Una estafa por SMS volvió a quedar bajo la lupa de especialistas en seguridad digital por el riesgo que representa para quienes usan el celular para operar con bancos, recibir promociones o seguir entregas. La maniobra, conocida como smishing, consiste en mensajes de texto que aparentan ser reales y empujan a la persona a tocar un enlace. A partir de ahí, los atacantes pueden robar datos personales, credenciales bancarias e incluso instalar programas maliciosos. Las advertencias indican que esta práctica, ya vista desde hace años en Europa, empieza a detectarse con más frecuencia en Perú y otros países de América Latina.
El punto más delicado de esta modalidad es que no se limita a un engaño simple. Según las advertencias relevadas, un solo clic puede abrir la puerta a páginas falsas diseñadas para copiar la imagen de bancos, empresas de mensajería o firmas conocidas. En otros casos, el vínculo también puede facilitar la descarga de software malicioso capaz de intervenir parcialmente el teléfono y capturar información sensible durante días o semanas.
Los especialistas remarcan que la expansión del fraude está ligada al uso masivo de teléfonos inteligentes y a la rapidez con la que se pueden enviar miles de mensajes en muy poco tiempo. Además, el SMS todavía conserva para muchos usuarios una apariencia de formalidad mayor que otros canales, y eso favorece que el engaño avance.
La estafa por SMS se apoya en la urgencia para empujar un clic
El mecanismo suele arrancar con un texto breve, directo y pensado para apurar a la persona. A veces informa sobre un premio, un beneficio económico o un paquete pendiente. En otras variantes, el mensaje apunta al miedo: avisa sobre una supuesta cuenta bloqueada, movimientos extraños o problemas con la banca móvil. Aunque cambie la excusa, el objetivo es siempre el mismo: lograr que el usuario entre al enlace.
Estafas en Salta: alerta por engaños en WhatsApp, Marketplace e IPS
Una vez dentro, la víctima puede llegar a un sitio que imita con bastante precisión a una entidad conocida. Esas páginas apócrifas usan logotipos, colores, nombres y direcciones web muy parecidas a las verdaderas para transmitir confianza. Así, el usuario cree que está frente a una plataforma oficial, cuando en realidad está entregando información a delincuentes.
En esa instancia, suelen pedir nombre completo, documento, número de teléfono, correo electrónico y claves de acceso. En algunos casos también solicitan códigos de verificación enviados por SMS o datos de tarjetas de crédito y débito. Con esos elementos, los atacantes pueden entrar a cuentas bancarias, hacer transferencias, pedir préstamos a nombre de la víctima o concretar compras no autorizadas.
La maniobra gana fuerza porque está pensada con herramientas de ingeniería social. Es decir, no depende solo de la tecnología, sino también de la reacción humana. Si alguien cree que puede perder un beneficio o que tiene un problema urgente con su cuenta, es más probable que actúe sin revisar si el mensaje es auténtico.
El SMS falso también puede instalar malware y ampliar el daño
Las advertencias no se quedan en el robo de claves. En varios de estos ataques, el enlace incluye la posibilidad de descargar aplicaciones maliciosas o activar programas que quedan funcionando en el equipo sin que la persona llegue a notar el alcance del problema. Ese software puede registrar teclas, capturar contraseñas e interceptar códigos de autenticación enviados por el banco.
En las situaciones más graves, el malware puede seguir activo durante semanas mientras junta información financiera y personal. Por eso el impacto no se limita a una cuenta puntual. También puede quedar expuesto todo lo que el usuario gestiona o almacena desde el celular, incluyendo otros accesos sensibles.
De acuerdo con las advertencias citadas, esta modalidad se viene usando desde hace años en distintos países de Europa. Ahora, sin embargo, los casos empiezan a aparecer con más frecuencia en Perú y en otros puntos de América Latina. Entre las razones que explican ese avance figuran la cantidad de personas que operan desde el teléfono y la facilidad con la que los atacantes distribuyen miles de SMS en pocos minutos.
Ese combo entre apariencia legítima, presión emocional y alcance masivo hace que el smishing sea especialmente efectivo. A diferencia de otros engaños, el mensaje de texto suele pasar más desapercibido y genera una confianza inicial que termina siendo clave para que la trampa funcione.
Qué hacer para no caer y cómo reaccionar si ya hubo un clic
Frente a este escenario, la principal recomendación es desconfiar de cualquier SMS que pida cargar datos personales o bancarios mediante un enlace. Los especialistas remarcan que, por lo general, las entidades financieras no solicitan contraseñas, códigos de seguridad ni información confidencial por ese canal. Si el mensaje habla de un inconveniente con una cuenta, conviene entrar de manera directa a la aplicación oficial del banco o usar sus vías de atención autorizadas.
También se aconseja revisar con atención la dirección web antes de escribir cualquier dato y evitar instalar aplicaciones desde vínculos enviados por mensaje de texto. Ese punto es clave porque una dirección apenas modificada puede parecer auténtica a simple vista. Del mismo modo, se recomienda mantener una actitud de desconfianza ante enlaces inesperados, incluso cuando parezcan venir de una empresa conocida.
Si la persona ya hizo clic o llegó a completar información en una página sospechosa, las advertencias indican que hay que actuar cuanto antes. Entre las primeras medidas aparecen el cambio inmediato de contraseñas vinculadas con las cuentas afectadas y el contacto con el banco para bloquear tarjetas o accesos que hayan podido quedar comprometidos.
Otra acción recomendada es hacer un análisis de seguridad con un antivirus actualizado para verificar si el teléfono fue alcanzado por algún programa malicioso. A eso se suma la conveniencia de denunciar el hecho ante la entidad financiera y ante las autoridades correspondientes para intentar reducir el impacto del fraude y prevenir nuevas maniobras.
Carmen Barbieri y Ángel de Brito, en alerta: hackearon un teléfono para estafar
Las recomendaciones relevadas insisten en no compartir información confidencial fuera de los canales oficiales y en no introducir datos sensibles en páginas abiertas desde enlaces recibidos por texto. También señalan que evitar la descarga de aplicaciones por esa vía puede marcar la diferencia entre un intento fallido y una cuenta comprometida.
