Smishing: qué es y cómo saber si un mensaje es real

El smishing es un tipo de fraude digital que utiliza mensajes de texto (SMS) para engañar a las personas y obtener datos personales o bancarios. Si te llegó un mensaje que te pide hacer clic en un enlace, pagar un cobro pendiente o “desbloquear” tu cuenta, lo más probable es que sea smishing.

Funciona de forma similar al phishing por correo electrónico, pero aprovecha la confianza que muchos usuarios tienen en los mensajes de su celular.

En este artículo te contamos cómo saber si un mensaje es real, cómo funciona el smishing, por qué es tan efectivo y qué medidas puedes tomar para proteger tu información.

¿Te llegó un mensaje sospechoso? Cómo saber si es real en 3 pasos

Antes de hacer clic o responder, revisa estas tres cosas:

1. ¿Te pide actuar con urgencia? Frases como “último aviso”, “su cuenta será bloqueada” o “pague hoy para evitar recargos” son la señal más común de una estafa.
2. ¿El enlace lleva al sitio oficial? Mira la dirección completa. Si es un link acortado, tiene letras o números de más, o no termina en el dominio oficial de la empresa (por ejemplo, .cl o .gob.cl), no lo abras. Aquí te explicamos cómo detectar una URL maliciosa.
3. ¿Te pide datos que la empresa ya tiene? Ningún banco, servicio de envíos u organismo público te pedirá claves, códigos de verificación o datos de tu tarjeta por SMS.

Si respondes “sí” a cualquiera de las tres preguntas, no interactúes con el mensaje. Entra a la app o al sitio oficial de la empresa escribiendo tú mismo la dirección, o llama al número que aparece en su web, y confirma desde ahí.

Qué es el smishing

El smishing es una técnica de fraude que combina SMS y phishing para robar información personal o financiera mediante mensajes de texto engañosos.

A diferencia del phishing tradicional, que se realiza por correo electrónico, el smishing aprovecha la inmediatez y la aparente legitimidad de los SMS para generar confianza.

Los estafadores suelen hacerse pasar por bancos, empresas de envíos, autopistas u organismos oficiales. Envían mensajes con enlaces falsos que conducen a sitios web fraudulentos. El objetivo es que el usuario ingrese claves, datos de tarjetas o información confidencial.

No es un problema menor. Según la Comisión Federal de Comercio de Estados Unidos (FTC), las pérdidas reportadas por estafas iniciadas con mensajes de texto llegaron a USD 470 millones en 2024, cerca de cinco veces más que en 2020. En Chile, se registran más de 100 mil detecciones diarias de mensajes fraudulentos, y una investigación de CIPER mostró que existen redes que venden kits listos para ejecutar estas estafas.

Cómo funciona un ataque de smishing

El smishing sigue un patrón muy definido, diseñado para engañar y robar datos personales o bancarios. Estos son los pasos más comunes:

1. Mensaje engañoso

Todo comienza con un SMS que simula provenir de una fuente confiable, como un banco, una empresa de envíos o una plataforma conocida. El texto suele incluir el nombre de la entidad, un saludo personalizado o un tono profesional.

2. Creación de urgencia

El mensaje apela al miedo o la urgencia con frases como:

• “Tu cuenta ha sido bloqueada”.
• “Detectamos un acceso sospechoso”.
• “Hay un paquete retenido que requiere acción inmediata”.

Este tipo de contenido busca que la persona actúe sin pensar demasiado.

3. Llamado a la acción

Luego, el mensaje pide que la persona haga clic en un enlace o se comunique a un número telefónico. En muchos casos, el link lleva a una página web que imita a la original, pero es falsa.

4. Robo de datos

Si el usuario completa los datos en esa página falsa o entrega información por teléfono, los estafadores pueden obtener contraseñas, números de tarjetas, códigos de verificación u otros datos sensibles.

Te puede interesar: Cómo mejorar la seguridad transaccional sin aumentar la fricción en el checkout

Ejemplos comunes de smishing

Estos son algunos de los mensajes más frecuentes que utilizan los estafadores:

• Falsos avisos bancarios: “Banco XYZ: Tu cuenta ha sido suspendida. Verifícala aquí: [enlace]”.
• Puntos o beneficios por vencer: “Tus puntos vencen hoy. Canjéalos aquí: [enlace]”.
• Mensajes de paquetería o transporte: “Tu envío no pudo ser entregado. Paga el costo de despacho aquí: [enlace]”.
• Cobros falsos de autopistas o impuestos: “Registra una deuda pendiente de TAG. Evita recargos pagando aquí: [enlace]” o “El SII tiene un documento pendiente para ti: [enlace]”.
• Sorteos o premios falsos: “¡Felicidades! Has ganado un celular. Reclámalo aquí: [enlace]”.
• Alertas de seguridad engañosas: “Detectamos un inicio de sesión sospechoso. Llama al 600-XXX-XXXX”.

Estos textos apelan al miedo, la sorpresa o la expectativa para que el usuario actúe rápidamente y sin sospechas.

Por qué el smishing es tan efectivo

Los ataques por smishing no funcionan solo por casualidad. Estos son los factores que los vuelven tan peligrosos:

1. Apelan al miedo y la urgencia

El mensaje te hace creer que estás en riesgo: que te bloquearon la cuenta, que perdiste un paquete o que van a suspender un servicio. Esa urgencia reduce tu capacidad de pensar con claridad.

2. Confianza en el canal

Muchas personas confían más en los SMS que en los correos electrónicos. Como los bancos y las empresas también usan este medio, es fácil caer en la trampa.

3. Dispositivos siempre conectados

El celular está en nuestra mano todo el día. Respondemos notificaciones al instante, incluso sin leer dos veces. Eso juega a favor del estafador.

4. Tácticas cada vez más sofisticadas

Los mensajes falsos ya no tienen errores obvios. Vienen bien redactados, con enlaces disfrazados y hasta usan tu nombre. Cuesta distinguirlos de los reales.

Cómo identificar un mensaje de smishing

Aunque los mensajes de smishing pueden parecer reales, hay señales que te ayudan a detectarlos:

1. Números o nombres desconocidos

Si el mensaje llega desde un número que no conoces, o con un remitente que no coincide con el nombre oficial de la empresa, desconfía. Ten en cuenta que los estafadores también pueden hacer que el mensaje aparezca con el nombre de una empresa real, por lo que el remitente por sí solo no es garantía.

2. Errores de redacción

Faltas de ortografía, mayúsculas raras o frases mal armadas suelen ser una alerta de que el mensaje no es legítimo.

3. Enlaces sospechosos

Presta atención a las URLs. Si están acortadas o no contienen el dominio oficial de la empresa (como .cl o .gob.mx), no hagas clic.

4. Solicitud de datos personales

Ninguna empresa seria te va a pedir claves, PIN, códigos de verificación o datos bancarios por SMS. Si lo hacen, es una señal clara de intento de fraude.

Profundiza en este contenido: Cómo las señales de riesgo detectan fraude antes de que ocurra

Qué hacer si recibes un mensaje sospechoso

Si te llega un SMS que te genera dudas, sigue estos pasos antes de hacer clic o responder:

1. No respondas ni abras enlaces

Incluso si el mensaje parece legítimo, evita cualquier interacción hasta verificar su autenticidad.

2. Contacta directamente a la empresa

Utiliza los canales oficiales (web, app o teléfono del sitio web verificado). Por ejemplo, si es un banco, entra desde tu navegador o desde su app y revisa si hay alguna alerta real.

3. Repórtalo

En Chile, puedes reportar este tipo de fraudes ante la Agencia Nacional de Ciberseguridad (ANCI). Si el mensaje suplanta a tu banco, avísale también para que pueda alertar a otros clientes.

4. Bloquea el número

En la mayoría de los celulares puedes bloquear al remitente y evitar recibir futuros mensajes de ese número.

Qué hacer si ya hiciste clic o entregaste tus datos

Si ya abriste el enlace o ingresaste información, actúa rápido:

1. Llama a tu banco por el número oficial y pide bloquear tus tarjetas o claves.
2. Cambia tus contraseñas, empezando por la del correo y la de tu banca en línea.
3. Revisa tus movimientos y desconoce cualquier operación que no hayas hecho.
4. Activa o revisa la verificación en dos pasos en tus cuentas más importantes.
5. Haz la denuncia y guarda una captura del mensaje como evidencia.

Cómo protegerte del smishing

Protegerte del smishing requiere una combinación de educación, sentido crítico y herramientas tecnológicas. Estos son algunos pasos clave para evitar caer en este tipo de fraude:

1. Infórmate y comparte la información

Saber cómo funciona el smishing es el primer paso para evitarlo. Comparte esta información con tus contactos, especialmente con personas mayores o menos familiarizadas con la tecnología, que suelen ser más vulnerables a este tipo de engaños.

2. Usa servicios que protejan tus operaciones

Las empresas pueden reducir el impacto del smishing con controles que no dependen solo de la contraseña: verificación de identidad, autenticación adicional en operaciones sensibles y análisis del contexto de cada acceso. Así, aunque un estafador obtenga una clave, no le basta para operar.

3. Activa la autenticación en dos pasos

Aun si un atacante obtiene tu contraseña, el segundo factor de autenticación (2FA) puede evitar que acceda a tus cuentas. Siempre que sea posible, activa este sistema en tus aplicaciones bancarias, redes sociales y correos electrónicos. Si puedes elegir, prefiere una app de autenticación o la biometría antes que el código por SMS, que puede ser interceptado con ataques como el SIM swap.

4. Mantente actualizado

Los estafadores evolucionan constantemente. Sigue a medios especializados o instituciones como la ANCI de Chile para mantenerte al día con nuevas modalidades de fraude y recibir alertas relevantes.

5. No respondas a mensajes que generen urgencia

Los delincuentes suelen presionarte para actuar rápido. Si recibes un mensaje que dice que tu cuenta fue bloqueada, que ganaste un premio o que tu información fue comprometida, respira hondo y verifica la información por canales oficiales.

El impacto económico del smishing

Más allá del robo de datos personales, el smishing genera pérdidas millonarias para usuarios, empresas y gobiernos.

Según la FTC, las estafas por mensaje de texto más reportadas en 2024 fueron las falsas entregas de paquetes, las ofertas de trabajo falsas, las falsas alertas de fraude de bancos, los cobros falsos de peajes y los mensajes de “número equivocado” que terminan en estafas de inversión.

A nivel empresarial, estos ataques también pueden:

• Afectar la reputación de las marcas que son suplantadas.
• Generar costos por soporte al cliente, devoluciones y medidas reactivas.
• Abrir la puerta a brechas de seguridad que afectan operaciones más amplias.

En América Latina aún no hay una cifra unificada del impacto, pero el volumen de mensajes fraudulentos sigue creciendo. En Chile, incluso se presentó un proyecto de ley tras un caso mediático de estafa por un SMS falso de cobro de TAG.

En definitiva, el smishing no solo representa una amenaza individual, sino también un riesgo creciente para la economía digital.

Descubre más: Qué es SIM swap y por qué representa un riesgo para tus cuentas

Cómo te puede ayudar Ionix a reducir el impacto del smishing

Estar informado es el primer paso, pero las empresas también necesitan controles que funcionen aunque un cliente haya entregado su clave.

Ionix Trust es la plataforma de Ionix que verifica la identidad de las personas y protege las operaciones sensibles:

• Validación de identidad con biometría facial, prueba de vida y análisis del documento, para que nadie pueda abrir cuentas o recuperar accesos haciéndose pasar por otra persona.
• Autenticación adicional en operaciones sensibles, como transferencias o cambios de datos, con biometría facial en lugar de códigos que se pueden robar por SMS.
• Aprobación biométrica con evidencia, que deja registro de quién autorizó cada operación.
• Fricción según el riesgo, para pedir más verificación solo cuando algo no calza y no afectar a los clientes legítimos.

Si quieres conocer cómo implementar estas soluciones en tu organización, ponte en contacto con nuestro equipo.

Preguntas frecuentes

¿Por qué me llegó este mensaje si no di mi número?

Los estafadores envían mensajes masivos a listas de números generadas al azar o filtradas en brechas de datos. Que te llegue no significa que te hayan elegido ni que tu cuenta esté comprometida.

¿Cómo saber si un mensaje de texto es real?

Revisa si te pide actuar con urgencia, si el enlace lleva al dominio oficial de la empresa y si te pide datos que la empresa ya tiene. Ante la duda, no uses el enlace: entra a la app o al sitio oficial por tu cuenta.

¿Qué hago si ya hice clic en el enlace?

Si solo abriste el enlace, cierra la página y no ingreses datos. Si ya entregaste información, llama a tu banco por el número oficial, cambia tus contraseñas y revisa tus movimientos.

¿Cuál es la diferencia entre smishing, phishing y vishing?

Los tres buscan robar datos haciéndose pasar por alguien confiable. El phishing llega por correo electrónico, el smishing por mensaje de texto y el vishing por llamada telefónica.