SMS falso de la Seguridad Social: cómo comprobarlo

Un SMS que dice «tienes una actualización pendiente» puede llegar justo cuando estás esperando una respuesta, una prestación o una cita. Esa coincidencia es parte del engaño: el mensaje intenta que pulses antes de comprobar nada.

El 19 de agosto de 2026, INCIBE avisó de una campaña de smishing que suplanta a la Tesorería General de la Seguridad Social (TGSS). El SMS remite a una web falsa donde se piden datos personales y, después, datos bancarios o de tarjeta con el pretexto de una supuesta prestación. No necesitas adivinar si es real: evita el enlace y comprueba el asunto por la vía oficial.

El primer paso: no pulses y no respondas

Un mensaje puede copiar el nombre de una institución, usar un tono administrativo e incluso aparecer en un hilo de SMS que parece conocido. Nada de eso convierte su enlace en seguro. El enlace no es la comprobación; es precisamente la parte que debes evitar hasta haber confirmado el trámite.

La campaña detectada por INCIBE habla de una actualización pendiente de la TGSS e invita a gestionarla mediante una URL. Al abrirla, la página imita a la Seguridad Social, presenta una supuesta cantidad pendiente de cobro y termina pidiendo información sensible. Hay variantes de un mismo fraude, así que no busques una frase exacta para decidir si puedes fiarte.

Estas señales justifican detenerte, pero ninguna es una prueba aislada:

• Un mensaje inesperado que exige actuar ahora o promete un cobro rápido.
• Un enlace que no has solicitado o una dirección que intenta parecer oficial.
• Una petición de DNI, datos bancarios, tarjeta, claves o códigos recibidos por SMS.
• Errores de redacción, importes demasiado concretos o un trámite que no reconoces.

La propia alerta de INCIBE sobre esta campaña recuerda que la Seguridad Social no solicita pagar deudas ni actualizar datos personales mediante enlaces recibidos por SMS. La prisa es una señal, no una razón para facilitar información.

Comprueba el trámite por un camino que abras tú

Si el mensaje te deja con dudas, no reenvíes la URL a otra persona para que la abra ni la copies en otro navegador. Escribe tú la dirección oficial en el navegador o abre la aplicación oficial que ya utilizas. Desde ahí podrás comprobar si existe una notificación, un expediente o una gestión pendiente.

Para los trámites de la Tesorería General de la Seguridad Social, entra directamente en Importass. Si necesitas revisar una notificación de la Seguridad Social, utiliza la Sede Electrónica desde una dirección que hayas buscado tú mismo. El canal oficial empieza fuera del SMS.

No confundas esto con ignorar las obligaciones reales. Puede haber comunicaciones auténticas sobre tu actividad, tu alta o cambios laborales. Si el asunto tiene que ver con una baja o una variación de datos de un trabajador, revisa qué se comunica realmente en la guía sobre los seis días para informar una baja o cambio, pero confirma el trámite en la fuente oficial.

También puede llegarte un aviso real por haber solicitado una prestación o una cita. La forma segura de responder sigue siendo la misma: busca el trámite en el portal oficial, no en la ruta que propone el mensaje. Comprobar no significa pulsar.

Puedes convertirlo en un hábito de tres pasos. Primero, para y lee el mensaje sin tocar la URL. Segundo, abre tú mismo el portal oficial y busca si existe el aviso. Tercero, solo si encuentras una gestión real, continúa desde ese portal. No necesitas conocer todos los dominios falsos para seguir esta rutina.

Si trabajas con una gestoría, tampoco reenvíes el enlace para que lo abra por ti. Comparte una captura del SMS y explica qué trámite crees que puede estar relacionado. Así podéis contrastar el fondo de la comunicación sin usar el camino que eligió el remitente. La captura es contexto; el enlace no.

Si no has pulsado el enlace

La situación es sencilla: no abras la URL, no respondas y no reenvíes el contenido como si fuera legítimo. INCIBE recomienda reportar el incidente, bloquear al remitente y eliminar el mensaje para reducir el riesgo de pulsarlo después por error.

Antes de borrarlo, puedes guardar una captura con el texto y el remitente. No necesitas visitar la página para guardar pruebas. Si lo vas a reportar, conserva también la fecha y la hora en que lo recibiste. Una captura basta para explicar de qué mensaje se trata.

No intentes desmontar la URL, llamar al número indicado ni «probar» con datos falsos. Esa comprobación no te aporta seguridad y puede llevarte a una página maliciosa. Si quieres orientación, INCIBE ofrece ayuda a través del 017 y recursos para reportar fraudes.

Ten cuidado también con los detalles que parecen tranquilizadores: un logo correcto, tu nombre, una cifra de ayuda o un aviso de que perderás un derecho. Pueden formar parte de una campaña para hacer que el mensaje parezca personalizado. La confirmación que importa no es que el SMS se vea profesional, sino que la gestión aparezca dentro de tu acceso oficial.

Si has pulsado o ya has dado datos

Pulsa el enlace no significa automáticamente que te hayan robado algo, pero sí cambia la prioridad. Cierra la página, no descargues archivos y no introduzcas más datos. Si solo la abriste y no completaste nada, guarda una captura si puedes hacerlo sin volver a interactuar con la web y entra después por el canal oficial para comprobar si había algún trámite real.

Si facilitaste datos personales, bancarios o de tarjeta, contacta cuanto antes con tu entidad bancaria. Explica qué datos proporcionaste y sigue las medidas que te indique para vigilar, bloquear o proteger tus medios de pago. INCIBE también recomienda conservar evidencias, solicitar asesoramiento especializado y valorar una denuncia ante las Fuerzas y Cuerpos de Seguridad.

Ordena lo ocurrido en una nota breve: SMS recibido, enlace, datos que introdujiste, hora aproximada y comunicaciones con el banco. No hace falta reconstruirlo todo de memoria. Esa secuencia ayuda al banco, a INCIBE y, si procede, a una denuncia.

Evita cambiar tus claves a través de la misma página fraudulenta o desde enlaces que recibas después. Si necesitas revisar tus accesos, entra directamente por la web o la aplicación oficial y sigue las indicaciones del proveedor. Recuperar el control empieza por volver a una dirección que tú hayas abierto.

Si el mensaje se refería a una prestación o a tu situación como autónomo, no intentes compensar el miedo haciendo un trámite nuevo desde un enlace encontrado al azar. Comprueba primero el procedimiento oficial; por ejemplo, la guía sobre baja de autónomo y prestación por cese explica que los trámites reales tienen requisitos y pasos propios.

Cuida el acceso a tus trámites después del susto

Un fraude de este tipo intenta recoger información suficiente para que otra persona parezca tú en futuras gestiones. Por eso conviene vigilar tus cuentas y cualquier aviso de cambio que no hayas solicitado, sin convertir cada notificación en una alarma.

Anota qué dato compartiste y por qué medio, pero evita enviarte de nuevo capturas con números completos de tarjeta o documentos de identidad. Si necesitas pasar información a tu banco o a un profesional, usa únicamente sus canales habituales y pregunta cómo prefieren recibir las pruebas. Protege también las evidencias que conservas.

Revisa los movimientos bancarios y las notificaciones oficiales durante los próximos días. Si ves un cargo, una solicitud o un cambio que no reconoces, comunícalo por el canal oficial correspondiente. No uses el enlace del SMS para rectificarlo.

La lección práctica no es desconfiar de cualquier mensaje para siempre. Es mantener una regla fácil de recordar: ante un SMS inesperado sobre Seguridad Social, detente, abre tú el portal oficial y comprueba allí. Esa pausa corta suele ser suficiente para separar una gestión real de una suplantación.

Preguntas frecuentes

---

¿Quieres tener tus facturas ordenadas sin añadir más tareas?

Invoo te ayuda a emitir facturas y a compartir la documentación con tu gestoría. No sustituye los canales oficiales de la Seguridad Social ni revisa SMS por ti.

Empieza gratis con Invoo — 14 días gratis, sin tarjeta. 10,90€/mes después.