Un cargo de 300 euros, una compra en Amazon que no has realizado o un cobro por medio de una plataforma en la que no estás registrado, son algunas de las tácticas que emplean los ciberdelincuentes para captar tu atención, causarte alarma y que intentes cancelar el pago rápidamente.

El método siempre es similar: recibes un mensaje en tu teléfono con un tono serio, un monto considerable y un remitente legítimo: tu banco. El texto suele repetir un contenido parecido, «se ha solicitado una autorización de pago por 300 euros. En caso de no haber efectuado esta operación, contacta con el Servicio de Atención al Cliente».

Esto corresponde a una estafa de smishing o phishing mediante SMS. El mensaje no busca informar al usuario, sino engañarlo y conducirlo por un camino controlado por los delincuentes cuyo fin es recopilar datos como: número de tarjeta, credenciales de banca en línea, códigos de un solo uso, códigos de dispositivo, información personal o confirmaciones dentro de la app bancaria.

En ocasiones, la víctima marca el número proporcionado en el mensaje y se topa con un falso operador, usualmente bien entrenado, que utiliza un lenguaje similar al de un representante oficial de atención al cliente bancaria. En otros casos, el enlace en el texto lleva a una web falsa, diseñada para imitar a un banco o a un servicio de pagos.

Las estafas a través de SMS son cada vez más difíciles de reconocer; los importes se eligen para generar ansiedad y las menciones a plataformas reconocidas como Amazon, PayPal o Booking hacen que el mensaje resulte familiar. Además, en ocasiones, el remitente puede mostrarse dentro de conversaciones ya existentes gracias a técnicas de suplantación de identidad que ocultan su procedencia, por lo que el usuario confía en el nombre que aparece en la pantalla del móvil.

Hay una única regla fundamental: ningún mensaje urgente recibido por SMS debe usarse como base para facilitar información bancaria, credenciales o códigos de seguridad.

Si existen dudas respecto a un pago, conviene verificarlo directamente en la aplicación oficial, acceder al área de clientes, introducir la dirección en el navegador o llamar al número que aparece al dorso de la tarjeta. Nunca se debe utilizar la información de contacto presente en el mensaje sospechoso.