El Instituto Nacional de Ciberseguridad (INCIBE) ha detectado una nueva campaña de smishing de importancia alta que suplanta a la Tesorería General de la Seguridad Social (TGSS). Los mensajes de texto llegan con un tono oficial y urgente: informan de una “actualización pendiente” y animan a pulsar un enlace para gestionar el trámite. Ese enlace no lleva a ninguna sede oficial. Conduce a una web falsa diseñada para capturar datos personales y, finalmente, los de la tarjeta bancaria.
Cómo funciona el engaño
El smishing es una variante del phishing que utiliza SMS en lugar de correo electrónico. En esta campaña los delincuentes aprovechan la confianza que genera un organismo público como la Seguridad Social y la natural preocupación por prestaciones o actualizaciones administrativas.
El flujo típico es el siguiente:
- Llega un SMS con un texto similar a: “Seg Social: Tiene una actualización pendiente. Consulte su información y gestione el trámite correspondiente”. Incluye un enlace.
- Al pinchar, el usuario llega a una página que imita el diseño, los logotipos y las tipografías de la web real de la Seguridad Social. Algunos sitios incluso piden confirmar que “no eres un robot” para aumentar la sensación de legitimidad.
- Se informa de una prestación económica pendiente de revisión y cobro (en ejemplos detectados se ha hablado de una supuesta “Asistencia para la adaptación energética 2026” por unos 305 euros).
- Se solicitan datos personales (DNI, nombre, dirección…).
- Cuando el usuario intenta “cobrar” la prestación, la web pide los datos completos de la tarjeta de crédito o débito (número, caducidad y CVV) para el supuesto ingreso.
Se han identificado varias variantes del mensaje y diferentes dominios falsos que intentan parecer oficiales. El objetivo final es siempre el mismo: obtener credenciales bancarias para realizar cargos fraudulentos.
La propia Seguridad Social y el INCIBE insisten en un punto clave: nunca solicitan datos personales, actualizaciones ni pagos a través de enlaces enviados por SMS.
Qué hacer si recibes uno de estos mensajes
- No pulses el enlace.
- No respondas al SMS.
- Bloquea el remitente y elimina el mensaje.
- Si quieres comprobar si realmente tienes alguna notificación pendiente, entra directamente por los canales oficiales:
Nunca uses el enlace del mensaje ni busques la web a través de buscadores a partir del texto del SMS.
Si ya has pinchado el enlace o has facilitado datos
Actúa con rapidez:
- Contacta de inmediato con tu banco o entidad financiera para bloquear la tarjeta y revisar movimientos no autorizados.
- Guarda todas las pruebas (capturas de pantalla del SMS, de la web falsa, historial del navegador, etc.). Puedes utilizar servicios de testigos online para reforzar la validez de las evidencias.
- Denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.
- Reporta el incidente al INCIBE a través de su buzón de incidentes o llama al 017 (Línea de Ayuda en Ciberseguridad).
- Practica egosurfing periódicamente (busca tu nombre, DNI o teléfono en internet) durante los siguientes meses para detectar posibles usos indebidos de tus datos.
Consejos prácticos
- Desconfía de la urgencia. Los organismos públicos y los bancos legítimos no te presionan por SMS para que actúes en minutos.
- Verifica siempre el dominio. Antes de introducir cualquier dato, mira la barra de direcciones. Los dominios oficiales de la Seguridad Social terminan en .gob.es o .seg-social.gob.es. Cualquier variación (guiones extra, “.com”, “.es” mal escritos, subdominios raros) es una señal de alarma.
- No uses el SMS como punto de entrada. Si recibes un aviso, abre el navegador tú mismo y escribe la dirección oficial o utiliza la app oficial.
- Activa la autenticación en dos factores (2FA) en tu banca online y en los servicios críticos siempre que esté disponible.
- Mantén el sistema operativo y las aplicaciones actualizados. Las actualizaciones de seguridad cierran muchas de las vías que aprovechan estas campañas.
- Usa un antivirus móvil con protección antiphishing y de pagos. En Android, soluciones como ESET Mobile Security incluyen escaneo en tiempo real, protección específica para operaciones bancarias y detección de sitios web fraudulentos.
- Para autónomos y empresas: forma a los empleados (aunque sea una plantilla pequeña) para que reconozcan este tipo de mensajes. Un solo clic desde un dispositivo corporativo puede poner en riesgo datos de clientes o accesos a la banca de la empresa.
- Revisa periódicamente los movimientos bancarios y configura alertas de operaciones en tiempo real.
Refuerza la protección de tu móvil
Los ataques de smishing llegan directamente al dispositivo que llevamos siempre encima. Contar con una capa de seguridad especializada reduce significativamente el riesgo de caer en webs fraudulentas o de que un enlace malicioso descargue malware.
ESET Mobile Security ofrece protección en tiempo real, análisis de aplicaciones, protección de pagos y funciones antirrobo. Puedes probarla gratis y, si te convence, adquirir la licencia Premium de forma sencilla.
Protege tu smartphone Android ahora: descarga o compra tu licencia de ESET Mobile Security.
Mantente alerta. La Seguridad Social no te va a pedir datos por SMS. Si algo te genera duda, verifica siempre por los canales oficiales y no facilites información.
Fuente: INCIBE
