El mensaje dice que tienes algo pendiente. Un envío, un pago, un problema con tu cuenta. Es breve, parece algo cotidiano y te pide que hagas clic en un enlace. Sin embargo, detrás de él puede haber toda una cadena de personas y servicios.
Microsoft publicó el 14 de octubre de 2026 un estudio sobre un ecosistema organizado de phishing: creadores de herramientas, traficantes de infraestructura y compradores que utilizan estos servicios para llevar a cabo ataques. El interés para el usuario común es de carácter práctico. La estafa puede llegar al móvil en forma de un breve mensaje, mientras que su producción se lleva a cabo a gran escala.
Lo que reveló la investigación
En el centro de todo se encuentra el mercado clandestino YAM Store y tres herramientas de phishing: CoGUI, Haozi e Iron Man System. Según Microsoft, desde enero de 2026, los responsables de estas actividades han facilitado el envío de más de mil millones de correos electrónicos y SMS engañosos a más de 75 000 organizaciones de todo el mundo.
Estas cifras se refieren a la actividad descrita en esta investigación concreta. No significan que haya mil millones de víctimas, ni demuestran que cada SMS sospechoso que recibimos en Grecia proceda de la misma red.
La infraestructura incluía entornos en la nube pirateados u obtenidos mediante fraude, que se revendían para su uso por parte de otros delincuentes. Esto pone de manifiesto cómo las herramientas y el acceso pueden compartirse entre los distintos miembros de una red delictiva.
La trampa funciona porque parece un pequeño asunto pendiente
La palabra «phishing» describe el intento de robar información mediante comunicaciones engañosas. Cuando se utiliza por SMS, también se conoce como «smishing». El objetivo puede ser tu contraseña, tus datos financieros o la autorización de una acción que no hayas comprendido.
La FTC describe algunos pretextos habituales: supuesta actividad sospechosa, problema de pago, necesidad de confirmar datos o un documento falso. El contenido crea una razón para que te des prisa y presenta el enlace como una solución fácil.
Piensa en un ejemplo hipotético: estás esperando un pedido y recibes un mensaje en el que te indican que falta un dato para la entrega. El hecho de que estés esperando un paquete hace que la historia resulte verosímil. Sin embargo, eso no confirma la identidad de quien te ha enviado el mensaje.
Por qué «parece normal» no es suficiente
Un logotipo se puede copiar. Un enlace puede contener palabras conocidas y llevar a otro sitio. Microsoft recomienda comprobar la dirección real y verificar las solicitudes inesperadas, incluso cuando parezcan proceder de una fuente reconocible.
Ni siquiera el uso correcto del griego es garantía de autenticidad. Los errores lingüísticos son un indicio útil cuando están presentes, pero su ausencia no demuestra que el remitente sea fiable.
Si accedes a una página web, el protocolo HTTPS indica que la conexión está cifrada. No certifica que el propietario de la página sea quien dice ser. La pregunta clave sigue siendo qué servicio has abierto y desde qué ruta.
El proceso de tres pasos
- Cierra el mensaje por un momento. No respondas y no cedas a la presión para actuar de inmediato.
- Accede tú mismo al servicio. Utiliza la aplicación que ya tienes o la dirección que conoces. Para confirmarlo, busca datos de contacto al margen del SMS sospechoso.
- Comprueba si realmente hay algún asunto pendiente. Si no encuentras lo que afirma el mensaje, solicita una aclaración al servicio de atención al cliente oficial.
Este procedimiento resulta útil incluso cuando no puedes evaluar una dirección compleja. En lugar de intentar demostrar que el enlace sospechoso es seguro, accede al servicio a través de tu propia ruta habitual.
Si has hecho clic o has introducido datos
En primer lugar, distingue qué ha ocurrido. Hacer clic en un enlace, introducir una contraseña y autorizar una transacción son situaciones diferentes. No pienses que lo has perdido todo solo por haber abierto una página, pero tampoco ignores lo que hayas tecleado o autorizado.
- En cuanto a la contraseña de la cuenta: cámbiala a través del servicio oficial y revisa otras cuentas en las que hayas utilizado la misma.
- En caso de posible acceso al correo electrónico: comprueba los dispositivos, la actividad reciente, los datos de recuperación y las reglas de reenvío desconocidas.
- En cuanto a los datos de la tarjeta o a una transacción: informa inmediatamente a tu banco a través de su canal oficial.
- Si se trata de un archivo o una aplicación que hayas instalado: solicita una revisión del dispositivo y utiliza herramientas de seguridad fiables.
Guarda el mensaje y los datos relevantes para denunciar el incidente. No los compartas con enlaces activos peligrosos ni con información personal de otras personas.
Dos hábitos que vale la pena cambiar a partir de hoy
Utiliza contraseñas diferentes para las cuentas importantes y activa la protección adicional de inicio de sesión. Cuando están disponibles, las claves de acceso ofrecen protección contra el phishing en el proceso de inicio de sesión. Esto no elimina la necesidad de verificar un pago u otra autorización.
En el ámbito familiar o en un grupo reducido, acordad también una práctica sencilla: antes de pagar una deuda inesperada o de modificar los datos de un colaborador, se debe realizar una confirmación a través de un canal de comunicación ya conocido. Nadie tiene por qué avergonzarse de pedir una segunda verificación.
Fotografía ilustrativa: Jonas Leupe / Unsplash.