El smishing —phishing por SMS— es la variante de fraude bancario que más crece en España. Los estafadores envían mensajes de texto que se camuflan en el hilo de comunicaciones legítimas del banco, haciendo prácticamente imposible para el usuario detectar que se trata de un fraude. La sentencia de la Audiencia Provincial de Madrid 4955/2026 (caso Caja Rural) es un ejemplo perfecto de cómo funciona esta estafa y de por qué el banco es quien debe responder.
Qué es el smishing y cómo funciona
El smishing (SMS + phishing) es un tipo de ciberestafa en la que el atacante envía un mensaje de texto al teléfono de la víctima haciéndose pasar por su banco. El SMS suele alertar de una supuesta incidencia —bloqueo de cuenta, cargo no autorizado, acceso sospechoso— e incluye un enlace a una página web que imita la del banco.
Cuando el usuario pulsa el enlace e introduce sus credenciales, el estafador las captura en tiempo real y las utiliza para ejecutar transferencias u otras operaciones desde la cuenta de la víctima.
¿Por qué el SMS aparece en el hilo del banco?
Esta es la característica más peligrosa del smishing: en muchos casos, el SMS fraudulento aparece dentro del mismo hilo de conversación que los mensajes legítimos del banco. Esto ocurre porque los atacantes falsifican el remitente del mensaje (el campo «sender ID»), haciendo que el teléfono lo agrupe con los SMS reales del banco.
El usuario, al ver que el mensaje aparece junto a códigos de verificación y notificaciones auténticas de su entidad, confía en su legitimidad. Esta técnica se conoce como spoofing de SMS y es el factor que los tribunales consideran determinante para descartar la negligencia grave del consumidor.
Caso real: SAP Madrid 4955/2026 (Caja Rural)
La Sentencia de la Audiencia Provincial de Madrid 4955/2026, de 17 de abril de 2026 (ponente: Agustín Manuel Gómez Salcedo, rec. 1587/2024), resuelve un caso típico de smishing bancario que ilustra tanto el funcionamiento de la estafa como la responsabilidad del banco.
Los hechos
El 1 de marzo de 2021, la demandante —cliente de Caja Rural— recibió un SMS que suplantaba la identidad de su banco. Tras acceder al enlace fraudulento, los estafadores obtuvieron sus credenciales y, entre los días 4 y 5 de marzo, ejecutaron tres transferencias fraudulentas por importes de 1.997, 999 y 2.040 euros, un total de 5.036 euros.
La clienta reclamó al banco, que denegó la solicitud. Reclamó después al Banco de España, cuyo Departamento de Conducta de Entidades tampoco apreció quebrantamiento de normas por parte de la entidad. Solo la vía judicial le dio la razón.
El argumento de Caja Rural
Caja Rural argumentó que las transferencias fueron válidamente autenticadas mediante un sistema de doble factor (credenciales + códigos OTP enviados por SMS) y que no existió fallo técnico alguno en sus sistemas. Según la entidad, la responsabilidad recaía sobre la clienta, que facilitó sus credenciales al estafador, incumpliendo sus obligaciones de custodia.
La resolución del tribunal
El Juzgado de Primera Instancia estimó la demanda. Caja Rural apeló. La Audiencia Provincial de Madrid desestimó el recurso y confirmó la condena, aplicando la doctrina de la STS 571/2025.
El tribunal razona que la conducta de la consumidora «no puede ser calificada de negligencia o culpa grave», al haber «actuado inducida por un engaño complejo, sin iniciativa propia, y con la diligencia exigible a una persona media». La mera existencia de registros técnicos o de una validación formal de la operación «no equivale, por sí sola, a la prueba del consentimiento del ordenante, ni permite desplazar automáticamente la responsabilidad al usuario».
El dato revelador: Openbank sí detectó el fraude
Un detalle particularmente significativo del caso: los estafadores también intentaron ejecutar operaciones desde una cuenta que la demandante tenía en Openbank. Pero Openbank detectó el fraude y bloqueó las operaciones inmediatamente.
Caja Rural, en cambio, no detectó nada. El tribunal toma nota de esta diferencia, que evidencia que existen soluciones tecnológicas eficaces para la detección de fraude —como exige el Reglamento Delegado (UE) 2018/389— y que Caja Rural no las tenía implementadas o no funcionaron.
Marco legal: por qué el banco debe devolver el dinero
El artículo 45 del Real Decreto-ley 19/2018 establece que el banco debe devolver «de forma inmediata» el importe de las operaciones no autorizadas. Solo queda exonerado si demuestra que el usuario actuó con fraude o negligencia grave (artículo 46).
La STS 571/2025 del Tribunal Supremo establece que esta responsabilidad es cuasi-objetiva: el banco responde con independencia de culpa, y el simple hecho de que se utilizaran las credenciales del usuario no prueba ni su consentimiento ni su negligencia. La carga de probar la negligencia grave recae sobre el banco.
Más información sobre el marco legal completo en el artículo sobre phishing bancario y jurisprudencia.
Estafas por SMS bancario en 2026: casos reales por entidad
El smishing no distingue bancos. Todas las grandes entidades españolas han sido objetivo de estafas por mensaje de texto. Estos son casos reales resueltos por los tribunales en 2025 y 2026.
Estafa SMS BBVA
BBVA es la entidad con más casos judiciales de smishing en España. Tres sentencias recientes ilustran el patrón:
SAP Ourense 280/2026 (ECLI:ES:APOU:2026:280): una clienta de BBVA recibió un SMS y una llamada que suplantaban al banco (CLI spoofing). Bajo engaño, realizó una transferencia de 6.005 euros a una cuenta de un tercero — también en BBVA. El tribunal desestimó el recurso de BBVA, que alegó no ser responsable de la manipulación del identificador de llamada. El banco fue condenado a devolver la totalidad.
SAP León 2070/2025 (ECLI:ES:APLE:2025:2070): un cliente de BBVA recibió un SMS fraudulento seguido de varios mensajes que parecían proceder del banco. En apenas minutos se realizaron tres compras por 11.175 euros en un comercio de Bucarest (Rumanía). El tribunal señaló que el engaño «venía precedido, motivado y justificado» por la apariencia de legitimidad del primer SMS, y que esa actuación no puede calificarse de «temeraria ni gravemente negligente».
SAP Barcelona 2039/2026 (ECLI:ES:APB:2026:2039): un cliente recibió un SMS en el hilo oficial de BBVA indicando que debía actualizar su cuenta. Accedió al enlace, introdujo sus claves, y un tercero cambió su domicilio, pidió una nueva tarjeta y realizó 17 operaciones por 13.904 euros en dos días. Un perito de Deloitte explicó que el banco «no puede evitar» estos mensajes porque no interviene en la cadena SMS — pero el tribunal recordó que es precisamente el banco quien debe implementar medidas de detección.
Estafa SMS Kutxabank
SAP Bizkaia 1118/2025 (ECLI:ES:APBI:2025:1118): un cliente de Kutxabank fue víctima de smishing y sufrió 8 operaciones fraudulentas por un total de 21.515 euros. Kutxabank devolvió parcialmente 11.597 euros pero se negó a devolver el resto. El tribunal condenó al banco a devolver la diferencia de 9.918 euros.
Estafa SMS Bankinter: el caso donde el banco ganó
No todos los casos se resuelven a favor del cliente. En la SAP Valladolid 292/2026 (ECLI:ES:APVA:2026:292), el tribunal consideró que la clienta de Bankinter incurrió en negligencia grave al facilitar códigos OTP en 10 ocasiones sucesivas — autorizando aumentos de límite de tarjeta, compras en una plataforma de criptomonedas y transferencias por cajero — sin verificar el motivo de cada código. Además, el SMS fraudulento no llegó por el hilo oficial del banco. Este caso muestra los límites: cuando el engaño es menos sofisticado y el número de operaciones autorizadas sin verificación es muy elevado, el tribunal puede apreciar negligencia grave.
Ejemplos de SMS fraudulentos: cómo los reconocerás
Estos son ejemplos reales de mensajes de texto utilizados en estafas bancarias extraídos de sentencias judiciales:
SMS tipo «acceso sospechoso»:
«BBVA: Se ha detectado un inicio de sesión no autorizado en su cuenta. Si no ha sido usted, verifique su identidad: [enlace]»
SMS tipo «cargo no reconocido»:
«[Banco]: Se ha realizado un cargo de 599,99€ en su tarjeta. Si no reconoce esta operación, cancélela aquí: [enlace]»
SMS tipo «verificación obligatoria»:
«Verifique su identidad, de lo contrario su cuenta será suspendida hasta que sea verificada: [enlace]»
SMS tipo «actualización de seguridad»:
«[Banco]: Por motivos de seguridad, debe actualizar sus datos de acceso. Acceda desde: [enlace]»
Todos estos mensajes tienen algo en común: incluyen un enlace. Tu banco nunca te enviará un enlace por SMS para que introduzcas tus credenciales. Si recibes uno, no lo pulses bajo ningún concepto.
Cómo detectar un SMS fraudulento
Aunque los SMS de smishing son cada vez más sofisticados, hay señales que pueden alertarte:
Enlace en el SMS: tu banco nunca te enviará un enlace por SMS para que introduzcas tus credenciales. Si recibes un SMS con un link, no lo pulses. Accede a la banca digital directamente desde la app o escribiendo la URL en el navegador.
Urgencia o amenaza: los mensajes fraudulentos suelen crear sensación de urgencia («su cuenta ha sido bloqueada», «se ha detectado un acceso no autorizado»). Los bancos comunican incidencias reales de forma más pausada.
Solicitud de datos: el banco ya tiene tus datos. Si un SMS te pide que confirmes tu DNI, número de tarjeta o credenciales, es una estafa.
Errores ortográficos o de formato: aunque cada vez son menos frecuentes, muchos SMS fraudulentos contienen pequeños errores gramaticales o de puntuación.
Qué hacer si has sido víctima de smishing
Si has recibido un SMS sospechoso y has proporcionado tus datos, actúa rápidamente siguiendo los pasos de nuestra guía completa de reclamación: bloquea la cuenta, denuncia ante la policía y reclama al banco.
¿Quieres saber si tu caso tiene viabilidad? Haz nuestro test gratuito de phishing bancario o contacta directamente a través de la consulta preliminar gratuita. También puedes consultar la página de servicio de phishing y fraude bancario.
Contenido relacionado
Consulta nuestra guía completa sobre fraude bancario en España para conocer todos los tipos de fraude y cómo reclamar.
¿Víctima de smishing bancario?
Calcula cuánto puedes recuperar con nuestra calculadora gratuita o genera tu escrito de reclamación.
Si eres cliente de BBVA, consulta nuestra guía específica sobre phishing en BBVA con sentencias reales contra este banco.
Si la estafa llegó por WhatsApp en lugar de SMS, consulta nuestra guía sobre estafas bancarias por WhatsApp. Si fue mediante un código QR, consulta quishing: phishing por código QR.
