El SMS llega con una supuesta multa de tránsito pendiente, un enlace de «trámite on-line» y dos horas para pagar. La Agencia Nacional de Tránsito alertó de esa campaña el 27 de abril de 2026 y recordó que no gestiona pagos de multas por SMS ni por correo. Así se ve qué es el phishing en la práctica.
Qué es el phishing y cómo funciona
Qué es el phishing, en una frase: un fraude en el que alguien se hace pasar por una entidad en la que usted confía para que entregue algo de valor. Puede ser la clave del banco, la tarjeta, el código que llega por SMS o un clic que instala un programa malicioso. El canal cambia; la mecánica, casi nunca.
Todo empieza con un pretexto creíble: una multa, una devolución de impuestos, un paquete retenido o un bloqueo de cuenta. Después viene la urgencia, porque un plazo corto impide pensar. El tercer paso es el enlace a una página que copia el logo, los colores y hasta los textos legales de la institución verdadera.
La página falsa pide exactamente lo que el atacante necesita para actuar en los siguientes minutos. Con usuario, clave y el código de un solo uso, entra a la banca en línea y transfiere fondos. Con los datos de la tarjeta, compra en el extranjero. Con la contraseña del correo, toma el resto de sus cuentas.
Una aclaración que despeja dudas frecuentes: la palabra viene del inglés fishing, pescar, y se pronuncia igual, «físhing». El atacante lanza miles de anzuelos y le basta con que muerda una fracción mínima. Por eso los mensajes masivos están mal escritos a veces: no necesitan engañar a todos, solo a quien está apurado.
Por qué Ecuador recibe tantos mensajes falsos: las cifras
ESET ubicó a Ecuador como el primer país de América Latina en detecciones de ataques de phishing en su Security Report LatAm 2023, según recogió Primicias. Con datos del primer semestre de 2024, ESET situó además al país en el tercer puesto regional por amenazas detectadas. Son mediciones de telemetría propia, no censos oficiales.
Las denuncias muestran el mismo patrón desde el lado de las víctimas. La Fiscalía registró 3.913 denuncias por delitos informáticos de clientes del sistema financiero en 2024, frente a 3.644 en 2023, y el 94 % correspondió a apropiación fraudulenta por medios electrónicos. Buena parte de esos casos empieza con un mensaje que imita al banco.
Un dato oficial parece ir en sentido contrario. El Plan Nacional de Seguridad Integral 2025-2029 registra que los casos de este tipo contra instituciones pasaron de 18 en 2024 a cero en 2025. La cifra mide incidentes institucionales registrados, no los mensajes que reciben las personas, y por eso convive con millones de intentos detectados por los fabricantes de antivirus.
El fenómeno no es local. El informe 2025 del Internet Crime Complaint Center del FBI vuelve a colocar el phishing y la suplantación como la categoría con más quejas: 191.561 de un total de 1.008.597. El fraude por compromiso de correo empresarial sumó 24.768 quejas y pérdidas declaradas superiores a 3.046 millones de dólares.
Tipos de engaño: del correo masivo a la voz clonada
Conocer las variantes ayuda porque cada una explota un canal distinto y una costumbre distinta. El correo masivo apuesta por el volumen. Las versiones dirigidas apuestan por la investigación previa sobre la víctima. En todos los casos el objetivo final es el mismo: una credencial, un pago o un archivo ejecutado en su computadora o celular.
Smishing: el SMS y la mensajería
El smishing usa SMS o WhatsApp porque en el celular la dirección del enlace se ve recortada y se responde rápido. Las falsas multas de la ANT, los avisos de encomiendas y los bloqueos bancarios llegan sobre todo por esta vía. Un SMS puede mostrar un nombre de remitente falso, así que el nombre no prueba nada.
Vishing: la llamada telefónica
En el vishing el engaño ocurre en una llamada. El SRI advirtió en noviembre de 2025 sobre llamadas que buscan registrar cuentas bancarias para supuestas devoluciones de impuestos. La variante bancaria clásica es el falso agente de seguridad que pide «confirmar» el código que acaba de llegar por SMS. Ningún banco necesita que usted le dicte ese código.
Quishing: el código QR
El quishing reemplaza el enlace por un código QR, en un correo, un adjunto o una pegatina sobre un cartel. INCIBE, el instituto de ciberseguridad de España, describió una campaña en la que el QR llevaba a una copia del inicio de sesión de Microsoft. Al escanear con el celular, las protecciones del correo corporativo ya no ven el enlace.
Spear phishing y BEC
El spear phishing es un mensaje dirigido a una persona concreta, con su nombre, su cargo y detalles reales de su trabajo. Su versión empresarial más costosa es el BEC, el compromiso de correo corporativo: un falso proveedor anuncia un cambio de cuenta bancaria o un falso gerente pide una transferencia urgente y confidencial.
Pharming y adjuntos con malware
No todos los engaños dependen de una página de acceso. Algunos correos traen una factura o un comprobante adjunto que, al abrirse, instala un programa que roba contraseñas guardadas. El pharming va más lejos: altera la resolución de nombres de dominio o la configuración del router para que usted llegue a un sitio falso aunque escriba bien la dirección.
Redes sociales
Instagram, Facebook y TikTok reciben su propia versión: un mensaje directo que avisa de una supuesta infracción de derechos de autor, una verificación con insignia azul o un premio, con enlace a un formulario que pide la contraseña. Con la cuenta tomada, el atacante escribe a los contactos pidiendo dinero o usa el perfil para engañar a otras personas.
Voz y video falsificados
La suplantación ya no se limita al texto. La consultora británica Arup confirmó en 2024 que un empleado de su oficina en Hong Kong transfirió 200 millones de dólares de Hong Kong, unos 25,6 millones de dólares estadounidenses, tras una videollamada en la que el director financiero eran recreaciones digitales. El primer contacto fue un correo falso.
Ejemplos de phishing que circulan en Ecuador
Estos ejemplos de phishing están reconstruidos a partir de las alertas oficiales de cada institución, con los datos cambiados. Los ejemplos de phishing sirven para entrenar el ojo: las campañas reales cambian de texto cada semana, pero repiten la estructura. Fíjese en la columna central: casi siempre la señal está en el remitente, el plazo o lo que piden.
| Mensaje de ejemplo | Señal de alerta | Qué hacer |
|---|---|---|
| SMS: «ANT: registra multa pendiente. Paga hoy con descuento en las próximas 2 horas: [enlace trámite on-line]» | La ANT no gestiona pagos por SMS ni correo; plazo de dos horas | Borrar el mensaje y consultar multas solo en ant.gob.ec |
| Correo: «Servicio de Rentas Internas: tiene una devolución aprobada. Registre su cuenta bancaria aquí» desde una dirección @gmail.com | Remitente fuera de @infosri.gob.ec; pide datos bancarios | No responder; reportar en los buzones de sri.gob.ec o al 1700 774 774 |
| Correo: «Su envío está en tránsito. Actualice sus datos para la entrega» con logo de un servicio postal | No esperaba ningún paquete; pide datos personales | Verificar con la empresa por su web, escrita a mano |
| SMS: «Banco: su cuenta fue bloqueada por seguridad. Ingrese aquí para reactivarla» | El enlace no es el dominio del banco; amenaza de bloqueo | Llamar al número impreso en la tarjeta o usar la aplicación oficial |
| WhatsApp de un contacto: «Te llegó un código por error, ¿me lo pasas?» | Pide el código de seis dígitos de WhatsApp | No enviarlo; llamar al contacto por otra vía |
| Llamada: «Le hablamos del área de seguridad, dígame el código que le acaba de llegar» | Un banco nunca pide claves ni códigos | Colgar y llamar al banco por su número oficial |
Sobre el SRI hay un dato útil. Según la alerta que el SRI emitió el 20 de noviembre de 2025, sus notificaciones salen de [email protected], [email protected], [email protected] e [email protected]. Un correo que dice ser del SRI y llega desde otro dominio no es del SRI. La institución insiste en que nunca pide información confidencial por ningún canal.
El caso de las encomiendas es más difícil porque las empresas legítimas sí envían SMS de seguimiento. La diferencia está en lo que piden: un aviso real informa del estado del envío, uno falso pide actualizar datos o pagar una tasa pequeña. Primicias documentó en marzo de 2025 un correo falso que usaba el nombre de Correos del Ecuador.
Cómo identificarlo: las señales dentro del propio mensaje
Antes de revisar enlaces, conviene saber qué es normal en la comunicación de cada institución con la que usted trata. Su banco tiene canales fijos, el SRI usa direcciones fijas y la ANT no cobra por mensaje. Todo lo que se salga de ese patrón merece una segunda mirada, aunque el diseño sea perfecto y el texto no tenga faltas.
- Urgencia con plazo concreto: horas, no días.
- Amenaza de bloqueo, multa o pérdida de un beneficio.
- Pedido de claves, códigos de un solo uso, PIN o número completo de tarjeta.
- Saludo genérico o, al revés, demasiados datos personales para un primer contacto.
- Remitente con un dominio ajeno o parecido al oficial.
- Adjunto inesperado, comprimido, ejecutable o con macros.
- Pago por una vía inusual: transferencia a una persona, tarjeta prepagada o criptomonedas.
La señal más fiable es lo que piden. Un banco o el SRI pueden enviar avisos, pero no le pedirán por mensaje su clave, el código que acaba de llegar ni el número completo de la tarjeta. Banco Guayaquil lo dice en su centro de ayuda: nunca pedirá claves, códigos ni datos confidenciales por mensajes, correos o llamadas.
Las faltas de ortografía ya no son un buen indicador. Las herramientas de traducción y de generación de texto producen mensajes correctos en segundos, y algunas campañas copian los correos reales de la institución. Un mensaje bien escrito, con el logo correcto y el nombre del funcionario real, puede seguir siendo falso si el dominio o el pedido no cuadran.
Cómo revisar un enlace o un remitente antes de hacer clic
La revisión toma diez segundos y evita la mayoría de los fraudes. En la computadora, pase el cursor sobre el enlace sin hacer clic y lea la dirección que aparece abajo. En el celular, mantenga el dedo presionado sobre el enlace hasta que aparezca la vista previa de la dirección completa, y no la abra si no la reconoce.
Lector de enlaces: a quién pertenece realmente un link
Fuentes: Mozilla, URL (MDN) · Public Suffix List · FTC, Cómo reconocer y evitar las estafas de phishing
Datos verificados al por la redacción de dds.ec · Método editorial
Cómo se calcula
El enlace se separa con el mismo analizador de direcciones que usa el navegador. El dominio real es la etiqueta que queda a la izquierda del sufijo público (.com, .com.ec, .gob.ec y casi sesenta sufijos frecuentes en la región). Las señales de alerta son reglas fijas: arroba antes del servidor, dirección IP, caracteres no latinos, acortadores, conexión sin cifrar, un nombre conocido fuera del dominio real y plataformas donde cualquiera crea un subdominio. La herramienta no visita el enlace ni consulta listas negras.
La anatomía de un dominio
Lea la dirección desde la primera barra hacia la izquierda. En banco.ejemplo.com.ec/acceso, el dominio que manda es ejemplo.com.ec, no «banco». Los estafadores aprovechan esto con direcciones como bancoreal.verificacion-seguro.com, donde el dueño real es verificacion-seguro.com. Guiones extra, letras cambiadas y terminaciones raras son señales directas de fraude. Si duda del dueño del dominio, no abra el enlace.
El sufijo .gob.ec
Las instituciones públicas de Ecuador usan direcciones que terminan en .gob.ec, como sri.gob.ec o ant.gob.ec. Un mensaje oficial que llega desde Gmail, Outlook o un dominio parecido debe tratarse como falso. Pero ojo: el sufijo correcto tiene que estar al final del dominio, no en medio, como ocurre en sri.gob.ec.pagos-online.com.
El candado no certifica a nadie
El candado del navegador solo indica que la conexión está cifrada entre usted y ese servidor. No dice quién es el dueño del sitio. Obtener un certificado gratuito para un dominio falso lleva minutos, así que hoy muchas páginas fraudulentas muestran el candado. Ese criterio, repetido durante años en campañas de concienciación, ya no sirve para distinguir lo legítimo.
Qué hacer si ya hizo clic o entregó sus datos
Abrir un enlace sin escribir nada suele tener poco riesgo en un celular actualizado; el daño grave empieza cuando se entregan datos o se instala algo. Si eso ocurrió, el orden importa, porque el atacante también actúa rápido. La lista siguiente está pensada para los primeros treinta minutos y vale para correo, SMS o llamada.
- Llame a su banco por el número impreso en la tarjeta o el que figura en la aplicación oficial, con la etiqueta que el banco usa (banca telefónica o call center). Pida bloquear la tarjeta y revisar transferencias pendientes.
- Cambie la contraseña que escribió en la página falsa, desde otro equipo si sospecha de malware, y en todos los servicios donde usaba la misma.
- Cierre las sesiones abiertas y active la verificación en dos pasos, de preferencia con aplicación o llave de acceso.
- Revise el correo: reglas de reenvío nuevas, cambios en el correo o teléfono de recuperación.
- Si instaló algo, desinstálelo y analice el equipo; en el celular, revise permisos de accesibilidad y administración del dispositivo.
- Guarde pruebas: capturas con fecha y hora, el enlace, el número que escribió y los comprobantes.
- Denuncie ante la Fiscalía y avise a la institución suplantada.
Hay errores que empeoran la situación. No responda al estafador para reclamarle ni intente «recuperar» el dinero con supuestos servicios que prometen rastrear la transferencia: suelen ser una segunda estafa. Tampoco borre los mensajes antes de capturarlos, porque son la base de la denuncia y del reclamo al banco. Y no pague para que le devuelvan una cuenta.
Un detalle que suele pasarse por alto es el correo. Si el atacante entró a su cuenta principal, puede pedir restablecer las contraseñas de todo lo demás. La guía sobre qué hacer con un Gmail hackeado explica cómo revisar dispositivos, reglas de reenvío y datos de recuperación paso a paso, antes de que la cuenta se use contra sus contactos.
Si el engaño fue por llamada o mensaje y usted sospecha que el celular quedó comprometido, conviene revisar aplicaciones desconocidas, permisos y consumo anormal de batería o datos. La guía para saber si su celular está hackeado recorre esas señales en Android y en iPhone, con los pasos para limpiar el equipo sin perder evidencia.
Cómo evitarlo: los cambios que sí reducen el riesgo
La pregunta de cómo evitarlo tiene una respuesta incómoda: ninguna persona detecta todos los mensajes falsos, porque los mejores son impecables. Por eso la defensa útil combina hábitos con ajustes técnicos que siguen funcionando aunque usted caiga. El hábito principal es simple: nunca entrar a un servicio desde un enlace recibido, sino desde la aplicación o escribiendo la dirección.
El segundo cambio es la autenticación. Una contraseña robada pierde valor si la cuenta exige un segundo factor, y pierde casi todo si ese factor es una llave de acceso. La FIDO Alliance diseñó las llaves de acceso con la resistencia al phishing como objetivo: la credencial queda ligada al dominio real y no funciona en una copia.
Los códigos por SMS son mejores que nada, pero tienen dos debilidades: se pueden dictar a un estafador y se pueden desviar con un duplicado de SIM. Las aplicaciones de autenticación y las llaves de seguridad físicas cierran ese hueco. Un gestor de contraseñas ayuda por otra vía: no autocompleta la clave en un dominio que no reconoce.
Las protecciones automáticas ayudan, aunque llegan tarde a las campañas nuevas. Chrome incluye Navegación segura de Google y Android trae Google Play Protect, ambos gratuitos y activados por defecto; Microsoft Defender cumple una función parecida en Windows. Conviene no desactivarlos para «agilizar» el equipo, y tomar en serio la pantalla roja de advertencia cuando aparece.
El resto es higiene básica que se olvida: actualizar el sistema y el navegador, instalar aplicaciones solo desde Google Play o la App Store, y revisar qué servicios tienen su número de celular como método de recuperación. Sobre cómo evitarlo en familia, lo más eficaz es acordar una regla: cualquier pedido urgente de dinero se confirma con una llamada.
Phishing en empresas: SPF, DKIM, DMARC y el botón de reporte
En una empresa, el correo falso que imita al gerente o al proveedor es el punto de entrada más barato. Tres registros de DNS ayudan a que nadie use su dominio para engañar a clientes. SPF indica qué servidores pueden enviar correo en nombre del dominio; DKIM firma cada mensaje para que el receptor compruebe que no fue alterado.
DMARC une los dos y le dice al servidor receptor qué hacer con un mensaje que falla: dejarlo pasar y avisar, mandarlo a spam o rechazarlo. Google exige SPF y DKIM, además de un registro DMARC, a quienes envían más de 5.000 mensajes diarios a cuentas de Gmail desde el 1 de febrero de 2024.
Los informes de DMARC muestran quién envía correo con su dominio, incluidos servicios legítimos que nadie había documentado. Con esa lista corregida, la política puede endurecerse a cuarentena y luego a rechazo. Saltar directamente al rechazo sin revisar los informes suele bloquear facturas electrónicas o correos de marketing, y el proyecto termina abandonado.
La parte humana pesa igual. La formación frecuente funciona mejor que un curso anual, y un botón para reportar mensajes sospechosos convierte a cada empleado en un sensor. Para pagos, la regla que más dinero ahorra es verificar cualquier cambio de cuenta bancaria de un proveedor con una llamada a un número que ya figuraba en el registro interno.
Cuando alguien reporta un mensaje, el área de tecnología debería poder buscarlo en todos los buzones y retirarlo en minutos, bloquear el dominio y revisar quién hizo clic. Si hubo credenciales entregadas, se restablecen y se cierran sesiones activas de inmediato. Ese circuito, practicado antes de necesitarlo, vale más que cualquier filtro adicional comprado por catálogo.
Las simulaciones controladas sirven si se usan para enseñar y no para castigar: quien cae recibe una explicación breve en el mismo momento, y el área de tecnología mide si los reportes aumentan. Cuando el engaño ya derivó en cifrado de servidores, el problema es otro, y la guía sobre ransomware en empresas explica la respuesta inicial.
Dónde denunciar en Ecuador y qué llevar
Si perdió dinero, entregó credenciales o alguien usó su identidad, la vía formal es la denuncia ante la Fiscalía General del Estado. Según la Fiscalía, basta la cédula, el trámite es gratuito y no requiere abogado. Lleve capturas, enlaces, números de teléfono, comprobantes de transferencia y el número de reclamo que le dio el banco.
El Código Orgánico Integral Penal tipifica conductas que aparecen en estos casos. El artículo 230 sanciona a quien envía mensajes o páginas que inducen a una persona a ingresar a un sitio distinto del que quiere visitar, y el artículo 190 castiga la apropiación fraudulenta por medios electrónicos. La guía para denunciar un delito informático en Ecuador lo explica.
El reclamo al banco es un trámite distinto de la denuncia y conviene hacerlo el mismo día. Pida un número de reclamo, anote la hora y el nombre de quien lo atendió y solicite por escrito el detalle de las transacciones no reconocidas. Ese documento, junto con la denuncia, es lo que el banco y la Fiscalía revisarán después.
Avisar a la institución suplantada también ayuda a cortar la campaña. El SRI recibe reportes en los buzones de sri.gob.ec y en el 1700 774 774, y la ANT pide verificar cualquier multa solo en ant.gob.ec. Para ver otras campañas activas con fecha e institución, el catálogo de estafas en Ecuador se actualiza con cada nueva alerta oficial.