Cómo saber si un SMS es una estafa y comprobar el enlace con seguridad

Un SMS es probablemente una estafa si crea urgencia por un paquete, un pago, una cuenta o un reembolso y, a continuación, te pide que pulses un enlace, llames a un número o envíes dinero o un código. La comprobación segura consiste en no tocar el enlace, entrar en la web de la empresa escribiendo tú mismo la dirección y denunciar el mensaje. Antes, puedes pegar el texto en el comprobador de estafas para ver las señales de alerta y el dominio real de cada enlace.

Detector de estafas en mensajes¿Es estafa este mensaje?Úsalo gratis

Los patrones más habituales

La mayoría de los SMS fraudulentos siguen unos pocos guiones. La Comisión Federal de Comercio de EE. UU. (FTC) enumera varios, entre ellos avisos falsos de entrega de paquetes, alertas de actividad sospechosa en una cuenta o de un problema con un pago, facturas falsas por compras que no hiciste y ofertas de premios, tarjetas regalo o descuentos que no son reales.

• Tasa falsa de entrega. Te dicen que un paquete está «retenido» y te piden una pequeña tasa para volver a enviarlo, a menudo unos pocos euros o dólares. El importe es bajo para que pagues sin pensar y la página te pide después los datos de la tarjeta.
• Cuenta bloqueada. «Tu cuenta ha sido limitada. Verifícala ahora». El enlace lleva a una copia de una página de inicio de sesión.
• Reembolso de peaje o de impuestos. Un mensaje sobre un peaje sin pagar o un reembolso que te corresponde, con un enlace para «reclamarlo».
• «Hola, mamá» desde un número nuevo. Alguien dice que ha perdido el teléfono y que necesita dinero hoy, a una cuenta nueva.
• Ofertas de trabajo. Pagar un kit de inicio, comprar equipos o criptomonedas para empezar, o «dar me gusta» a publicaciones a cambio de dinero.
• Romance o inversión por un número equivocado. Un mensaje amable y aparentemente casual que deriva hacia una plataforma de inversión que solo paga si ingresas más dinero.

Lo que tienen en común es que piden dinero, códigos o datos, y dan un motivo para actuar antes de comprobar nada.

Cómo leer el dominio real de un enlace

Una dirección web tiene la forma https://host/ruta. El host es el texto que va entre // y la primera barra simple. Todo lo que está delante de un signo @ es un nombre de usuario, no el destino. Así, https://[email protected]/ abre una dirección numérica, no tu banco.

Hay cuatro trucos que engañan a mucha gente:

• Marca en el subdominio. En tubanco.com.verificacion-segura.net, el dominio real es verificacion-segura.net. La parte que suena conocida es un nombre que eligió el remitente. El dominio registrado suele ser las dos últimas partes del host, o tres en casos como .co.uk.
• Direcciones numéricas. Un enlace de banco o de paquetería que apunta a una serie de números es una señal de alerta.
• Letras parecidas. Los nombres internacionalizados se guardan con el prefijo xn--, y un nombre puede usar letras de otro alfabeto que se parecen casi igual a las latinas. Lee la dirección, no el logotipo.
• Acortadores. Servicios como bit.ly o tinyurl ocultan el destino. No puedes juzgar el enlace solo leyéndolo.

La herramienta de limpiar enlace quita los envoltorios de redirección, como google.com/url?q=, y elimina las etiquetas de seguimiento, de modo que puedes ver a qué dirección lleva realmente un enlace. No valora si esa dirección es segura.

Qué hacer con un SMS sospechoso

1. No pulses el enlace y no respondas al mensaje. Responder confirma que tu número está activo.
2. Si el texto dice ser de una empresa, abre su aplicación o escribe tú mismo su dirección web y revisa la cuenta desde allí.
3. Si ya introdujiste los datos de la tarjeta o una contraseña, contacta con tu banco o con la entidad emisora de la tarjeta usando el número que aparece en ella, y cambia la contraseña.
4. Denuncia el mensaje (ver más abajo).

Dónde denunciarlo

Estados Unidos. Reenvía el texto al 7726 (SPAM), que la FTC pide hacer. Denuncia la estafa ante la FTC en ReportFraud.ftc.gov. Tu aplicación de mensajería también puede tener una opción para reportar spam.

Reino Unido. Reenvía un SMS sospechoso al 7726, un servicio gratuito. Reenvía un correo sospechoso a [email protected], el Servicio de Denuncia de Correos Electrónicos Sospechosos del Centro Nacional de Ciberseguridad. Si perdiste dinero, denúncialo ante Report Fraud (antes Action Fraud) en reportfraud.police.uk.

Reenviar el mensaje ayuda a las operadoras móviles y a las autoridades a bloquear números y cerrar webs. No necesitas tener pruebas de que un mensaje es una estafa para denunciarlo.

Casos límite

• El mensaje llegó en la misma conversación que los SMS reales de tu banco. El nombre del remitente se puede falsificar, así que un nombre conocido no es una prueba. Comprueba a través de una dirección que ya conoces.
• El mensaje es de una empresa que sí usas. Una entrega real puede ir seguida de una falsa. Comprueba el seguimiento en la propia aplicación de la empresa.
• No estás seguro. Pregunta a alguien de confianza o consulta en la web de la empresa la lista de sus mensajes auténticos.
• Un resultado limpio en el comprobador. El comprobador de estafas usa reglas de señales de alerta, así que un resultado limpio no demuestra que un mensaje sea seguro. Trata como sospechoso cualquier mensaje que pida dinero o códigos, en cualquier caso.

Respuestas rápidas

¿Puede un SMS desde el número de una empresa real ser una estafa? Sí. Los números y los nombres de remitente se pueden suplantar, y a veces los estafadores envían mensajes a una conversación ya existente. Juzga la petición, no el nombre.

¿Debo responder «STOP» para darme de baja de un SMS fraudulento? Normalmente no. Responder confirma que tu número está activo. Reenvía el mensaje y bórralo.

¿Qué pasa si pulsé el enlace? No introduzcas nada en la página. Ciérrala, borra el historial del navegador si quieres y revisa los movimientos de tu banco y de tus tarjetas. Si introdujiste datos, sigue los pasos de arriba.