Phishing, vishing y smishing: así engañan por teléfono y cómo detectarlos

Aunque suenan parecidos, phishing, vishing y smishing son variantes de la misma técnica de manipulación: hacerte creer que hablas con una entidad legítima (tu banco, una empresa de paquetería, la administración pública) para que entregues datos personales, claves o dinero. La diferencia está en el canal que usan los estafadores. Conocer cómo funciona cada uno te ayuda a reaccionar con calma en el momento en que llega el engaño.

Phishing: el origen, por correo electrónico

El phishing clásico llega por email. Simula ser un banco, una plataforma de pago, un servicio de streaming o una empresa de logística, e incluye un enlace que lleva a una página falsa idéntica a la original. Ahí te piden usuario, contraseña o datos de tarjeta.

• Remitente con dominio parecido pero no idéntico al oficial (pequeñas variaciones en la escritura).
• Sensación de urgencia: "tu cuenta será bloqueada en 24 horas".
• Enlaces que, al pasar el cursor por encima, muestran una dirección distinta a la que dicen representar.
• Errores de redacción, saludos genéricos ("Estimado cliente") en vez de tu nombre.

Vishing: la versión por llamada de voz

El vishing ("voice phishing") traslada el mismo engaño a una llamada telefónica, en directo o con un audio grabado. Suele ser más eficaz porque la voz humana genera confianza inmediata y presiona a decidir rápido, sin darte tiempo a comprobar nada.

Los guiones más habituales se hacen pasar por el departamento de seguridad de tu banco, por soporte técnico de una empresa conocida, por la policía o por un familiar en apuros. Piden confirmar un código que has recibido por SMS, instalar una aplicación de acceso remoto o realizar una transferencia "de prueba" o "de verificación".

• Te llaman de forma inesperada y ya conocen algunos datos tuyos, lo que da falsa sensación de legitimidad.
• Insisten en que no cuelgues ni llames a otro número para comprobar la información.
• Piden el código de un SMS, la clave de tu app bancaria o que instales un programa de control remoto.
• Crean urgencia extrema: "si no actúas ahora perderás el dinero" o "hay una orden de detención en tu contra".

Smishing: el engaño por mensaje de texto

El smishing usa SMS o mensajes de aplicaciones de mensajería para lograr lo mismo: que pulses un enlace o llames a un número. Aprovecha que los mensajes cortos generan menos sospecha que un correo largo y que se leen deprisa, muchas veces desde el móvil mientras se hace otra cosa.

Los temas más frecuentes son avisos de paquetería pendiente de entrega, supuestas multas de tráfico, problemas con la declaración de impuestos o alertas de movimientos sospechosos en la cuenta bancaria. El mensaje incluye un enlace corto o un número al que llamar, y ambos caminos conducen a la misma trampa: una web falsa o una persona entrenada para sonsacarte datos.

• El mensaje llega de un número corto, desconocido o que suplanta el nombre de una empresa real.
• Incluye un enlace acortado o poco habitual que no puedes verificar a simple vista.
• Anuncia un problema con un envío, un pago o una multa que no recuerdas haber generado.
• Pide datos personales o bancarios directamente en el propio mensaje o en la página que abre el enlace.

Qué tienen en común las tres técnicas

En los tres casos el objetivo es el mismo: generar urgencia, aparentar autoridad y evitar que verifiques la información por otra vía. Ninguna entidad seria te pedirá tu contraseña completa, el código de un SMS de verificación o que instales una aplicación de control remoto para "solucionar" un problema.

Cómo protegerte, sea cual sea el canal

• Ante cualquier aviso urgente, cuelga o cierra el mensaje y contacta tú mismo con la entidad usando el teléfono oficial que figura en tu tarjeta, factura o la web verificada, nunca el que te ofrecen ellos.
• No compartas nunca códigos de un solo uso recibidos por SMS: ninguna empresa legítima los pide por teléfono.
• No instales aplicaciones de acceso remoto a petición de una llamada o mensaje inesperado.
• Desconfía de enlaces acortados o poco habituales en SMS; si tienes dudas, entra directamente escribiendo la dirección oficial en el navegador.
• Revisa si el número que te contacta ya ha sido reportado por otros usuarios en un servicio de reputación telefónica antes de responder o devolver la llamada.
• Habla con familiares mayores sobre estas técnicas: suelen ser un objetivo preferente por su menor familiaridad con las apps bancarias y los SMS de verificación.

Si crees que ya has caído en el engaño

Contacta de inmediato con tu banco usando el número que aparece en tu tarjeta para bloquear la cuenta o la tarjeta si has compartido datos. Cambia las contraseñas afectadas desde un dispositivo seguro, activa la verificación en dos pasos donde no la tuvieras y presenta una denuncia ante tu autoridad de protección al consumidor o ciberseguridad. Guarda capturas del mensaje, correo o el número de la llamada: ayudan a identificar patrones y a proteger a otras personas.