Phishing, smishing, vishing y códigos QR
Un mensaje te mete prisa: un paquete, un cargo, una multa de la DGT, Hacienda, el hijo que «ha cambiado de móvil», el banco o el jefe. El canal cambia. La jugada es la misma. Esta guía es para cualquier persona. Al final hay casos de trabajo de los diez ámbitos, sin recomendar ningún producto.
En la versión en castellano hay que contar con un engaño muy repetido: la llamada que se hace pasar por la Policía Nacional o por la Guardia Civil y pide un ingreso «para retener a un estafador» o para evitar una orden de detención. Cuelga. Ni la Policía Nacional ni la Guardia Civil piden dinero por teléfono.
El texto antiguo definía el phishing como un correo que se hace pasar por el banco, y el vishing como un fraude solo por voz sobre IP. El correo sigue existiendo. El vishing, hoy, es cualquier llamada fraudulenta, a menudo con el número falsificado y, a veces, con una voz copiada. Hay que sumar el SMS (smishing) y el código QR (quishing).
Cómo se reconoce
- Te dan poco tiempo y una amenaza: «la cuenta se cerrará», «el paquete vuelve atrás», «hay una orden de detención».
- El remitente se parece al de verdad, pero no es igual. Una letra de más, un dominio nuevo, un nombre de persona dentro de una dirección gratuita.
- El enlace no se ve entero, o el QR tapa la dirección. El QR de un parquímetro, de una carta o de una factura pegada encima de otra es un clásico.
- Te piden el código que acaba de llegarte, la contraseña entera o que instales una aplicación «del banco» que no está en la tienda oficial.
- Que la página empiece por https no significa que sea de confianza. El candado solo cifra el trayecto. Una web fraudulenta también puede tener candado. El consejo antiguo de «si hay https, compra tranquilo» ya no protege.
- En el teléfono, una voz dice que es el banco, un técnico, un familiar o un agente, y te pide que no cuelgues. El número que ves en la pantalla se puede falsificar.
El mensaje «Hola mamá, he cambiado de móvil, escríbeme» no es un banco. Es el mismo patrón: urgencia y un canal nuevo.
Qué hacer antes de hacer clic
- Para. Un mensaje real se puede comprobar. Uno falso depende de que no lo hagas.
- Abre la aplicación o la página escribiendo tú la dirección, o llama al número que ya tenías. No al del mensaje.
- No dictes códigos. El banco, la operadora, la Policía Nacional y la Guardia Civil no te los piden por teléfono.
- Si el QR está en un sitio físico, mira si hay un adhesivo encima del código original. Paga con la aplicación oficial del aparcamiento o de la administración, no con el QR pegado.
- En el trabajo, si el mensaje habla de dinero, sigue la lista [Antes de hacer una transferencia](/es/listas/antes-de-hacer-una-transferencia/).
También en el trabajo
El mismo mensaje cambia de disfraz según el sector:
- Empresa general. Un SMS de «tarjeta bloqueada» o un pedido que no existe.
- Asesoría y despachos. Un correo del cliente que «cambia la cuenta» donde debe recibir una devolución.
- Sanidad y clínicas. Un aviso de cita o de resultado que pide la contraseña del portal.
- Administración pública. Una notificación falsa de sede electrónica.
- Educación. Una cuota o una plataforma de alumnado con un enlace nuevo.
- Industria y agroalimentario. Una factura de un proveedor habitual con el IBAN cambiado.
- Logística y transporte. Un SMS de entrega que pide una tasa.
- Hostelería y turismo. Una reserva que hay que «confirmar» con la tarjeta entera.
- Inmobiliarias y fincas. Unas arras o una cuota de comunidad hacia una cuenta nueva.
- Servicios sociales y funerarias. Un expediente o una ayuda que pide datos por un enlace.
Ninguno de estos casos se resuelve comprando un programa de marca. Se resuelve frenando el clic y comprobando por otro canal.
Si ya te ha pasado
Ve a la ficha que toque, sin pasar por ningún formulario comercial: he hecho clic en un enlace, me han robado dinero o me han quitado la cuenta. Si la llamada imitaba una voz conocida, lee IA y deepfakes.