Smishing: qué es y cómo actuar

¿Qué es el smishing y cómo funciona?

Se conoce como una modalidad de phishing por medio de mensajería de texto, en la que los ciberdelincuentes se hacen pasar por una entidad legítima con el fin de obtener tus datos personales, bancarios o bien realizar cargos económicos no autorizados. 

Por lo general, los mensajes hacen creer que proceden de un banco, Administración pública o empresa reconocida. Además, su contenido genera siempre una urgencia que invita a hacer clic en un enlace o llamar a un número de tarificación especial. Entre los mensajes comunes que se utilizan para hacer smishing están bloqueo de cuenta, pagos pendientes, pagos retenidos o reembolsos. 

En la práctica jurídica, no existe una ley que defina el smishing; sin embargo, podemos encuadrarla en figuras como la estafa informática regulada en el artículo 248, parágrafo 2 del Código Penal. Este texto legal sanciona a toda persona que realiza transferencias no consentidas en perjuicio de otro, manipulando artificiosamente soportes informáticos y telemáticos. 

Asimismo, los artículos 197 y siguientes del Código Penal incluyen delitos de descubrimiento y revelación de secretos y podemos interpretar que el smishing es uno de estos, ya que se accede a datos personales de forma indebida, sin consentimiento y con ánimo de perjudicar. 

Por si fuera poco, el Reglamento de Protección de Datos y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, se vulneran al obtener datos personales de forma ilícita, así como su uso fraudulento. En cualquier caso, se puede dar lugar a sanciones administrativas por parte de la Agencia Española de Protección de Datos. 

Vale mencionar que estos marcos normativos se aplican tanto al tratamiento de los datos sensibles obtenidos como a la falta de medidas de seguridad suficientes por parte de los responsables de los sistemas afectados.

Ejemplos habituales de smishing en España

Para que tomes las medidas de precaución adecuadas, te contamos cuáles son los patrones que tiene el smishing. Pero debes tener en cuenta que la campaña puede variar en alguno que otro detalle. 

• Mensajes que supuestamente son enviados por entidades bancarias informando de un acceso sospechoso, el bloqueo de la cuenta o la necesidad de verificar la identidad a través de un enlace que te conducirá a una web falsa donde se solicitarán tus credenciales y códigos de un solo uso. 
• SMS que aparenta ser enviado de empresas de mensajería avisando que tienes un paquete retenido o tasas aduaneras pendientes. A continuación, se presenta el enlace por el que tendrás que pagar cierta cantidad de dinero, pero la realidad es que lo que hará es robar los datos de tu tarjeta.
• Comunicaciones que presentan avisos de organismos públicos, donde se amenaza con sanciones o citaciones si no accedes al enlace o remites tus datos en un plazo determinado.

En muchos casos, el smishing se utiliza antes de recurrir a una estafa económica más compleja. Por eso, se combina con llamadas telefónicas (vishing) o correos electrónicos (phishing) que refuercen el engaño o incrementen el perjuicio patrimonial. 

También debes tener en cuenta que, si el smishing se consuma, junto pueden concurrir otros delitos, como la usurpación de estado civil regulada en el artículo 401 del Código Penal. Esto ocurre cuando se utilizan los datos obtenidos para hacerse pasar por la víctima ante entidades bancarias o terceros.  

¿Qué hacer si recibes un mensaje de smishing?

Si has recibido un mensaje de texto que te resulta sospechoso, lo primero que debes hacer es mantener la calma para poder actuar con rapidez e inteligencia. A este respecto, es importante que conozcas las referencias legales que te protegen y algunos de los consejos que, como expertos en smishing, te dejamos abajo: 

• No pulses en el enlace ni respondas el mensaje. Ten en cuenta que ninguna entidad te pedirá contraseñas, PIN o códigos de autenticación por mensajería de texto.
• Comprueba la información por canales oficiales del banco, la administración o la empresa de mensajería. También puedes llamar directamente a los teléfonos oficiales para pedir información sobre lo sucedido.
• En el caso de que el mensaje asegure provenir de un organismo público, recuerda que las notificaciones formales se practican conforme a la Ley 39/2015, del Procedimiento Administrativo Común, o sus normas de desarrollo. Además, la información de dichas entidades se emite por canales seguros y sistemas de identificación adecuados, no por SMS.

Lo mejor es que hagas capturas de pantalla del smishing recibido. Gracias a esto tendrás una prueba ante una eventual denuncia penal o reclamación frente a la entidad bancaria o servicio de pago. De esa forma, podrás acreditar que la operación no fue autorizada, sino que se produjo mediante un engaño. 

¿Qué hacer si ya has facilitado tus datos o has hecho clic en el enlace?

Ahora bien, si tu caso supone que ya el daño se ha producido, es obligatorio que actúes rápido. Cada minuto es crucial para limitar el perjuicio económico. En tal sentido, puedes tomar las siguientes medidas: 

• Contacta a la entidad bancaria y bloquea tus tarjetas, cuentas o medios de pago que puedan verse comprometidos. De esa manera se minimiza el impacto de las operaciones no autorizadas y permite que se te reembolsen los importes que fueron robados de tus cuentas.
• Cambia tus contraseñas de los servicios afectados. Te recomendamos activar la autenticación multifactor para reforzar las medidas técnicas que exige la ley para garantizar la seguridad del tratamiento de datos personales.
• Ejecuta un análisis antivirus y antimalware en tus dispositivos, sobre todo si el enlace conducía a una descarga de aplicación o fichero, para evitar otras intrusiones.

¿Cómo denunciar el smishing y protegerte en el futuro?

Interponer una denuncia ante la Policía Nacional, Guardia Civil o Juzgado de Guardia permitirá dejar constancia del contenido de los mensajes, movimientos bancarios no autorizados y cualquier comunicación posterior. Al mismo tiempo, puedes valorar la posibilidad de hacer una reclamación ante el Banco de España si existe una controversia con la entidad sobre la dilución de cargos fraudulentos. 

Tales denuncias contribuyen a la persecución del delito y refuerzan tu posición frente a terceros que pueden exigir que acredites que has actuado con diligencias. En este sentido, puedes utilizar las siguientes vías para denunciar el smishing:

• Presentar una denuncia ante la Policía Nacional o Guardia Civil, presentando tu DNI, capturas de pantalla, números de teléfono desde donde provienen los mensajes y extractos bancarios.
• Interponer reclamación ante la Agencia Española de Protección de Datos cuando se hayan vulnerado tus datos personales.
• Hacer reclamación ante el Servicio de Atención al Cliente de tu banco y luego del Banco de España cuando se trate de operaciones de pago no autorizadas o si no hay un acuerdo con la entidad bancaria. 

Cómo puede ayudarte Javaloyes Legal ante un fraude bancario por smishing

Las estafas mediante smishing suelen tener como consecuencia operaciones bancarias no autorizadas, cargos fraudulentos o el acceso ilícito a datos personales. En estos casos, actuar con rapidez y contar con asesoramiento jurídico especializado resulta clave para recuperar el dinero sustraído y depurar responsabilidades.

En Javaloyes Legal contamos con experiencia en reclamaciones por fraude bancario y estafas digitales, asesorando a particulares que han sido víctimas de phishing, smishing o vishing. Nuestro trabajo consiste en analizar cada caso concreto para determinar si la entidad financiera ha cumplido con sus obligaciones de seguridad y si procede exigir la devolución de los importes sustraídos.

Desde nuestro despacho podemos ayudarte a:

• Analizar la operación fraudulenta y determinar la viabilidad de la reclamación.

• Reclamar ante el Servicio de Atención al Cliente del banco la devolución del dinero sustraído.

• Presentar reclamaciones ante el Banco de España cuando la entidad financiera rechaza el reembolso.

• Interponer acciones judiciales si la entidad se niega a asumir su responsabilidad.

• Asistirte en la denuncia penal por estafa informática y otros delitos relacionados.

Además, estudiamos si en el caso concreto se han vulnerado obligaciones de seguridad en los sistemas de pago o si existe responsabilidad por falta de diligencia en la prevención del fraude.

Contar con asesoramiento legal desde las primeras fases del problema puede marcar la diferencia entre asumir la pérdida económica o lograr la recuperación del dinero. Por ello, ante cualquier caso de smishing o fraude bancario, resulta recomendable consultar con abogados especializados que puedan defender tus derechos frente a la entidad financiera.