Cayó en la estafa del SMS de Correos… y logró que el banco le devolviera casi 2.500 euros

El smishing, una modalidad de fraude digital mediante SMS, continúa sumando víctimas en España. Esta técnica consiste en enviar mensajes suplantando la identidad de entidades reconocidas, como bancos o empresas logísticas, con el fin de inducir al receptor a hacer clic en enlaces maliciosos y proporcionar datos personales o bancarios. La urgencia o apariencia de legitimidad del mensaje es clave para que la víctima caiga en la trampa.

Una de las víctimas recientes fue una ciudadana española que recibió un SMS, supuestamente enviado por Correos, en el que se le solicitaba el pago simbólico de 0,01 euros para recibir un paquete. Al acceder al enlace, fue redirigida a una web que replicaba con exactitud la estética de la página oficial de la empresa. Sin sospechar del engaño, introdujo su información bancaria y personal.

Horas más tarde, su cuenta registró hasta 29 cargos no autorizados, con un importe total de 2.490 euros, realizados a través de plataformas como Revolut y Betfair. Al detectar las operaciones, la mujer contactó con su banco, ING, y presentó una reclamación. Sin embargo, la entidad rechazó devolverle el dinero, alegando que ella había facilitado los datos y que las operaciones estaban validadas mediante sus sistemas de autenticación.

El caso acabó en los tribunales, donde la resolución fue favorable a la afectada. El juez concluyó que la mujer no incurrió en una negligencia grave, ya que el fraude era difícil de detectar por la apariencia creíble de la web fraudulenta. Además, la sentencia señaló que ING no pudo demostrar que contaba con mecanismos de seguridad eficaces para evitar este tipo de estafas.

Otro punto clave fue que las transacciones no se consideraron correctamente autenticadas, ya que se realizaron mediante una suplantación de identidad sin el consentimiento real de la titular. En base a la normativa vigente los bancos están obligados a asumir las pérdidas por operaciones no autorizadas, salvo que se demuestre intención fraudulenta o negligencia grave por parte del usuario, algo que no quedó probado en este caso.