Un SMS inesperado que anuncia un cargo, un bloqueo o un problema de seguridad con Apple Pay no demuestra que el pago exista ni que hayan accedido a tu cuenta. No llames al número ni abras el enlace del mensaje: comprueba la actividad desde Wallet o la aplicación oficial de tu banco, abierta por tu cuenta. Apple identifica las falsas alertas de cargos no autorizados como una táctica de ingeniería social (Apple Support).
Cómo reconocer un SMS que suplanta a Apple Pay
Desconfía de un mensaje que combine una alerta urgente con una petición de llamar, pulsar un enlace, iniciar sesión o facilitar datos. Apple advierte que quienes suplantan a su equipo de soporte pueden buscar contraseñas o códigos de verificación; Apple no los pide para prestar asistencia.
El nombre o número que aparece como remitente tampoco confirma quién ha enviado el SMS. El Centro Canadiense de Ciberseguridad explica que la suplantación de un código corto puede hacer que un mensaje fraudulento aparezca en el mismo hilo que los avisos legítimos de un banco (guía sobre ataques por SMS). Ese hilo no autentica el mensaje.
Comprueba el cargo por un canal independiente
- No respondas ni uses los datos de contacto del SMS. No facilites contraseñas, códigos de verificación ni datos de la tarjeta.
- Abre Wallet o la aplicación oficial del banco por tu cuenta. Comprueba allí si figura el cargo. También puedes entrar en la web del emisor escribiendo su dirección o usando un acceso que ya conozcas.
- Si tienes dudas sobre un pago, contacta con el banco o el emisor mediante un teléfono obtenido de forma independiente, por ejemplo, el que aparece en la tarjeta.
Un mensaje puede parecer convincente y aparecer junto a comunicaciones bancarias auténticas. La comprobación debe hacerse dentro de Wallet o por un canal oficial del emisor, no desde el propio aviso.
Qué hacer si ya compartiste datos
Si escribiste la contraseña de tu Apple Account en una página abierta desde el SMS, cámbiala cuanto antes y comprueba que la autenticación de doble factor esté activada, como recomienda Apple. Si facilitaste datos de la tarjeta o de la cuenta bancaria, avisa inmediatamente al emisor usando su aplicación, su web oficial o un teléfono obtenido por separado. Guarda una captura del mensaje y cualquier dato relevante para el reporte.
Dónde reportar el mensaje en España
Puedes enviar a INCIBE-CERT un reporte de smishing con una descripción del incidente y las pruebas disponibles (formulario de reporte). El 017 ofrece asesoramiento de ciberseguridad, pero no es un canal de denuncia formal (información sobre el 017). Para presentar una denuncia penal, dirígete a las fuerzas de seguridad (orientación de la AEPD).
Apple también permite enviar una captura de un SMS que suplanta a la compañía a reportphishing@apple.com y ofrece una opción para informar de mensajes no deseados en Mensajes (instrucciones de Apple).
