Smishing: Phishing por SMS y Cómo Protegerte de los Mensajes de Bancos Falsos

Un mensaje de texto llega a las 7 de la mañana: "Alerta: se ha detectado un intento de acceso no autorizado a tu cuenta. Verifica tu identidad aquí [enlace] o tu cuenta será bloqueada en 2 horas." Nada en el celular grita "esto es sospechoso" de la misma forma que un correo puede hacerlo — no hay firma corporativa que analizar, no hay dirección de remitente completa visible, solo un remitente de pocos caracteres y un enlace corto. Esa simplicidad es exactamente lo que hace del smishing una amenaza tan efectiva.

Los mensajes SMS tienen limitaciones estructurales que los hacen, paradójicamente, más peligrosos que el correo en ciertos aspectos. No hay forma sencilla de "pasar el cursor" sobre un enlace en un SMS para verificar su destino real antes de tocarlo, como sí se puede hacer en la mayoría de los clientes de correo. Los remitentes de SMS pueden mostrarse como texto alfanumérico corto (como "BancoXYZ") sin ninguna verificación real de que ese remitente corresponda genuinamente a la institución. Y el contexto en que la gente revisa mensajes de texto — de forma rápida, entre otras tareas, muchas veces mientras camina o conduce — reduce aún más el tiempo disponible para el pensamiento crítico.

Mensajes que simulan alertas de seguridad bancaria, pidiendo "verificar" la cuenta ante actividad sospechosa — el mismo gancho psicológico que domina el vishing, adaptado al formato de texto.

Notificaciones falsas de envío o entrega de paquetes, aprovechando el crecimiento del comercio electrónico, con enlaces que llevan a formularios de "pago de aranceles" o "confirmación de dirección" diseñados para robar datos de tarjetas.

Mensajes que simulan premios o beneficios inesperados, apelando a la codicia en lugar del miedo — una variante psicológicamente distinta pero igual de efectiva.

Suplantación de plataformas de pago y billeteras digitales populares en Colombia, con enlaces a páginas que imitan la interfaz de inicio de sesión real para capturar credenciales.

Ningún banco legítimo pide información sensible mediante un enlace en un SMS. Las comunicaciones oficiales de seguridad rara vez incluyen un enlace directo pidiendo "verificación" — más bien dirigen a abrir la app oficial directamente.

Los enlaces acortados son una señal de alerta en este contexto. Los mensajes legítimos de instituciones grandes suelen usar dominios reconocibles, no acortadores genéricos que ocultan el destino real.

La presión de tiempo extrema es, otra vez, la táctica central. "2 horas", "2 horas o se bloqueará tu cuenta", plazos diseñados específicamente para que actúes antes de verificar.

No toques ningún enlace, no respondas al mensaje (algunas respuestas confirman al atacante que el número está activo, generando más intentos futuros), y verifica directamente a través de la app oficial de la institución o llamando al número de atención al cliente ya conocido. Reportar el número al operador móvil y a la entidad suplantada ayuda a que otros usuarios reciban alertas más rápido.

El smishing dirigido contra empleados puede ser el primer paso hacia el compromiso de cuentas corporativas, especialmente cuando el mensaje suplanta a la propia mesa de ayuda de TI de la empresa pidiendo "verificar" credenciales de acceso. Las políticas de capacitación contra phishing deberían incluir explícitamente el formato SMS, no solo el correo electrónico — un punto que a menudo se pasa por alto en programas de concienciación centrados exclusivamente en el correo.