Un mensaje de texto llega a tu celular. Dice que hay un movimiento sospechoso en tu cuenta, que una transferencia SPEI quedó retenida o que tu tarjeta se bloqueará en minutos. Incluye un enlace para “resolverlo ya”. Ese formato es smishing, y en México ya provocó alertas conjuntas de Condusef, Profeco y la Policía Cibernética de la Ciudad de México por su crecimiento durante 2026.
Qué es el smishing y cómo se diferencia del vishing
Smishing es phishing hecho por SMS (de ahí el nombre, “SMS” más “phishing”). El objetivo es el mismo que en cualquier fraude de suplantación: que compartas datos bancarios o entres a un sitio falso creyendo que es tu banco.
- Smishing: llega por mensaje de texto, casi siempre con un enlace o un número para “verificar” el problema.
- Vishing: llega por llamada telefónica, con una persona o un audio automatizado que se hace pasar por tu banco para pedirte datos en vivo.
- Los dos pueden combinarse: primero el SMS genera alarma, después una llamada refuerza la mentira haciéndola sonar más creíble.
- La variante más reportada en México en 2026 se conoce como “SMS envenenado”, enfocada en transferencias SPEI supuestamente retenidas.
Un dato que delincuentes explotan cada vez más: algunos mensajes llegan dentro de la misma conversación de SMS que ya tenías con tu banco, usando un identificador falsificado. Que el mensaje aparezca “en el mismo hilo” no significa que sea legítimo.
Señales que delatan un smishing
Ningún banco en México solicita contraseñas, NIP, CVV o códigos de verificación por mensaje de texto. Esa es la base para detectar el fraude, pero hay señales adicionales:
- Tono de urgencia extrema (“tu cuenta se bloqueará en 10 minutos”, “transferencia retenida”).
- Un enlace corto o desconocido para “resolver” el supuesto problema.
- Petición de descargar una aplicación desde ese enlace, en vez de la tienda oficial (App Store o Google Play).
- Faltas de ortografía, dominios que casi imitan al banco pero no coinciden exactamente.
- El número remitente no corresponde al que usa tu banco en comunicaciones anteriores, aunque el mensaje aparezca en el mismo chat.
Qué hacer si recibes un mensaje sospechoso
La reacción correcta no depende de qué tan real se vea el mensaje, depende de seguir el mismo protocolo siempre:
- No respondas el mensaje ni des clic en ningún enlace.
- No compartas contraseñas, NIP, CVV ni códigos de verificación, sin importar quién los pida.
- Verifica directamente en la app oficial de tu banco o llamando al número impreso al reverso de tu tarjeta, nunca al número que viene en el SMS.
- Borra el mensaje y, si tu operador lo permite, repórtalo como spam.
- Guarda una captura de pantalla antes de borrarlo, por si necesitas presentar una queja formal después.
Si ya diste clic o compartiste información
Actuar rápido reduce el daño. Sigue estos pasos en orden:
- Contacta a tu banco de inmediato para solicitar el bloqueo de la tarjeta o cuenta afectada.
- Cambia tus contraseñas y NIP desde un dispositivo distinto al que usaste para abrir el enlace.
- Presenta una reclamación ante Condusef a través de su Portal de Fraudes Financieros, donde también puedes reportar el número o el sitio usado en el engaño.
- Conserva toda la evidencia: capturas del mensaje, del sitio falso y de cualquier movimiento no reconocido en tu cuenta.
- Si el banco no aplicó los controles de seguridad esperados o no te informó del riesgo, puedes iniciar un proceso formal de reclamación con Condusef.
Entérate más: Cómo evitar caer en fraudes financieros disfrazados de soluciones de deuda
Preguntas frecuentes
¿Mi banco puede mandarme SMS legítimos?
Sí, para notificaciones de movimientos o códigos de verificación que tú mismo solicitaste en el momento. La diferencia es que esos mensajes nunca piden que respondas con datos ni que sigas un enlace para “confirmar” algo.
¿Sirve de algo bloquear el número que envió el smishing?
Ayuda a que no te llegue un segundo mensaje del mismo número, pero los delincuentes cambian de número constantemente. El hábito de no dar clic importa más que bloquear un número específico.
¿El smishing solo ocurre por SMS tradicional?
No. Condusef ha señalado que la misma lógica de mensajes falsos también aparece en aplicaciones de mensajería como WhatsApp, con el mismo patrón de enlace y urgencia.
Eric Sandhaus
