Phishing y smishing en México: cómo detectar mensajes falsos de tu banco

Un SMS dice que bloquearon tu cuenta. Otro anuncia una compra que no hiciste. El correo incluye el logotipo de tu banco y un botón para «proteger tu dinero». Antes de responder, haz una pausa: una alerta puede ser el inicio del fraude, no una advertencia auténtica. La decisión más útil no es adivinar si el mensaje parece profesional, sino comprobar lo que dice por un canal que tú abras de forma independiente.

1. Qué son phishing y smishing

El phishing busca obtener información confidencial mediante suplantación de identidad: por ejemplo, un correo que aparenta provenir de tu banco y conduce a una página falsa. El smishing utiliza mensajes SMS para llevarte a entregar datos personales o financieros. La CONDUSEF explica estas modalidades de fraude y sus mecanismos habituales.

Entre los pretextos hay verificaciones de cuenta, premios, supuestos problemas técnicos y alertas de fraude bancario. La historia cambia; la intención es que actúes antes de comprobar quién te contacta. También pueden combinar un SMS con una llamada. Que una persona conozca tu nombre o mencione el mensaje anterior no demuestra que trabaje para la institución.

2. Reconoce la presión, no solo las faltas de ortografía

Desconfía cuando te exigen actuar inmediatamente para evitar un bloqueo, cancelar una compra o conservar acceso a tu cuenta. Ejemplo ficticio: «Detectamos una compra. Entra ahora para cancelarla». La compra podría no existir: el enlace puede ser el mecanismo para capturar tu acceso bancario. No es un aviso real ni una campaña vigente; es un ejemplo del engaño.

Un mensaje bien escrito tampoco acredita autenticidad. No decidas por el logotipo, la firma o el tono formal. La pregunta importante es: ¿puedo confirmar esta situación sin usar nada de lo que me enviaron? No necesitas demostrar que el remitente es falso para abstenerte de compartir información mientras verificas.

3. Verifica sin continuar la conversación

No respondas al remitente para preguntar si es verdadero ni llames al teléfono incluido en la alerta. Abre por separado la aplicación bancaria que utilizas habitualmente o marca el número impreso en tu tarjeta. Revisa tus movimientos y pregunta al banco si existe el problema anunciado. La CONDUSEF recomienda contactar directamente a la institución ante estos engaños.

Si no puedes comprobarlo en ese momento, evita entregar información mientras investigas. La urgencia del remitente no obliga a saltarte la verificación. Tampoco descargues una aplicación desde el mensaje: si el banco requiere alguna, confirma su necesidad y utiliza la tienda y el desarrollador oficiales.

4. Qué información no debes entregar

No compartas NIP, contraseña bancaria ni códigos de autorización con una persona que te contactó. Tampoco los escribas en una página abierta desde una supuesta alerta. La CONDUSEF ha documentado falsos avisos de reactivación del token que dirigen a sitios para capturar datos. Es una alerta histórica útil para entender la mecánica, no una afirmación de que ese mensaje esté circulando hoy.

La diferencia está en el contexto: introducir un código dentro de una operación legítima que tú iniciaste no equivale a dictárselo a un desconocido que promete cancelar un cargo. Si no entiendes qué autoriza una pantalla o un código, detén la operación y consulta directamente al banco.

5. Del mensaje a una acción segura

SMS de compra desconocida → revisa tu aplicación por separado; no pulses «cancelar». Correo de verificación → consulta al banco; no captures tu contraseña desde su enlace. Llamada que pide un código → cuelga y llama al número de tu tarjeta. Aviso para reactivar el token → confirma el problema por una vía independiente. Solicitud de instalar una aplicación → verifica su necesidad antes de descargar nada.

6. Si ya abriste el enlace o entregaste datos

Distingue lo ocurrido: abrir una página no es lo mismo que proporcionar una contraseña, autorizar una operación o instalar un programa. Anota qué hiciste y a qué hora. Si entregaste datos bancarios, comunícate cuanto antes con el banco desde un canal independiente. Describe si compartiste contraseña, información de tarjeta, códigos o autorizaciones; no esperes a ver un cargo para pedir instrucciones.

Solicita medidas para proteger los accesos y productos afectados. Bloquear únicamente una tarjeta puede no atender una exposición de banca electrónica. Cambia las credenciales comprometidas desde un dispositivo confiable y el acceso oficial, siguiendo las indicaciones del banco. Si reutilizabas la contraseña, sustitúyela en los demás servicios. Si instalaste una aplicación por instrucciones del supuesto asesor, evita seguir operando desde ese dispositivo y busca asistencia técnica confiable.

7. Conserva pruebas y separa reporte de reclamación

Guarda capturas del mensaje, remitente, dirección del enlace, horarios y folios de atención. No publiques información sensible ni reenvíes enlaces activos sin advertencia. El Portal de Fraudes Financieros de CONDUSEF permite consultar datos reportados como posiblemente fraudulentos. Que un teléfono o sitio no aparezca no demuestra que sea legítimo: el buscador reúne reportes, no certificaciones de seguridad.

Si existe una operación que no reconoces, además de proteger tus accesos pregunta por su aclaración. Consulta nuestra guía de cargos no reconocidos. Reportar un mensaje no abre necesariamente una reclamación ni garantiza recuperar dinero. Si no obtienes respuesta, pide orientación a la UNE de tu institución y a CONDUSEF sobre el procedimiento aplicable.

La regla que vale la pena guardar

Pausa → verifica por otra vía → protege tus accesos → documenta. Guarda el teléfono oficial antes de necesitarlo. Prevenir no significa vivir con miedo: significa no dejar que la urgencia de otra persona decida cómo autorizas movimientos de tu dinero.

Contenido educativo, no asesoría legal personalizada. Fuentes oficiales consultadas para esta guía el 24 de octubre de 2026. Las medidas de contención son recomendaciones prácticas; los procedimientos y el resultado de una reclamación dependen del caso. No prometemos devoluciones.