Sí: un estafador puede registrar un nombre de remitente (sender ID) y enviar un SMS que tu teléfono archiva en el mismo hilo que tu banco real, porque las operadoras muestran el nombre que una empresa registra, no una identidad verificada. No es un truco marginal. De forma más amplia, según el Pew Research Center, el 81% de los estadounidenses considera que los riesgos de que las empresas recopilen sus datos personales superan los beneficios, y un 67% admite entender poco o nada sobre qué ocurre después con esos datos, incluido el número de teléfono que hace posible este tipo de suplantación.
Cómo un nombre de remitente falso se cuela en un hilo real
Los mensajes que envían las empresas suelen viajar por un sender ID alfanumérico o un código corto, no por un número de teléfono convencional; por eso los avisos de tu banco aparecen como ‘BBVA’ o ‘Santander’ en lugar de diez dígitos. Las operadoras y las pasarelas de SMS normalmente confían en el nombre que una empresa declara al registrar su campaña de mensajería, y esa verificación varía enormemente según el país, la operadora y la pasarela que el remitente elija para enrutar sus envíos. Un estafador que encuentra una pasarela con controles laxos puede registrar exactamente el mismo nombre de remitente que ya usa tu banco. El sistema operativo de tu teléfono agrupa los mensajes por nombre de remitente, no por ninguna prueba criptográfica de identidad, así que el SMS fraudulento cae en el mismo hilo que tus alertas bancarias legítimas. El efecto visual es potente: ves una conversación continua, un nombre familiar, y un mensaje que menciona ‘movimiento sospechoso’ o ‘transferencia bloqueada’, justo debajo de una alerta real que recibiste el mes pasado. Nada en la interfaz señala el desajuste, porque el protocolo subyacente no exige que el nombre del remitente esté autenticado como lo está un candado en una web. Esta brecha existe porque el SMS y la mensajería empresarial que se apoya en él se diseñaron décadas antes de que nadie se preocupara por la suplantación a gran escala: el sistema prioriza entregar una etiqueta rápido, no demostrar quién la puso. Algunos países han impulsado registros que deberían vincular un sender ID a una empresa verificada, pero la aplicación es desigual entre operadoras, y al estafador le basta con encontrar el único eslabón de la cadena que no revisa con cuidado.
Un SMS que parece salido del propio banco
Este es un escenario ilustrativo construido para mostrar cómo se desarrolla el engaño, no el relato de una persona real.
Imagina a alguien que revisa el móvil y ve un mensaje nuevo en el hilo que ya usa para las alertas de su cuenta. El texto avisa de un intento de retirada de 900 euros y adjunta un enlace para ‘verificar tu identidad’ en los próximos 15 minutos. Como aparece justo debajo de tres alertas anteriores, genuinas, del mismo remitente, el formato y el tono encajan a la perfección. El enlace abre una página que imita la pantalla de acceso del banco al detalle, pide usuario, contraseña y un código de un solo uso, y los reenvía discretamente al estafador antes de redirigir a la web real del banco para que nada parezca extraño. Todo el proceso dura menos de dos minutos, y la persona nunca sale de la aplicación de mensajería en la que ya confiaba. Para cuando nota algo raro, quizá un segundo mensaje agradeciendo un cambio de contraseña que nunca pidió, el estafador ya ha usado el código robado para autorizar una transferencia, y el departamento antifraude del banco es el primero en detectar la actividad como sospechosa, a menudo horas más tarde.
Cómo evitar que un remitente falsificado te engañe
La posición en el hilo y el nombre del remitente son las dos cosas que un estafador puede falsificar de forma convincente; todo lo demás sobre cómo reaccionas sigue bajo tu control. No se trata de desconfiar de cada SMS del banco, sino de dejar de tomar la ubicación en el hilo como prueba de autenticidad y construir hábitos que funcionen incluso cuando el nombre mostrado es perfecto. Cada paso siguiente cierra una parte de la cadena de la que depende el estafador.
No toques nunca un enlace de un SMS que pida datos de acceso o de pago
Abre la aplicación de tu banco directamente o escribe tú mismo la dirección web conocida, en lugar de tocar nada dentro del mensaje. Las alertas de fraude legítimas casi nunca requieren iniciar sesión a través de un enlace en un SMS; suelen pedirte que llames al número del dorso de tu tarjeta o que abras la aplicación que ya tienes instalada. Si un mensaje combina urgencia y un enlace en la misma frase, trata esa combinación como la señal de alarma, sin importar en qué hilo haya aparecido.
Llama al número impreso en tu tarjeta, nunca al del mensaje
Si un mensaje asegura que hay actividad sospechosa, cuelga mentalmente esa conversación y marca el número de atención al cliente que figura en el dorso de tu tarjeta física o en la app oficial del banco. Algunos estafadores incluyen en el SMS falso un número que conecta con su propia centralita, así que obtener el número por tu cuenta elimina de golpe esa capa de engaño.
Fíjate en hilos duplicados o fuera de orden
Los mensajes suplantados a veces crean un segundo hilo casi idéntico en lugar de fusionarse perfectamente con el antiguo, sobre todo si el nombre de remitente registrado por el estafador difiere por un espacio, una mayúscula o una palabra ausente. Desplázate hacia arriba de vez en cuando y busca dos entradas con el mismo nombre de empresa, o un hilo donde el historial cambia de tono o formato a mitad de camino.
Reporta el mensaje y bloquea al remitente
Reenvía los SMS sospechosos al número corto de reporte de spam de tu operadora y bloquea al remitente desde tu aplicación de mensajería. Reportar ayuda a las operadoras a señalar la pasarela usada para el abuso, lo que puede reducir el tiempo que ese nombre de remitente suplantado sigue siendo útil contra otras personas.
Por qué un segundo número dedicado corta este camino de ataque
La suplantación del sender ID funciona porque al estafador solo le hace falta saber que un número pertenece a la cartera de clientes de tu banco, no el número en sí; tu número de teléfono circula entre corredores de datos, registros antiguos y filtraciones que nunca autorizaste. Cuanto menos atado esté tu número principal a cada cuenta que abres, más pequeño es el grupo de atacantes capaces de dirigirte un mensaje convincente que encaje perfectamente en tu hilo habitual. Separar el número que das a bancos, tiendas y registros puntuales del número que usan tus contactos cercanos hace mucho más probable que un mensaje falsificado o fraudulento aterrice donde ya estás alerta y receloso, en lugar de colarse en un hilo en el que confías desde hace años. Un servicio de números de teléfono centrado en la privacidad permite generar y retirar números según el propósito, de modo que cuando uno empieza a atraer spam o alertas suplantadas, puedes cortarlo sin perder tu línea real ni pedir a todos tus contactos que guarden un número nuevo. No impedirá que un estafador decidido registre un sender ID falso, pero reduce cuáles de tus números merecen la pena atacar, y te da una forma limpia de aislar y cerrar la exposición en cuanto la detectas. Con el tiempo, esa separación también facilita detectar anomalías: un número que solo le diste a un banco y que de repente recibe textos sobre una cuenta distinta es en sí mismo una señal clara de que algo falla, algo que un único número compartido nunca revela.
Numero eSIMenlace de afiliado
Un segundo número sin tarjeta SIM, en más de 80 países