Smishing în Spania: SMS-urile false de la DGT, Correos și AEAT și cum îți protejezi firma

Publicat pe 3 noiembrie 2026 · Echipa mitza.es

SMS-ul pare o tehnologie veche, dar rămâne un canal foarte eficient pentru escrocherii: ajunge pe telefon cu un sentiment de urgență, multă lume îl deschide fără să se gândească și rareori este analizat la rece. În această primăvară și vară, presa spaniolă a relatat trei campanii care uzurpă identitatea DGT (autoritatea rutieră a Spaniei), a Correos (poșta spaniolă) și a Agenției Fiscale a Spaniei (AEAT). Numele tehnic este smishing. Ghidul de față explică cum funcționează, ce semne trădează înșelăciunea și ce trebuie să facă un IMM sau un PFA, pentru că telefoanele și cardurile unei firme sunt o țintă la fel de valoroasă ca ale unei persoane fizice.

Ce este smishing-ul

INCIBE (institutul național spaniol de securitate cibernetică) definește smishing-ul ca pe o formă de fraudă în care infractorii încearcă să păcălească prin SMS-uri cu linkuri frauduloase pentru a obține date personale sau financiare. Este echivalentul prin mesaj text al phishing-ului prin email: o notificare care pare să vină de la o entitate cunoscută, un link către un site fals și un formular care cere date. Dacă vrei să vezi cum evoluează aceste înșelăciuni cu inteligență artificială, citește articolul nostru despre phishingul cu IA și deepfake-uri.

Trei campanii din 2026 în Spania

Amenda falsă de la DGT (mai 2026)

Potrivit Que.es din 13 mai, mii de persoane au primit un SMS care pare să vină de la DGT: anunță o amendă restantă și amenință cu o majorare dacă nu este plătită într-un termen de câteva ore (24 în cazul descris). Linkul duce către un site care imită sediul electronic al DGT și cere numărul cardului, data expirării și codul de securitate. Cu aceste date se golește contul sau se fac cumpărături. Potrivit aceleiași publicații, DGT a dezmințit campania și notifică sancțiunile prin scrisoare recomandată sau prin Direcția Electronică Rutieră (Dirección Electrónica Vial), niciodată cu un link de plată într-un SMS.

Coletul de la Correos care „nu poate fi livrat” (iunie 2026)

Un mesaj cu expeditorul „CORREOS” spune că coletul nu poate fi livrat din cauza unei erori de adresă sau a unor taxe restante și cere o plată mică, de 1,99 sau 2,50 euro, potrivit Que.es (4 iunie). Site-ul clonă copiază aspectul celui oficial, cere numele, adresa și datele complete ale cardului, iar suma simbolică este doar pretextul: ceea ce se fură este cardul. Același articol citează INCIBE pentru a afirma că smishing-ul legat de colete a crescut cu 400% între 2023 și 2025.

Rambursarea falsă din partea fiscului (iulie 2026)

Potrivit Que.es (10 iulie), sosesc SMS-uri de la expeditori care se dau drept „AEAT” sau „Hacienda”, cu o momeală foarte eficientă: „ai fost selectat pentru o rambursare de 500 de euro”. Linkul imită sediul electronic și cere numărul de cont și parolele de acces. Agenția Fiscală insistă, potrivit aceleiași publicații, că nu cere niciodată prin SMS numărul de cont sau parola de acces și că nu anunță rambursările prin mesaj text: acestea se consultă în sediul electronic, cu certificat digital sau Cl@ve, scriind chiar tu adresa.

Semne de alarmă (potrivit INCIBE)

• Expeditor necunoscut sau care nu corespunde entității pe care pretinde că o reprezintă.
• Greșeli gramaticale sau de ortografie ciudate la o entitate serioasă (deși unele fraude sunt bine scrise).
• Cereri neobișnuite: date pe care o firmă legitimă nu le-ar cere niciodată prin SMS.
• Linkuri suspecte care duc către site-uri necunoscute sau către descărcarea de aplicații.
• Urgență sau amenințări ca să acționezi fără să te gândești.

Adăugăm un semn de bun-simț: orice mesaj care îți cere să plătești cu cardul printr-un link dintr-un SMS pe care nu îl așteptai trebuie tratat ca fals până când îl verifici pe altă cale.

De ce mesajul fals poate părea adevărat

Numele care apare ca expeditor al unui SMS poate fi falsificat, așa că mesajul fraudulent poate apărea în aceeași conversație cu mesajele legitime de la Correos, de la banca ta sau de la altă entitate. De aceea nu este suficient să te bazezi pe faptul că „expeditorul este cel corect”. Ce funcționează este să nu intri niciodată pe link: scrie tu adresa entității, deschide aplicația ei oficială sau sun-o la un telefon pe care îl ai deja.

De ce aceasta este o problemă a firmei tale

• Conturile și cardurile firmei: dacă cineva introduce datele unui card corporativ sau accesele la internet banking, paguba nu este personală, ci a firmei.
• Telefoanele de serviciu: un link malițios poate instala aplicații sau fura credențialele de email, WhatsApp sau din cloud.
• Uzurparea mărcii tale: infractorii pot trimite SMS-uri care le imită pe ale tale, iar clienții te vor învinui pe tine.
• Un lanț mai lung: credențialele furate sunt de obicei primul pas al unor atacuri mai mari, precum ransomware-ul.

Un protocol simplu pentru echipa ta

1. Regula de aur: nimeni nu plătește și nu introduce date de pe un link primit prin SMS. Se intră întotdeauna pe site-ul sau în aplicația oficială.
2. Verificare în doi pași la internet banking, email, cloud și rețele sociale, ca o parolă furată să nu fie suficientă. Generează parole lungi și unice cu generatorul nostru de parole.
3. Alerte și limite la bancă: activează notificările pentru fiecare mișcare și verifică limitele cardurilor firmei.
4. Două persoane pentru plățile importante: una pregătește și cealaltă autorizează.
5. Un canal pentru nelămuriri: oricine să poată trimite mai departe un mesaj ciudat unei persoane de încredere înainte de a acționa, fără teama de a face o impresie proastă.
6. Sistem de operare și aplicații actualizate pe telefoanele folosite de echipă.
7. O reamintire periodică: cinci minute pe trimestru cu exemple reale, precum aceste trei.

Ce faci dacă cineva a apăsat pe link sau a dat date

1. Sună imediat la bancă pentru a bloca cardul și a contesta tranzacțiile neautorizate; fiecare oră contează.
2. Păstrează dovezile: capturi de ecran cu SMS-ul, cu linkul și cu site-ul fals, precum și confirmările plăților.
3. Schimbă parolele conturilor care ar putea fi compromise și activează verificarea în doi pași.
4. Depune plângere la Poliția Națională a Spaniei sau la Guardia Civil și anunță INCIBE la 017 (și pe WhatsApp la 900 116 117).
5. Verifică mișcările din conturi în următoarele săptămâni.
6. Dacă sunt implicate date personale ale clienților sau angajaților, consultă-te cu consultantul tău: poate exista obligația de a notifica o încălcare a securității autorității de protecție a datelor în termen de 72 de ore.

Dacă firma ta trimite SMS-uri clienților

• Folosește mereu același expeditor și anunță pe site și în emailuri cum comunici.
• Nu include linkuri de plată cu cardul în SMS-uri. Dacă este indispensabil, trimite către domeniul tău oficial și explică clienților cum să îl recunoască.
• Fă-ți mesajele recognoscibile: numele tău comercial, o informație pe care o știe doar clientul (precum numărul comenzii) și niciun ton de amenințare.
• Pune la dispoziția clienților un canal prin care să verifice dacă un mesaj este al tău.

Întrebări rapide

Pot recupera banii?

Depinde de circumstanțe și de cât de repede acționezi. Contactează imediat banca, fă reclamație în scris, păstrează dovezile și depune plângere. Este calea recomandată atât de INCIBE, cât și de publicațiile care au relatat aceste campanii.

Mă anunță Agenția Fiscală prin SMS despre ceva?

Potrivit celor transmise publicațiilor, nu folosește SMS-uri ca să îți ceară numărul de cont sau parolele și nici ca să anunțe rambursări. Dacă ai dubii despre o notificare, intră tu în sediul electronic cu certificatul tău digital sau cu Cl@ve.

Ce fac cu un mesaj suspect pe care nu l-am deschis?

Nu apăsa pe link, nu răspunde, șterge-l și blochează numărul. Dacă vrei să-i ajuți pe alții, îl poți trimite mai departe către INCIBE.

Alte fraude care exploatează graba

SMS-ul este una dintre uși; celelalte sunt codurile QR, emailurile și încasările prin Bizum. Ai la dispoziție ghidurile despre înșelăciunile cu coduri QR, despre înșelăciunile de Black Friday care îți imită magazinul și despre Bizum invers.

Cum te ajutăm la Mitza

Îți verificăm accesele și conturile firmei, activăm verificarea în doi pași și te ajutăm să definești un protocol pentru echipa ta. Dacă ești în sudul Madridului, vezi serviciul nostru de mentenanță IT sau scrie-ne din pagina de contact.