En los últimos meses, se ha vuelto cada vez más común que usuarios de telefonía móvil reciban mensajes SMS sospechosos con supuestas notificaciones de retiros bancarios, entregas fallidas o premios inesperados. Estos mensajes, que apelan al miedo, la urgencia o la sorpresa, suelen incluir instrucciones para cancelar una operación, reclamar un beneficio o verificar información personal.
Sin embargo, en la mayoría de los casos se trata de una modalidad de fraude conocida como smishing, una forma de ciberataque que combina los términos “SMS” y “phishing”, y que tiene como objetivo obtener datos personales o financieros mediante el engaño.
El smishing es una variante del phishing basada en el envío de mensajes de texto maliciosos. A diferencia del phishing tradicional que se realiza por correo electrónico, el smishing aprovecha la brevedad y familiaridad de los mensajes SMS para hacer pasar una comunicación fraudulenta como legítima.
Los ciberdelincuentes que emplean esta técnica suelen hacerse pasar por bancos, empresas de mensajería, tiendas departamentales, dependencias gubernamentales o incluso contactos personales. El mensaje puede contener un enlace que dirige a una página web falsa donde se solicita información sensible como contraseñas, números de tarjeta de crédito, códigos de verificación o incluso claves bancarias.
Estos enlaces fraudulentos suelen estar disfrazados mediante acortadores de URL, lo que impide conocer de antemano el destino real de la página. En algunos casos, el solo hecho de hacer clic en estos enlaces puede desencadenar la descarga de software malicioso en el dispositivo del usuario, como troyanos, spyware o ransomware.
También pueden usarse archivos adjuntos que aparentan ser documentos, imágenes o videos, pero en realidad contienen virus diseñados para espiar al usuario o robar su información.
Los ataques de smishing funcionan utilizando tácticas de ingeniería social, es decir, técnicas de manipulación emocional para engañar a las víctimas. El miedo a perder dinero, la urgencia de una supuesta verificación o el deseo de obtener una recompensa suelen nublar el juicio del destinatario, llevándolo a actuar impulsivamente.
En algunos casos, los atacantes seleccionan a sus víctimas de forma específica, utilizando información demográfica o regional para hacer los mensajes más creíbles, como aparentar ser de una universidad local o una institución financiera popular en la zona.
Ante el aumento de estos fraudes, la Secretaría de Seguridad Ciudadana de la Ciudad de México ha recomendado tomar una serie de medidas para protegerse. Entre ellas, destaca el uso de la aplicación “No más extorsiones” o “No + XT”, disponible para Android y iOS, que permite bloquear números reportados por fraudes.
También es fundamental desconfiar de mensajes inesperados, no hacer clic en enlaces sospechosos y nunca compartir datos personales o códigos de verificación por mensaje o llamada. Si se recibe un mensaje de este tipo, lo más prudente es verificar directamente con la institución en cuestión a través de sus canales oficiales y bloquear el número emisor.
Además, se recomienda mantener el sistema operativo del dispositivo actualizado, usar filtros de spam como TrueCaller y estar alerta a cualquier intento de suplantación de identidad. La prevención y el sentido común siguen siendo las mejores defensas contra el smishing.
