamada de voz, y spoofing es el disfraz: hacer que en tu pantalla salga el número o el nombre de tu banco, de la DGT o de un familiar. Suelen ir juntos: un SMS falso y, después, la llamada del «departamento de seguridad» de tu banco para que des el código.

Todo lo de las llamadas (el prefijo 400 de las comerciales, el prefijo 31 que parece un móvil español, la lista Robinson y cómo bloquearlas en cada móvil) lo tienes en nuestra página de llamadas spam en España. Aquí, lo que llega por mensaje.

Casi nadie necesita pagar nada: con la regla de no tocar enlaces y el filtro del móvil basta. Te compensa una capa de pago en dos casos concretos. Si tú o tus padres tocáis enlaces sin mirar, una protección que corte la web falsa antes de que escribas nada, como la Protección contra amenazas de NordVPN, que bloquea las webs de phishing y de malware que tiene fichadas también con la VPN apagada, y avisa de las llamadas de estafa que suelen llegar después del SMS; eso sí, una VPN no te hace anónimo. Y si repites contraseñas, un gestor como NordPass, que solo rellena tu clave en la web donde la guardaste: en una copia con otra dirección no la ofrece. Si nada de eso es tu caso, no gastes: lo que te protege es gratis.