El SMS anuncia que la Tesorería General de la Seguridad Social tiene «una actualización pendiente» y ofrece un enlace para resolverla. INCIBE lo clasificó de importancia alta el 19 de agosto de 2026: el enlace lleva a una web falsa que la imita. Detrás de las webs reales que se copian está la Gerencia de Informática de la Seguridad Social.
Qué es la Gerencia de Informática de la Seguridad Social (GISS)
La Gerencia de Informática de la Seguridad Social, conocida como GISS, es un servicio común de la Seguridad Social española, con personalidad jurídica propia y capacidad de obrar. Está adscrita a la Secretaría de Estado de la Seguridad Social y Pensiones y es, en la práctica, el área de tecnología de todo el sistema de protección social.
No atiende trámites de ciudadanos. Esa tarea corresponde a las entidades gestoras y a la Tesorería General de la Seguridad Social. Lo que hace la GISS es construir y mantener los sistemas con los que esas entidades trabajan y con los que el público hace sus gestiones en línea: bases de datos, redes, aplicaciones y la seguridad de todo ello.
La propia Seguridad Social resume su misión como facilitar soluciones tecnológicas a las entidades gestoras y servicios comunes para la gestión de trámites con la ciudadanía y las empresas. Según su revista, la GISS lleva 40 años liderando la transformación digital de la Seguridad Social, y en 2024 trabajaba en proyectos como un nuevo centro de datos.
Funciones de la GISS según la normativa
Las funciones de la GISS están en la disposición adicional segunda del Real Decreto 497/2020, de 28 de abril. Una resolución publicada en el Boletín Oficial del Estado el 6 de junio de 2022 las resume en una lista que sirve como mapa de lo que hace, y que explica por qué cualquier fallo de seguridad tiene tanto alcance.
- Elaborar el plan de transformación digital de la Seguridad Social e impulsar su administración digital.
- Proponer, crear y desarrollar los sistemas de información de la Seguridad Social.
- Evaluar, auditar e inventariar los sistemas de información vigentes.
- Aprobar normas técnicas y metodológicas comunes para todos los sistemas.
- Crear, custodiar y administrar las bases de datos corporativas y sus sistemas de seguridad y confidencialidad.
- Gestionar los sistemas de información y las redes de comunicaciones.
- Definir, crear y gestionar la seguridad de los sistemas de información, con auditorías informáticas.
En 2022 el ministerio le encomendó actuaciones propias de su Subdirección General de Tecnologías de la Información y las Comunicaciones, la unidad que mantiene la intranet, el portal web y la sede electrónica del departamento. Para el ciudadano el efecto es invisible, pero explica por qué un incidente en esa infraestructura afectaría a más de un servicio a la vez.
El último punto es el que conecta a la GISS con la ciberseguridad del ciudadano. La custodia de las bases de datos con información de afiliación, cotizaciones y prestaciones convierte esos sistemas en un objetivo valioso, y la confianza en sus canales oficiales es justo lo que explotan las campañas de suplantación que se describen más abajo.
Personal y organización de la Gerencia de Informática de la Seguridad Social
La revista de la Seguridad Social informó en marzo de 2024 que la Gerencia de Informática de la Seguridad Social cuenta con más de 1.100 empleados públicos y 1.800 profesionales de asistencia técnica y otros servicios. Ese personal se reparte entre los servicios centrales y 55 Unidades Provinciales de Informática, que dan soporte en todo el territorio.
Quien busca trabajar en la GISS encontrará dos vías habituales en la administración española: los procesos selectivos para entrar como funcionario y los concursos de provisión de puestos entre funcionarios, que se convocan y resuelven en el Boletín Oficial del Estado. La propia revista presentaba en 2024 la Gerencia como destino profesional para los funcionarios que deben elegir plaza.
Los servicios digitales que sostiene: sede electrónica, Import@ss y Cl@ve
Para el ciudadano, el trabajo de la GISS se ve en la sede electrónica de la Seguridad Social, en sede.seg-social.gob.es, y en Import@ss, el portal de la Tesorería General de la Seguridad Social. Desde Import@ss se consultan datos personales, se obtiene la vida laboral y se hacen trámites de afiliación y cotización sin pasar por una oficina.
La identificación en Import@ss admite varios métodos: un código de un solo uso por SMS, para quien ya comunicó su teléfono a la Tesorería, Cl@ve y certificado digital. El SMS legítimo llega solo cuando usted acaba de iniciar el acceso en el portal, contiene un código y no incluye un enlace para pagar ni para actualizar datos.
La Seguridad Social tiene además una aplicación oficial para móviles desde la que se accede a Import@ss. Conviene instalarla solo desde Google Play o la App Store y comprobar el nombre del desarrollador, porque las tiendas también reciben aplicaciones que imitan nombres e iconos de organismos públicos, y un enlace recibido por SMS nunca es la vía para descargarla.
Cl@ve es el sistema de identificación electrónica común de la administración española, con modalidades que permiten entrar sin certificado. Su popularidad lo convierte en objetivo: INCIBE avisó en 2023 de campañas que suplantaban a la Agencia Tributaria para robar credenciales de Cl@ve. Con esas credenciales, el atacante puede entrar a servicios de distintas administraciones en nombre de la víctima.
Phishing que suplanta a la Seguridad Social: campañas recientes
El phishing con la imagen de la Seguridad Social reaparece cada pocos meses con un pretexto distinto: una actualización de datos, una tarjeta sanitaria, una deuda, un reembolso. INCIBE publica avisos sobre cada campaña. La tabla reúne algunos de los más recientes, con el pretexto que usaban y lo que pedían, para que el patrón se vea de un vistazo.
| Fecha del aviso de INCIBE | Canal y pretexto | Qué buscaba |
|---|---|---|
| 19 de agosto de 2026 | SMS: actualización pendiente en la Tesorería General | Datos personales y bancarios en una web falsa |
| 2 de mayo de 2023 | SMS: actualizar la tarjeta sanitaria para no perder derechos | Nombre, apellidos, fecha de nacimiento y correo |
| 12 de enero de 2023 | Correo «Liquidación de impuestos Ultimo aviso» con «Descargar informe» | Instalar un troyano mediante un archivo .zip |
Las campañas no son nuevas. En 2020 INCIBE ya advertía de correos que anunciaban un reembolso inexistente de la Seguridad Social y de llamadas en las que un falso funcionario prometía una devolución y enviaba por Bizum lo que en realidad era una petición de cobro. El pretexto cambia; la mecánica de cobrar a quien espera recibir se mantiene.
Estas campañas funcionan por la misma razón que funcionan las que suplantan a la Agencia Tributaria: casi todo el mundo se relaciona con la Seguridad Social en algún momento, y un aviso sobre la vida laboral, una prestación o la tarjeta sanitaria resulta verosímil para cualquiera. El atacante no necesita saber nada de la víctima para acertar con el pretexto.
La campaña de enero de 2023 merece atención porque no buscaba una contraseña. El enlace descargaba un archivo comprimido con un nombre del tipo «Contribuyente» seguido de números; al ejecutarlo, el ordenador quedaba infectado con un troyano. Un archivo .zip que llega por correo de un organismo público ya es motivo suficiente para no abrirlo.
La guía general sobre qué es el phishing y cómo evitarlo explica cómo funcionan estas campañas y por qué el candado del navegador no garantiza que una web sea legítima. Para el caso concreto de la Seguridad Social, la regla es más simple: la institución no pide pagos de deudas ni actualizaciones de datos mediante enlaces enviados por SMS.
Cómo verificar una comunicación de la Seguridad Social
La verificación más segura es no usar nunca el mensaje recibido. Si un SMS o un correo habla de una deuda, una notificación o un cambio de datos, abra usted mismo la sede electrónica o la aplicación oficial desde el móvil, escribiendo la dirección o usando el acceso que ya tenía guardado, y compruebe si existe algo pendiente.
Hay señales que delatan el engaño antes de abrir nada. Un plazo inmediato, una amenaza de perder derechos, un enlace acortado o un dominio que no termina en seg-social.gob.es o seg-social.es son motivos para desconfiar. También lo es cualquier pedido de los datos completos de una tarjeta, que ningún trámite de la Seguridad Social exige a través de un enlace.
Las notificaciones electrónicas reales se consultan dentro de la sede o de Import@ss, tras identificarse. Un aviso por SMS o correo puede anunciar que hay una notificación, pero el contenido se lee dentro del canal oficial. Si el mensaje pretende que todo el trámite ocurra a través de un enlace, el phishing está prácticamente confirmado.
Las llamadas merecen el mismo trato. Si alguien dice llamar de la Seguridad Social para tramitar una devolución, cuelgue y consulte su situación en la sede electrónica o en Import@ss. Nunca dicte un código recibido por SMS, porque ese código puede ser el que abre su área personal o autoriza un pago desde su banca en línea.
Un buen hábito preventivo es entrar de vez en cuando a Import@ss y revisar que el teléfono y el correo de contacto registrados son los suyos. Si un tercero los cambiara, los avisos legítimos dejarían de llegarle, y esa es una señal que conviene detectar antes de que alguien intente usar su identidad en un trámite.
Las empresas, autónomos y gestorías son un blanco natural de los correos sobre deudas de cotización o notificaciones que obligan a «descargar» un documento. La regla es idéntica: la notificación se consulta dentro de la sede electrónica, y cualquier archivo comprimido o ejecutable recibido por correo se borra sin abrir y se reporta al responsable de sistemas.
Qué hacer si cayó y cómo denunciar
Si solo recibió el mensaje, INCIBE recomienda reportarlo a su buzón de incidentes, bloquear al remitente y borrarlo. Si llegó a introducir datos personales o bancarios, el orden cambia: llame a su banco para bloquear la tarjeta y cualquier movimiento no autorizado, guarde capturas y enlaces, y contacte con la línea de ayuda 017 de INCIBE.
El paso siguiente es la denuncia ante la Policía Nacional o la Guardia Civil, con las pruebas. Desde julio de 2025 la Guardia Civil admite por su sede electrónica algunos supuestos, entre ellos los cargos fraudulentos con tarjeta. La página sobre la Brigada Central de Seguridad Informática explica cómo se reparten estas investigaciones.
INCIBE recomienda además revisar durante varios meses qué información suya aparece en internet, buscando su nombre y sus datos, porque los datos robados en una campaña se reutilizan en otras. Quien lee desde Ecuador verá el mismo libreto con el IESS, el SRI o la ANT; el catálogo de estafas en Ecuador recoge las campañas activas con su fecha.