Phishing y smishing: el fracaso colectivo que mantiene vivo el fraude digital

Cada día llegan al móvil y al correo mensajes que fingen venir del banco, de una empresa de paquetería, de la Agencia Tributaria o de una plataforma conocida. Prometen una devolución, alertan de un cargo sospechoso o amenazan con bloquear una cuenta. La pregunta no debería ser solo por qué seguimos recibiéndolos, sino por qué un fraude tan previsible continúa encontrando tantos huecos en sistemas supuestamente seguros. La respuesta es incómoda: porque el negocio es barato, masivo, internacional y, sobre todo, porque todavía resulta rentable.

El fraude por correo electrónico, conocido como phishing, y su versión por SMS, el smishing, no son simples molestias digitales: son una forma organizada de explotación de la confianza. Se basan en una idea antigua con herramientas modernas: suplantar a alguien de confianza para que la víctima entregue datos, pulse un enlace o autorice un pago. El Instituto Nacional de Ciberseguridad define estas técnicas como engaños diseñados para obtener información personal o financiera mediante correos, mensajes o llamadas que aparentan proceder de entidades legítimas. En España, el problema está lejos de ser anecdótico: INCIBE gestionó en 2025 más de 122.000 incidentes de ciberseguridad, con el fraude online como una de las categorías más frecuentes y el phishing como uno de sus grandes protagonistas. La cifra revela algo más que actividad delictiva: muestra una exposición estructural que no se está corrigiendo al ritmo necesario.

El primer motivo por el que recibimos tantos mensajes fraudulentos es económico, y ahí está una de las claves más preocupantes. Enviar miles o millones de correos cuesta muy poco. Lo mismo ocurre con campañas de SMS contratadas a través de intermediarios, servicios automatizados o infraestructuras comprometidas. Para los delincuentes no hace falta que caiga mucha gente: basta con que una pequeña proporción responda. Si de cien mil mensajes solo diez víctimas introducen sus claves bancarias o pagan una falsa tasa de aduanas, la operación puede resultar rentable. Es el modelo del volumen llevado al extremo: muchos intentos, coste ridículo, escaso riesgo inmediato y beneficio potencial alto. Mientras esa ecuación siga funcionando, el fraude no desaparecerá por sí solo.

El segundo motivo es la disponibilidad de datos, un problema que a menudo se normaliza con demasiada facilidad. Nuestros correos y teléfonos circulan por filtraciones, bases de datos robadas, formularios poco seguros, compraventas ilegales y recopilaciones automáticas en internet. Cada fuga de información amplía el mercado del engaño y convierte datos personales aparentemente menores en materia prima para nuevas estafas. A veces el estafador no sabe casi nada de la víctima; otras, en cambio, cuenta con nombre, entidad bancaria aproximada o contexto suficiente para hacer el mensaje creíble. Por eso algunos SMS ya no parecen burdos: no tienen faltas, usan logos reales, imitan páginas oficiales y aprovechan momentos cotidianos, como esperar un paquete o hacer la declaración de la renta. La sofisticación no surge de la nada; se alimenta de datos que nunca debieron circular con tanta facilidad.

La tercera razón es técnica, aunque no debería servir como excusa. En el correo electrónico existen filtros antispam, listas negras y sistemas de autenticación, pero los atacantes cambian dominios, servidores y asuntos constantemente. Cuando una campaña se bloquea, ya hay otra lista para salir. En los SMS sucede algo parecido, agravado por la confianza que genera el móvil. El smishing funciona porque el mensaje es breve, urgente y aparece en un canal que muchas personas asocian a avisos reales. Además, técnicas de suplantación del remitente pueden hacer que un SMS falso se muestre con el nombre de una empresa conocida o incluso dentro de un hilo donde antes había mensajes legítimos. Eso no significa que el banco haya sido hackeado; significa que el delincuente ha manipulado cómo aparece el remitente. Pero para la víctima, la diferencia técnica importa poco: el daño ya está hecho.

Entonces, ¿por qué no los "cogen"? La respuesta revela los límites reales de la persecución del fraude digital. Rara vez hay un único autor sentado frente a un ordenador con su nombre real. Estas campañas suelen estar repartidas entre varias piezas: quien compra o roba datos, quien diseña la web falsa, quien envía los mensajes, quien atiende llamadas de falsa verificación, quien recibe el dinero y quien lo mueve a otras cuentas. Muchas veces intervienen "mulas", personas que prestan o venden sus cuentas bancarias para mover fondos, a veces sin conocer toda la trama. La investigación debe seguir rastros digitales, cuentas, dominios, tarjetas SIM, criptomonedas o transferencias que pueden cruzar varias jurisdicciones. El resultado es un sistema criminal distribuido frente a una respuesta institucional que, con frecuencia, llega tarde y fragmentada.

La frontera complica aún más el trabajo y evidencia una debilidad persistente: el delito se mueve más rápido que la burocracia. Un dominio puede registrarse en un país, alojarse en otro, enviar mensajes desde un tercero y recibir el dinero en cuentas abiertas con documentación falsa o identidades prestadas. Las policías y los equipos de respuesta pueden cerrar páginas, bloquear números, pedir datos a operadores y detener redes, pero el proceso no siempre es inmediato. Mientras llega una orden, se identifica un servidor o se coopera con otro país, la campaña ya ha podido desaparecer y reaparecer con otro nombre. La velocidad del fraude supera a menudo la velocidad administrativa, y esa brecha la pagan los usuarios.

También influye el comportamiento humano, aunque cargar toda la responsabilidad sobre la víctima sería una salida demasiado cómoda. Los mensajes fraudulentos no buscan convencer con argumentos largos, sino provocar una reacción rápida: miedo, urgencia, curiosidad o esperanza. "Se ha realizado un cargo", "su paquete será devuelto", "tiene una multa pendiente", "actualice sus datos". En ese instante, el usuario no analiza cabeceras ni direcciones web; quiere resolver el problema. La ingeniería social aprovecha justamente eso: un momento de prisa, cansancio o preocupación. Culpar solo al usuario ignora que estas campañas están diseñadas profesionalmente para explotar fallos previsibles de atención y confianza.

Por eso siguen y por eso hay tantos. No porque no exista vigilancia, sino porque el negocio se adapta con una rapidez que muchas defensas no igualan. Cuando una marca deja de funcionar como gancho, usan otra. Si se bloquea un dominio, crean varios. Si la población aprende a desconfiar de un correo, pasan al SMS, a WhatsApp o a la llamada telefónica. La estafa digital se ha convertido en una industria flexible, con plantillas, automatización y especialización. Reducirla a "mensajes sospechosos" minimiza su verdadera dimensión: es una economía criminal que aprovecha fallos técnicos, legales y educativos.

La defensa, por tanto, no puede depender solo de "que los cojan", ni de pedir a cada ciudadano que actúe como experto en ciberseguridad cada vez que recibe un mensaje. Hace falta prevención técnica, cooperación internacional, responsabilidad de las plataformas, control de intermediarios y educación cotidiana. La regla práctica es sencilla: desconfiar de cualquier mensaje que pida actuar con urgencia, no entrar por enlaces recibidos por SMS o email, acceder siempre escribiendo la dirección oficial o usando la aplicación conocida, no dar claves ni códigos de verificación y consultar canales oficiales ante la duda. Si se ha caído, conviene avisar al banco de inmediato, cambiar contraseñas, guardar pruebas y denunciar. Pero la prevención individual debe ir acompañada de sistemas que no dejen al usuario solo frente a una maquinaria delictiva organizada.

El fraude digital persiste porque combina una ecuación difícil de romper: millones de objetivos, bajo coste, anonimato relativo, datos personales demasiado expuestos y víctimas que solo tienen que equivocarse una vez. Los delincuentes no necesitan engañarnos siempre; les basta con acertar de vez en cuando. Y mientras esa probabilidad exista, nuestros buzones y teléfonos seguirán siendo terreno de caza. La pregunta, por tanto, no es solo por qué ellos insisten, sino por qué seguimos permitiendo que el entorno digital les resulte tan favorable.