Publicado el 3 noviembre 2026 · Equipo mitza.es
El SMS parece una tecnología antigua, pero sigue siendo un canal muy eficaz para estafar: llega al móvil con sensación de urgencia, mucha gente lo abre sin pensar y rara vez se revisa con la cabeza fría. Esta primavera y este verano la prensa española ha recogido tres campañas que suplantan a la DGT, a Correos y a la Agencia Tributaria. El nombre técnico es smishing. Esta guía explica cómo funcionan, qué señales delatan el engaño y qué debe hacer una pyme o un autónomo, porque los móviles y las tarjetas de una empresa son un objetivo tan valioso como los de un particular.
Qué es el smishing
El INCIBE define el smishing como una forma de fraude en la que los delincuentes intentan engañar mediante SMS con enlaces fraudulentos para obtener datos personales o financieros. Es el equivalente en mensaje de texto del phishing por correo: un aviso que parece de una entidad conocida, un enlace a una web falsa y un formulario que pide datos. Si quieres ver cómo evolucionan estos engaños con inteligencia artificial, lee nuestro artículo sobre el phishing con IA y deepfakes.
Tres campañas de 2026 en España
La multa falsa de la DGT (mayo de 2026)
Según recogió Que.es el 13 de mayo, miles de personas recibieron un SMS que parece de la DGT: avisa de una multa pendiente y amenaza con un recargo si no se paga en un plazo de horas (24 en el caso descrito). El enlace lleva a una web que imita la sede electrónica de la DGT y pide el número de la tarjeta, la caducidad y el código de seguridad. Con esos datos se vacía la cuenta o se hacen compras. Según ese mismo medio, la DGT ha desmentido la campaña y notifica las sanciones por correo certificado o a través de la Dirección Electrónica Vial, nunca con un enlace de pago en un SMS.
El paquete de Correos que «no se puede entregar» (junio de 2026)
Un mensaje con remitente «CORREOS» dice que el paquete no se puede entregar por un error en la dirección o por tasas pendientes, y pide un pago pequeño, de 1,99 o 2,50 euros según Que.es (4 de junio). La web clon copia el aspecto de la oficial, solicita nombre, dirección y los datos completos de la tarjeta, y esa cantidad simbólica es la excusa: lo que se roba es la tarjeta. El mismo artículo cita al INCIBE para afirmar que el smishing relacionado con paquetería creció un 400 % entre 2023 y 2025.
La devolución falsa de Hacienda (julio de 2026)
Según Que.es (10 de julio), llegan SMS de remitentes que se hacen pasar por la «AEAT» o «Hacienda» con un cebo muy eficaz: «has sido seleccionado para una devolución de 500 euros». El enlace imita la sede electrónica y pide el número de cuenta y las claves de acceso. La Agencia Tributaria insiste, según ese medio, en que nunca pide por SMS el número de cuenta ni la clave de acceso, y en que no avisa de devoluciones por mensaje de texto: se consultan en la sede electrónica, con certificado digital o Cl@ve, escribiendo tú mismo la dirección.
Señales de alerta (según el INCIBE)
- Remitente desconocido o que no corresponde a la entidad que dice representar.
- Errores gramaticales u ortográficos raros en una entidad seria (aunque algunos fraudes están bien escritos).
- Peticiones inusuales: datos que una empresa legítima no pediría nunca por SMS.
- Enlaces sospechosos que llevan a webs desconocidas o a descargar aplicaciones.
- Urgencia o amenazas para que actúes sin pensar.
Añadimos una de sentido común: cualquier mensaje que te pida pagar con tarjeta desde un enlace de un SMS que no esperabas debe tratarse como falso hasta que lo compruebes por otra vía.
Por qué el mensaje falso puede parecer verdadero
El nombre que aparece como remitente de un SMS se puede falsificar, así que el mensaje fraudulento puede aparecer en la misma conversación que los mensajes legítimos de Correos, de tu banco o de otra entidad. Por eso fiarte de que «el remitente es el correcto» no basta. Lo que sí sirve es no entrar jamás por el enlace: escribe tú la dirección de la entidad, abre su aplicación oficial o llámala a un teléfono que ya tengas.
Por qué esto es un problema de tu empresa
- Cuentas y tarjetas de empresa: si alguien introduce los datos de una tarjeta corporativa o los accesos de la banca online, el daño no es personal, es de la empresa.
- Móviles de trabajo: un enlace malicioso puede instalar aplicaciones o robar credenciales de correo, WhatsApp o de la nube.
- Suplantación de tu marca: los delincuentes pueden enviar SMS que imitan los tuyos y tus clientes te culparán a ti.
- Una cadena más larga: las credenciales robadas suelen ser el primer paso de ataques mayores, como el ransomware.
Protocolo sencillo para tu equipo
- Regla de oro: nadie paga ni introduce datos desde un enlace recibido por SMS. Se entra siempre por la web o la aplicación oficial.
- Verificación en dos pasos en banca online, correo, nube y redes, para que una contraseña robada no sea suficiente. Genera contraseñas largas y únicas con nuestro generador de contraseñas.
- Avisos y límites en el banco: activa las notificaciones de cada movimiento y revisa los límites de las tarjetas de empresa.
- Dos personas para los pagos importantes: una prepara y otra autoriza.
- Un canal para consultar dudas: que cualquiera pueda reenviar un mensaje raro a una persona de confianza antes de actuar, sin miedo a quedar mal.
- Sistema operativo y aplicaciones actualizados en los móviles que usa el equipo.
- Un recordatorio periódico: cinco minutos al trimestre con ejemplos reales, como estos tres.
Qué hacer si alguien ha pulsado el enlace o ha dado datos
- Llama al banco ya para bloquear la tarjeta y disputar los cargos no autorizados; cada hora cuenta.
- Guarda pruebas: capturas del SMS, del enlace y de la web falsa, y los justificantes de los cargos.
- Cambia las contraseñas de las cuentas que puedan estar comprometidas y activa la verificación en dos pasos.
- Denuncia ante la Policía Nacional o la Guardia Civil y avisa al INCIBE en el 017 (también por WhatsApp en el 900 116 117).
- Revisa los movimientos de las cuentas durante las siguientes semanas.
- Si hay datos personales de clientes o empleados implicados, consulta con tu asesor: puede existir la obligación de notificar una brecha de seguridad a la autoridad de protección de datos en un plazo de 72 horas.
Si tu empresa envía SMS a clientes
- Usa siempre el mismo remitente y avisa en tu web y en tus correos de cómo te comunicas.
- No incluyas enlaces de pago de tarjetas en los SMS. Si es imprescindible, remite a tu dominio oficial y explica a los clientes cómo reconocerlo.
- Haz que tus mensajes sean reconocibles: tu nombre comercial, un dato que solo el cliente conozca (como el número de pedido) y ningún tono de amenaza.
- Pon a disposición de los clientes un canal para comprobar si un mensaje es tuyo.
Preguntas rápidas
¿Puedo recuperar el dinero?
Depende de las circunstancias y de la rapidez con que actúes. Contacta con el banco de inmediato, reclama por escrito, guarda pruebas y presenta la denuncia. Es el camino que recomiendan tanto el INCIBE como los medios que han cubierto estas campañas.
¿La Agencia Tributaria me avisa por SMS de algo?
Según lo que ha trasladado a los medios, no usa SMS para pedirte el número de cuenta ni las claves, ni para anunciar devoluciones. Si tienes dudas sobre una notificación, entra tú en la sede electrónica con tu certificado digital o Cl@ve.
¿Qué hago con un mensaje sospechoso que no he abierto?
No pulses el enlace, no respondas, elimínalo y bloquea el número. Si quieres ayudar a otros, puedes reenviarlo al INCIBE.
Otros fraudes que aprovechan la prisa
El SMS es una de las puertas; las otras son los códigos QR, los correos y los cobros por Bizum. Tienes las guías de estafas con códigos QR, de las estafas de Black Friday que suplantan tu tienda y del Bizum inverso.
Cómo te ayudamos en Mitza
Revisamos los accesos y las cuentas de tu empresa, dejamos activada la verificación en dos pasos y te ayudamos a definir un protocolo para tu equipo. Si estás en Madrid sur, mira nuestro mantenimiento informático, o escríbenos desde la página de contacto.