Abogado de smishing: el SMS falso del banco

En síntesis

El smishing es un SMS fraudulento que suplanta a tu banco. Lo peligroso es que suele aparecer en el mismo hilo de mensajes legítimos del banco, porque el remitente está falsificado. El mensaje contiene un enlace a una web que replica la del banco, donde introduces tus credenciales, o bien instala software malicioso en tu dispositivo.

Con esos datos, el estafador accede a tu banca online y ejecuta transferencias. A menudo el smishing va seguido de una llamada (vishing) para que confirmes un código.

El RDL 19/2018 obliga al banco a devolverte el dinero de inmediato (art. 45.1) salvo que demuestre que actuaste con fraude o negligencia grave (art. 44.3).

Cómo funciona

1. El SMS. Aparece en el hilo real de tu banco. Dice algo como «se ha detectado un acceso no autorizado» o «verifica tu identidad».
2. El enlace. Te lleva a una página idéntica a la del banco. La URL tiene variaciones imperceptibles.
3. Las credenciales. Introduces usuario y contraseña. En muchos casos, también un código de un SMS que recibes al momento.
4. La llamada (frecuente). Un supuesto empleado del banco te llama para «confirmar» la operación. Es el mismo estafador.
5. El dinero sale. Transferencias inmediatas a cuentas de terceros.

Qué juega a tu favor

• Reembolso inmediato (art. 45.1 RDL 19/2018).
• Carga de la prueba invertida (art. 44.3 RDL 19/2018).
• El registro no basta (art. 44.2 RDL 19/2018).
• El SMS apareció en el hilo real. Esto refuerza la confianza razonable del usuario, de forma similar al spoofing telefónico.
• Sin autenticación reforzada, el banco responde (art. 46.2 RDL 19/2018).
• STJUE C‑70/25: devolución primero, reclamación después (ECLI:EU:C:2026:852).

Qué lo complica

• Pinchaste en un enlace de un SMS. El banco dirá que un usuario diligente habría verificado la URL.
• El mensaje tenía errores evidentes. Cuanto más grosero sea el engaño, más difícil será descartar la negligencia.
• Tardaste en avisar o no denunciaste.
• Empresa no consumidora ni microempresa (art. 34.1 RDL 19/2018).

Qué hacer ahora

1. Bloquea tarjetas y banca online.
2. Avisa al banco por escrito con acuse de recibo.
3. Denuncia con capturas del SMS, la URL y los justificantes.
4. No borres el SMS ni el hilo. Es prueba clave.
5. Consulta a un abogado. Análisis inicial gratuito.

Preguntas frecuentes

¿Por qué el SMS aparece en el hilo de mi banco?

Porque el remitente está falsificado. El teléfono agrupa los mensajes por el nombre del remitente, no por su origen real. Es la misma técnica que el spoofing en llamadas.

¿Puedo reclamar aunque pinché en el enlace?

Sí. Pinchar en un enlace de un SMS que aparece en el hilo legítimo del banco no equivale automáticamente a negligencia grave. Los tribunales valoran las circunstancias.

¿Y si después del SMS me llamaron haciéndose pasar por el banco?

Refuerza tu posición. La combinación smishing + vishing demuestra un ataque sofisticado.

Sobre el autor

José Manuel Domínguez González · Colegiado n.º 137.813 del Ilustre Colegio de la Abogacía de Madrid. Dedicado al fraude bancario: phishing, vishing, smishing y variantes. Trayectoria previa en Andersen y Aeroiuris.

Artículos relacionados

• Vishing y spoofing telefónico
• Phishing bancario: guía legal
• Qué hacer si te roban dinero de la cuenta

Fuentes verificadas

• RDL 19/2018: arts. 34.1, 43.1, 44.2, 44.3, 45.1, 46. Fuente: BOE consolidado (BOE‑A‑2018‑16036).
• STJUE de 15‑10‑2026, C‑70/25, Tukowiecka. ECLI:EU:C:2026:852.
• STS 571/2025, de 9‑4‑2025. ECLI:ES:TS:2025:1671.