La campaña de SMS falsos de la Seguridad Social suplanta trámites habituales de autónomos y beneficiarios. El código de acceso solicitado desde una web oficial tiene una función diferente.
La Seguridad Social ha comunicado el 21 de septiembre de 2026 una campaña de SMS fraudulentos sobre supuestas deudas y prestaciones pendientes. Los mensajes conducen a páginas que piden información bancaria. Afectan especialmente a autónomos y personas que reciben prestaciones. La alerta exige distinguir dos situaciones: recibir una reclamación inesperada mediante un enlace y solicitar personalmente un código para identificarse en un servicio oficial. Esa diferencia permite comprobar el aviso sin entregar datos al remitente.
Los SMS falsos mezclan deudas, cotizaciones y supuestos ingresos
El aviso oficial describe mensajes que inventan diferencias de cotización, actualizaciones pendientes o cantidades que la Administración todavía no habría pagado. Algunos portales fraudulentos mencionan incluso pagos del IRPF, aunque ese impuesto no lo gestiona la Seguridad Social. El engaño termina en una falsa pasarela que reclama datos bancarios. La existencia de una deuda puede comprobarse por otra vía. El certificado de deudas pendientes permite consultar la situación registrada por la Tesorería, sin utilizar el enlace recibido.
La documentación de ciberseguridad del organismo describe también fraudes que combinan varios canales. Primero llega un WhatsApp ofreciendo una ayuda; después, una llamada refuerza la historia. Finalmente, un SMS conduce a la página falsa. Recibir varios contactos no acredita que exista un expediente real. Al contrario, esa sucesión puede formar parte del mismo intento de obtener información financiera. La comprobación debe hacerse con el organismo que reconoce la prestación, mediante sus canales publicados, y sin llamar al número facilitado por el supuesto gestor.
Un código solicitado por el ciudadano cumple otra función
La Seguridad Social sí dispone de identificación mediante SMS para determinados servicios electrónicos. Su explicación oficial exige que el teléfono móvil conste previamente en sus bases de datos. El usuario introduce la información requerida y recibe un código para continuar el acceso iniciado. Este mecanismo permite consultar servicios como los informes de la Seguridad Social. No convierte cualquier mensaje con el nombre del organismo en una comunicación auténtica. El contexto importa: el ciudadano debe haber iniciado la gestión desde el portal correspondiente.
Por ejemplo, una persona puede escribir la dirección oficial en el navegador y escoger la identificación por SMS dentro del trámite. El código recibido corresponde entonces al proceso que acaba de solicitar. La situación cambia cuando aparece un enlace inesperado y se exige pagar inmediatamente para evitar consecuencias. Son recorridos diferentes, aunque ambos utilicen mensajes de texto. La comparación no sustituye la revisión del dominio ni autoriza a compartir el código con otra persona. Sirve para identificar qué operación se está realizando realmente.
Importass permite contrastar la deuda antes de realizar pagos
El servicio oficial de certificados de estar al corriente está dirigido a quienes tienen número de la Seguridad Social o de afiliación. Puede utilizarse en cualquier momento y permite descargar un documento en PDF. Si aparecen cantidades pendientes, ofrece otro informe con referencia, periodos e importes. Estos datos permiten contrastar una reclamación con información obtenida directamente de la Tesorería. El ciudadano no necesita aceptar como cierta la explicación del SMS para conocer su situación. Tampoco debe introducir una tarjeta en la página que propone el remitente.
Quien carezca de identificación electrónica dispone de una alternativa dentro del propio servicio. La plataforma solicita datos personales, una fotografía del documento de identidad y un selfi. Que exista este procedimiento oficial tampoco justifica enviar fotografías a un contacto desconocido. La legitimidad depende del canal utilizado y de la gestión iniciada. Importass agrupa consultas de pagos, deudas y datos personales; las solicitudes de prestaciones tienen sus propios canales. Entrar por el portal adecuado evita confundir un trámite de recaudación con una supuesta devolución o ayuda.
Qué hacer si ya se han facilitado datos bancarios
INCIBE aconseja contactar cuanto antes con el banco si se han entregado números de tarjeta, credenciales u otra información financiera. También recomienda revisar movimientos para localizar operaciones no autorizadas. Si se facilitaron contraseñas, deben cambiarse en las cuentas afectadas. La respuesta depende de la información expuesta: abrir un mensaje, introducir datos y realizar un pago son situaciones distintas. Explicar al banco qué ocurrió facilita que valore las medidas necesarias. El hecho de que todavía no aparezcan cargos no demuestra que los datos estén protegidos.
Los mensajes que meten prisa, contienen errores o incluyen enlaces extraños requieren especial atención, según INCIBE. El nombre mostrado como remitente también puede suplantarse. Ante dudas, hay que buscar el contacto oficial de la entidad y verificar la comunicación por separado. Si el fraude ya se ha consumado, la Seguridad Social recomienda denunciarlo ante las fuerzas de seguridad.
La alerta oficial del 21 de septiembre reúne ejemplos de esta campaña. Mantener separados el mensaje recibido y la comprobación oficial reduce la posibilidad de continuar el engaño.
