La estafa bancaria por SMS busca robar claves a miles de usuarios en España. Se cuela en la cadena de mensajes legítimos del banco y suplanta a la entidad con el aviso ‘Detectada operación sospechosa’. La campaña activa, sobre la que advierte El Economista, muestra cómo el smishing se ha vuelto casi imposible de distinguir de una comunicación real.
Claves de la operación
- El fraude se camufla en la cadena oficial de SMS. Los ciberdelincuentes suplantan el número desde el que el banco envía confirmaciones y códigos.
- El mensaje ‘Detectada operación sospechosa’ busca credenciales bancarias. El enlace fraudulento conduce a una web que imita la del banco y pide datos personales y contraseña.
- La recomendación pasa por contrastar en la aplicación oficial. Antes de pulsar un enlace, conviene abrir la app del banco o llamar por la vía oficial para verificar si hay un bloqueo real.
El fraude que se infiltra en la cadena de SMS legítima
El diseño del ataque esconde su principal fortaleza. El SMS fraudulento aparece en el mismo hilo de conversación que las comunicaciones reales del banco, entre confirmaciones de pagos o códigos de verificación. El usuario no percibe una ruptura: recibe un mensaje que comienza con ‘Detectada operación sospechosa en tu cuenta. Procedemos al bloqueo temporal. Por favor, actualice su información…’, seguido de un enlace.
Ese enlace no conduce a la web del banco, sino a una página fraudulenta con un formulario que solicita datos personales y credenciales de acceso. En ese punto el fraude se consuma: los ciberdelincuentes obtienen acceso directo a la cuenta del usuario.
Desde El Economista advierten de que la campaña está activa y se expande por España. El número de afectados crece a medida que el mensaje se reenvía y los remitentes se multiplican, lo que amplía la superficie de riesgo para las entidades.
La confianza digital, el nuevo campo de batalla de la banca
El ataque no explota un fallo técnico de los bancos. La suplantación se apoya en la propia confianza que el sector lleva años construyendo en la banca digital. Las entidades invierten millones en ciberseguridad, pero el eslabón débil sigue siendo el usuario.
El eslabón más débil del sistema financiero español no es la tecnología, sino la urgencia con la que el usuario pulsa un enlace sospechoso.
Los métodos de verificación clásicos ya no funcionan. El mensaje llega desde un número aparentemente legítimo y se integra en la conversación oficial, reproduciendo el tono de las alertas reales. No hay errores tipográficos evidentes ni remitentes extraños: el fraude se disfraza de rutina.
Los expertos recomiendan una pauta sencilla: antes de pulsar cualquier enlace, abrir la aplicación del banco o llamar por la vía oficial para comprobar si el bloqueo es real. La prisa es el mejor aliado de los ciberdelincuentes.
Un salto cualitativo en el smishing que desafía a la banca española
El fraude ha evolucionado con contexto. Las entidades financieras españolas llevan años invirtiendo en ciberseguridad y en campañas de concienciación, pero los ciberdelincuentes también han profesionalizado sus métodos. El móvil se ha convertido en el el principal canal de ataque.
La suplantación del hilo de SMS oficial elimina las señales de alerta clásicas —remitente desconocido, dominios extraños, errores de redacción—. El usuario se enfrenta a un mensaje que parece exactamente igual a los que ya ha recibido antes.
En esta redacción observamos un riesgo de fondo: si el cliente deja de confiar en los mensajes de su banco, el coste no se mide solo en fraudes consumados. La banca digital española pierde velocidad de adopción cada vez que estas campañas se extienden.
El INCIBE recoge pautas oficiales de ciberseguridad para usuarios y empresas. La próxima gran prueba llegará en las próximas semanas, cuando se observe si la campaña remite o se propaga a otros sectores. Ningún banco pide por SMS las claves de acceso ni insta a validar datos mediante enlaces.
