Smishing: Por qué sus clientes ya no confían en los SMS

Tiempo de lectura: 15 min

Los SMS se han convertido en un canal esencial para la atención al cliente. Confirmación de pedidos, seguimiento de envíos, recordatorios de citas, códigos de autenticación, alertas de seguridad u ofertas promocionales: las marcas los utilizan para transmitir rápidamente información que generalmente se visualiza en un teléfono móvil.

Esta cercanía es también su principal debilidad. Dado que un mensaje de texto parece directo, personal y, a veces, urgente, ofrece a los estafadores un entorno especialmente favorable. El smishing , una combinación de SMS y phishing , secuestra los códigos de las comunicaciones legítimas para robar información, tomar el control de una cuenta o provocar pagos fraudulentos.

Más allá de la ciberseguridad, este fenómeno representa un verdadero desafío para el marketing tecnológico . Afecta la confianza depositada en los mensajes, la reputación de los remitentes, el rendimiento de las campañas y, en términos más generales, la calidad de la relación entre una marca y sus clientes.

¿Qué es el smishing?

El smishing es una técnica de phishing que se propaga mediante SMS o mensajes móviles. Un estafador se hace pasar por una organización conocida para engañar al destinatario y que realice una acción peligrosa.

El mensaje puede pretender lograr lo siguiente:

credenciales de inicio de sesión;
una contraseña;
un número de tarjeta bancaria;
un código de autenticación de un solo uso;

información personal;
un pago;
la instalación de una aplicación maliciosa.

Cybermalveillance.gouv.fr define el smishing como el envío de un mensaje corto bajo una identidad falsa y un pretexto falso, con la intención de inducir a la víctima a comunicar datos personales, bancarios o credenciales de inicio de sesión.

Por lo tanto, el smishing pertenece a la familia del phishing. Lo que lo distingue no es necesariamente el método de fraude empleado, sino el canal utilizado para establecer el primer contacto con la víctima.

" Los aficionados piratean sistemas; los profesionales piratean personas. "
Bruce Schneier — Criptógrafo, investigador, autor y experto en ciberseguridad estadounidense

Bruce Schneier — Criptógrafo, investigador, autor y experto en ciberseguridad estadounidense

Un ataque basado en ingeniería social

El smishing rara vez explota una vulnerabilidad técnica en el teléfono. Su efectividad se basa principalmente en la ingeniería social , es decir, en la manipulación del comportamiento humano.

El estafador busca crear una situación en la que el destinatario actúe sin pensar . El mensaje le da la impresión de que acaba de ocurrir un evento importante y que se requiere una respuesta inmediata.

Los escenarios más comunes incluyen:

un paquete que no pudo ser entregado;
un pago inusual o rechazado;
una cuenta que, según se informa, está a punto de ser suspendida;
una tarjeta bancaria que supuestamente fue bloqueada;
un peaje, factura o multa impaga;
un reembolso que se puede solicitar;
una renovación de suscripción;
una oferta de trabajo;
un regalo o recompensa para coleccionar.

Estos pretextos evolucionan según la actualidad, los hábitos de consumo y los periodos comerciales. De este modo, una campaña puede adaptarse a las épocas de rebajas, las vacaciones de fin de año, la declaración de la renta o una campaña de envíos masivos.

En Francia, cybermalveillance.gouv.fr también ha detectado mensajes de texto aparentemente inofensivos, como "¿Hola, estás en casa?". El objetivo es obtener una respuesta inicial para entablar una conversación o sortear los mecanismos que bloquean las conexiones de números desconocidos.

El curso típico de un ataque

Un ataque de smishing generalmente comienza con un mensaje que parece provenir de una empresa, agencia gubernamental, banco o servicio conocido.

El SMS incluye una solicitud de acción. Puede invitar al destinatario a hacer clic en un enlace, responder al mensaje, llamar a un número o instalar una aplicación.

Cuando se utiliza un enlace, este suele redirigir a un sitio web que imita la identidad visual de la organización suplantada. Se reproducen el logotipo, los colores, la tipografía, el formulario de inicio de sesión y los mensajes tranquilizadores para que el fraude parezca creíble.

El sitio web falso puede solicitar varios datos de forma consecutiva:

la identidad y los datos de contacto del cliente;
sus credenciales de inicio de sesión;
sus datos bancarios;
un código recibido por SMS;
la validación de una supuesta operación de seguridad.

Esta progresión permite al estafador recopilar datos suficientes para acceder a una cuenta, realizar una transacción o preparar una segunda fase del ataque.

El mensaje de texto también puede ir seguido de una llamada telefónica. Un supuesto asesor afirma entonces intervenir para proteger la cuenta de la víctima. En este caso, el smishing se combina con el vishing o phishing telefónico.

¿Por qué los SMS siguen inspirando confianza?

El correo electrónico se ha asociado durante mucho tiempo con el spam y el phishing. Los usuarios de Internet han aprendido a desconfiar de los archivos adjuntos, los remitentes desconocidos y los mensajes que prometen ganancias improbables.

Los mensajes de texto conservan una percepción diferente. Suelen asociarse con una comunicación más personal, un acontecimiento real o una acción reciente. Además, ofrecen una gran visibilidad: el mensaje aparece directamente en la pantalla de bloqueo y puede activar una notificación inmediata.

Varias características mejoran su eficacia contra los estafadores.

Una lectura rápida

El mensaje suele leerse en pocos segundos, en un contexto de movilidad o con la atención dividida. El destinatario puede estar de camino al trabajo, en el trabajo o realizando otra tarea.

Luego, comprueba con menos detenimiento la dirección del sitio web, el número del remitente o la coherencia de la solicitud.

Una pantalla pequeña

Las pantallas de los dispositivos móviles no siempre muestran la URL completa . Por lo tanto, resulta más difícil distinguir entre un dominio oficial y uno fraudulento.

Un estafador podría, por ejemplo, utilizar un nombre de dominio que contenga el nombre de la marca, acompañado de palabras tranquilizadoras como seguro , cliente , validación o soporte.

Identificación incompleta del remitente

Un mensaje SMS típico muestra principalmente un número o un identificador alfanumérico. Para el usuario, puede resultar difícil saber si este identificador corresponde realmente a una empresa autorizada.

La GSMA señala que esta identificación limitada dificulta que los clientes distingan entre comunicaciones oficiales y mensajes fraudulentos. ( GSMA )

Una cultura de inmediatez

Los mensajes transaccionales han acostumbrado a los consumidores a actuar con rapidez: validar una conexión, confirmar una cita, realizar el seguimiento de una entrega o utilizar un código temporal.

Los estafadores adoptan esta lógica para transformar un hábito útil en un reflejo explotable.

Los mecanismos psicológicos del smishing

El smishing funciona porque genera una emoción lo suficientemente fuerte como para interrumpir el razonamiento normal del receptor.

El urgencia Le hace creer que solo tiene unos minutos para actuar.
La peur Se utiliza para referirse a fraude bancario, bloqueo de cuenta, sanción o deuda.
El autoridad Se basa en la usurpación de un banco, una administración, un operador o un empleador.
La curiosidad Puede verse estimulada por un mensaje incompleto: una foto recibida, un pago desconocido o una solicitud realizada sin contexto.
La recompensa Puede adoptar la forma de un regalo, un reembolso, un trabajo o un ascenso.
Por último, la familiaridad Esto se logra reproduciendo el vocabulario y los hábitos de comunicación de una marca reconocida.

El objetivo es siempre el mismo: reducir el tiempo disponible entre la lectura del mensaje y la acción del destinatario.

Una amenaza con consecuencias muy reales.

Las pérdidas asociadas a las estafas por SMS son difíciles de cuantificar, ya que no todas las víctimas las denuncian. Sin embargo, los datos disponibles muestran que su impacto económico puede ser considerable.

En Estados Unidos, la Comisión Federal de Comercio (FTC) registró pérdidas por valor de 470 millones de dólares en 2024 a causa de estafas iniciadas mediante mensajes de texto . Esta cantidad fue más de cinco veces superior a la registrada en 2020, a pesar de que el número de casos denunciados había disminuido. ( FTC )

Mensajes bancarios falsos, problemas de entrega ficticios, ofertas de trabajo fraudulentas y solicitudes de pago de peajes son algunos de los escenarios que se observan con frecuencia. ( Comisión Federal de Comercio )

Sin embargo, la pérdida financiera inmediata es solo una de las posibles consecuencias. Un ataque también puede provocar:

piratear la cuenta de un cliente;
robo de identidad;
el robo de una base de datos de contactos;
la vulneración de un sistema de correo electrónico;
la instalación de software malicioso;
el secuestro de un número de teléfono;
la reutilización de información en otros fraudes.

Los datos obtenidos durante un ataque inicial pueden ser mejorados y revendidos. Una víctima que simplemente haya proporcionado su nombre, número de teléfono y datos bancarios puede recibir un mensaje mucho más personalizado.

¿Por qué el smishing es un tema de tecnología de marketing?

El smishing se sitúa en la intersección de la ciberseguridad, el marketing móvil, la gobernanza de datos y la experiencia del cliente.

Una empresa puede proteger perfectamente su infraestructura y aun así sufrir las consecuencias de una campaña fraudulenta realizada en su nombre. El estafador no necesita necesariamente piratear la marca; simplemente necesita imitar su identidad.

Esta usurpación produce varios efectos.

Una disminución de la confianza

Cuando un consumidor recibe regularmente mensajes falsos atribuidos a un banco, operador o plataforma, es natural que se vuelva más desconfiado.

Esta precaución puede extenderse a las comunicaciones de la marca. Incluso un mensaje de texto legítimo puede ser ignorado, borrado o marcado como sospechoso.

Una disminución en el rendimiento de marketing

La desconfianza puede reducir las tasas de clics y de conversión de las campañas. También puede limitar la efectividad de los mensajes transaccionales, especialmente cuando el cliente se niega a seguir un enlace necesario.

El smishing crea, por lo tanto, una deuda de confianza : las empresas deben dedicar más esfuerzo a demostrar la autenticidad de sus propias comunicaciones.

Un aumento en las solicitudes de servicio al cliente

Los clientes que reciban un mensaje sospechoso pueden contactar con el servicio de atención al cliente para verificar su origen. Por lo tanto, una campaña de fraude importante puede provocar un aumento repentino de llamadas, correos electrónicos y conversaciones con los representantes de atención al cliente.

Los equipos deben ser capaces de identificar rápidamente la campaña, responder de forma coherente y explicar el procedimiento a seguir.

Un riesgo para la reputación de la marca

La víctima no siempre distingue entre la responsabilidad del estafador y la de la empresa cuyos productos fueron imitados. Puede creer que la marca no protegió adecuadamente su identidad, sus datos o sus canales de comunicación .

Por lo tanto, la reputación puede verse afectada incluso cuando la empresa no ha sufrido ninguna intrusión directa.

Los enlaces cortos, la raíz del problema de la confianza.

Los enlaces acortados tienen una clara ventaja en los mensajes SMS: limitan el número de caracteres, simplifican el diseño y, a menudo, permiten medir los clics.

Sin embargo, tienen un gran defecto: ocultan el verdadero destino del enlace.

Un acortador de URL público y genérico no permite al destinatario saber de inmediato si el sitio pertenece a la marca. Esta incertidumbre reproduce una de las características más comunes del smishing.

Esto no significa que deban prohibirse todos los enlaces cortos. Una marca puede usar un dominio corto personalizado , claramente vinculado a su identidad y reservado para sus campañas. El beneficio es doble: se mantiene la posibilidad de medir el rendimiento, mientras que el destinatario recibe una señal adicional de reconocimiento.

Sin embargo, el dominio debe ser consistente, estable y usarse con regularidad. El uso de múltiples dominios de seguimiento, redirecciones o proveedores dificulta la verificación de la comunicación.

Recuadro: Mejores prácticas para campañas de SMS confiables

Marketing por SMS y confianza

Buenas prácticas para campañas de SMS que generen confianza

Un SMS eficaz debería permitir al destinatario identificar inmediatamente quién le escribe , por qué recibe el mensaje y cómo verificar su autenticidad.

Identificar claramente la marca

Incluye el nombre de la organización al principio del SMS. No te fíes únicamente del nombre del remitente que aparece en la pantalla del teléfono.

Recuerda el contexto

Explique el motivo del envío del mensaje: pedido, cita, registro o solicitud iniciada por el cliente . Evite alertas vagas que generen ansiedad.

Utilice un dominio reconocible

Opta por el dominio oficial de la marca o un dominio corto personalizado. Los acortadores de dominios públicos ocultan el destino y pueden generar desconfianza.

Nunca solicites datos confidenciales

Ningún SMS debe solicitar una contraseña, un criptograma, el número completo de la tarjeta o la comunicación de un código de autenticación a un asesor.

Proponer una verificación independiente

Para transacciones delicadas, invite al cliente a abrir directamente la aplicación oficial o a iniciar sesión en su espacio habitual.

Mantener la coherencia editorial

Mantén un tono, una firma, un tema y una estructura de mensaje consistentes. Esta consistencia ayuda a los clientes a reconocer las comunicaciones legítimas.

Establecer un canal de denuncia

Indica en tu centro de ayuda cómo verificar un SMS y a dónde reenviar un mensaje sospechoso utilizando el nombre de tu marca.

Probar la confianza tanto como los clics

Una variante que genere un número ligeramente menor de clics podría ser preferible si protege mejor la confianza y las relaciones a largo plazo con los clientes.

Evita los mensajes de texto

"URGENTE: Su cuenta será suspendida. Confirme su información inmediatamente haciendo clic en este enlace. Si no respondemos en dos horas, su acceso será revocado."

Mensajes SMS más tranquilizadores

"Martech.Cloud: Se ha registrado una solicitud para modificar su cuenta. Consulte su área de cliente en la aplicación o en martech.cloud ."

La regla de las tres preguntas: el cliente debe poder determinar de inmediato quién le escribe, por qué recibe el mensaje y cómo puede verificar su autenticidad sin correr ningún riesgo.

RCS y remitentes verificados: parte de la respuesta

RCS, o Servicios de Comunicación Enriquecida , permite a las empresas enriquecer las conversaciones móviles con imágenes, botones, identidad visual y, en algunos entornos, un remitente verificado.

Esta verificación puede facilitar la identificación de comunicaciones oficiales. De hecho, la GSMA presenta la verificación del remitente como uno de los mecanismos para demostrar la identidad de la marca en los mensajes comerciales RCS.

Sin embargo, RCS no elimina todos los riesgos. Una interfaz más sofisticada también puede resultar muy persuasiva si se usa incorrectamente. Por lo tanto, la seguridad debe basarse en varias capas: verificación del remitente, control del dominio, monitorización de campañas, formación del cliente y procedimientos de respuesta.

Inteligencia artificial: una amenaza y un medio de defensa.

La inteligencia artificial generativa permite a los estafadores escribir rápidamente mensajes creíbles, sin errores aparentes y adaptados a diferentes idiomas.

También facilita la creación de numerosas variaciones de la misma campaña. Los mensajes se pueden modificar para sortear los filtros basados en palabras clave o patrones conocidos.

Cuando se combina con datos comprometidos, la IA puede ayudar a personalizar los ataques: nombre de la persona, empleador, supuesto banco, proveedor o evento reciente.

Al mismo tiempo, los operadores y los proveedores de seguridad utilizan inteligencia artificial para analizar el volumen de envíos, el comportamiento del remitente y los enlaces dentro de los mensajes. Algunas soluciones incluso comparan las URL recibidas con bases de datos de dominios maliciosos para alertar a los usuarios.

La lucha contra el smishing se convierte así en una confrontación entre la industrialización del fraude y la automatización de la detección.

¿Cómo reconocer un SMS potencialmente fraudulento?

Ningún indicador por sí solo puede probar de forma concluyente que un mensaje es fraudulento. Sin embargo, la combinación de varias señales debería generar precaución.

Un mensaje es particularmente sospechoso cuando:

anuncia una situación inesperada;
requiere una respuesta inmediata;
amenaza de sanción;
solicitud de información confidencial;
utiliza un enlace cuyo dominio es difícil de identificar;
Te solicita que instales una aplicación desde fuera de una tienda oficial;
solicitud para proporcionar un código a un asesor;
Contiene una operación que el destinatario nunca inició.

La ausencia de faltas de ortografía no garantiza la autenticidad de un mensaje. Las campañas actuales pueden estar bien redactadas y reflejar con precisión el tono de una organización.

Del mismo modo, el nombre que aparece como remitente no debe considerarse una prueba absoluta.

¿Cómo debo reaccionar ante un mensaje de texto sospechoso?

El destinatario no debe hacer clic en el enlace ni responder al mensaje. Tampoco debe llamar al número indicado en el SMS.

Para realizar una verificación, lo mejor es utilizar la aplicación oficial, introducir usted mismo la dirección web conocida o ponerse en contacto con la organización utilizando los datos de contacto obtenidos de forma independiente.

En Francia, los mensajes SMS y MMS sospechosos pueden reenviarse o denunciarse al 33700 , un servicio gratuito dedicado a combatir los mensajes no deseados y fraudulentos.

Se puede guardar una captura de pantalla del mensaje, el número del remitente y el sitio web de destino como prueba.

¿Qué debo hacer después de hacer clic?

Un solo clic no significa automáticamente que el teléfono o la cuenta estén comprometidos. Las medidas que se deben tomar dependen de la acción específica realizada.

Una vez introducidas las credenciales de acceso, la contraseña afectada debe cambiarse inmediatamente desde un dispositivo seguro. Asimismo, deben protegerse las demás cuentas que utilicen la misma contraseña.

Cuando se hayan divulgado datos bancarios, deberá contactarse inmediatamente con el banco utilizando su información de contacto oficial. Podría ser necesario bloquear la transacción y aumentar la vigilancia de las mismas.

Cuando se transmite un código de seguridad, la cuenta asociada debe considerarse potencialmente comprometida.

Si se ha instalado alguna aplicación, debe desinstalarse y revisarse el dispositivo. En un entorno profesional, el incidente debe notificarse inmediatamente al equipo de TI o de seguridad, incluso si aún no se aprecian consecuencias.

Hacia una gobernanza móvil basada en la confianza

La lucha contra el smishing no puede depender únicamente de la vigilancia de los usuarios. Requiere la cooperación entre operadores de telecomunicaciones, plataformas de mensajería, anunciantes, proveedores de tecnología de marketing, instituciones financieras y autoridades públicas.

Los operadores están desarrollando mecanismos para la detección de spam, el análisis de enlaces y la lucha contra la suplantación de identidad del remitente. Sin embargo, la GSMA subraya que la prevención del fraude requiere una responsabilidad compartida en todo el ecosistema digital.

Las marcas también desempeñan un papel importante. Al estandarizar sus dominios, limitar los enlaces opacos, explicar sus prácticas y facilitar la denuncia, hacen que los intentos de imitación sean más visibles.

En conclusión

El smishing secuestra un canal diseñado para simplificar y agilizar la comunicación. Al imitar mensajes transaccionales, alertas de seguridad y campañas de marketing, los estafadores explotan hábitos que las propias marcas han contribuido a establecer.

Para los profesionales del marketing y la gestión de relaciones con el cliente, el desafío va más allá de la detección de fraudes. Se trata de preservar la capacidad de los SMS para seguir siendo un canal útil y fiable.

Una campaña exitosa no debe limitarse a buscar clics. Debe permitir que el destinatario identifique claramente al remitente, comprenda el contexto del mensaje y verifique su autenticidad sin correr ningún riesgo.

La confianza es ahora un indicador clave de rendimiento en el marketing móvil. Una presión de venta excesiva, una conexión poco clara o una urgencia artificial pueden mejorar temporalmente las tasas de clics, pero a la larga dañan la relación con los clientes.

En un entorno marcado por el smishing, la mejor práctica es, en última instancia, nunca pedirle al cliente que elija entre la precaución y la conversión.