Phishing, smishing y vishing: cómo reconocerlos y qué hacer si hizo clic

El phishing (correos electrónicos fraudulentos) es un mensaje de estafa que finge venir de una empresa o agencia en la que usted confía para que entregue una contraseña, un número de cuenta, su número de Seguro Social o un pago. Se llama phishing cuando llega por correo electrónico, smishing (mensajes de texto fraudulentos) cuando llega por mensaje de texto y vishing (llamadas fraudulentas) cuando llega como llamada telefónica o mensaje de voz. La señal casi siempre es la misma: un problema urgente (un inicio de sesión sospechoso, un peaje sin pagar, un paquete que no se puede entregar) y un enlace, un número o una solicitud de código que supuestamente le permite «arreglarlo».

Si ya hizo clic o contestó, lo que debe hacer ahora depende de lo que entregó. Si solo hizo clic, la solución de la Federal Trade Commission (FTC, la Comisión Federal de Comercio) es un análisis de seguridad. Una contraseña, un código de verificación, un número de tarjeta, el acceso a su banco o su número de Seguro Social tienen cada uno su propia solución, y si un ladrón ya usó su acceso o su código para sacar dinero de su cuenta, las reglas federales lo tratan como una transferencia no autorizada que usted puede disputar con su banco. Llame primero a su banco o al emisor de su tarjeta, usando el número que aparece en su tarjeta o en su estado de cuenta, y luego siga los pasos de abajo.

Información verificada por última vez el 2 de octubre de 2026. Este artículo no ha sido revisado por un abogado con licencia.

Alcance jurisdiccional: Esta guía cubre la ley federal de Estados Unidos y la orientación de las agencias federales sobre phishing, smishing y vishing: los estatutos penales federales sobre fraude electrónico (wire fraud), fraude de identidad y fraude informático, la Regla de Suplantación de la FTC, las protecciones de la Regulación E para transferencias bancarias no autorizadas y el derecho federal al congelamiento de crédito gratuito. Menciona la Ley Anti-Phishing de California y los estatutos contra el phishing de Texas y Virginia. No repasa la ley de cada estado y no cubre el phishing dirigido a empresas (como el compromiso de correo electrónico empresarial).

¿Qué es el phishing, el smishing y el vishing?

Los tres son el mismo truco enviado por un canal distinto. El estafador finge ser alguien en quien usted confía, como su banco, una agencia de peajes, el Servicio Postal, Amazon, el IRS o su jefe, y lo presiona para que actúe antes de pensar.

Phishing: La FTC lo describe así: «Los estafadores usan correos electrónicos o mensajes de texto para tratar de robar sus contraseñas, números de cuenta o números de Seguro Social. Si obtienen esa información, podrían acceder a su correo electrónico, su banco u otras cuentas. O podrían vender su información a otros estafadores».

La Agencia de Ciberseguridad y Seguridad de Infraestructura (Cybersecurity and Infrastructure Security Agency, CISA) define el smishing como «Phishing a través de mensajes de texto para que la víctima haga clic en un enlace, descargue archivos y aplicaciones, o inicie una conversación» y el vishing como «Phishing a través de comunicación de voz para atraer a la víctima a conversar y generar confianza». El FBI describe el smishing como un ataque que usa mensajes de texto falsos «para engañar a las personas y lograr que descarguen malware, compartan información sensible o envíen dinero a ciberdelincuentes».

El vishing ahora incluye voces clonadas. En un anuncio de servicio público del 15 de mayo de 2025 sobre una campaña que suplantaba a altos funcionarios de Estados Unidos, el Centro de Quejas de Delitos en Internet (Internet Crime Complaint Center, IC3) del FBI advirtió que el vishing «puede incorporar voces generadas por IA» y que los delincuentes «están aprovechando con más frecuencia el audio generado por IA para hacerse pasar por figuras públicas conocidas o por personas cercanas y así aumentar la credibilidad de sus esquemas». Nuestra guía sobre las llamadas de estafa con voz de IA cubre en detalle esa variante.

Cómo reconocer un correo, un mensaje de texto o una llamada de phishing

La FTC enumera las historias que los estafadores cuentan con más frecuencia. El mensaje puede decir que alguien notó actividad sospechosa o intentos de inicio de sesión en su cuenta, afirmar que hay un problema con su cuenta o su información de pago, pedirle que confirme datos personales o financieros, incluir una factura que usted no reconoce, o prometerle un reembolso del gobierno o un cupón gratis. Nada de eso es real.

Tres reglas de las agencias federales detectan la mayoría de estos mensajes:

1. Las empresas reales no piden datos de pago mediante un enlace. La FTC dice que «las empresas legítimas no le enviarán un correo ni un mensaje de texto con un enlace para actualizar su información de pago» y que «Las empresas legítimas no le pedirán información sobre su cuenta por mensaje de texto».
2. Nadie legítimo le pide su código de verificación. La FTC dice que «Cualquiera que le pida su código de verificación de cuenta es un estafador» y que ningún llamante del departamento de fraude de su banco «le pedirá jamás el código de verificación. Eso siempre es una estafa».
3. Nadie legítimo le dice que mueva dinero para protegerlo. En palabras de la FTC: «Alguien que dice que usted tiene que mover su dinero para protegerlo es un estafador. Punto».

No se fíe de los errores de ortografía. La guía para consumidores de la CISA dice que la mala gramática solía ser una señal común, «aunque en la era de la inteligencia artificial (IA) algunos correos ahora tendrán gramática y ortografía perfectas, así que busque las otras señales».

Cuando tenga dudas, la FTC sugiere una pregunta: «¿Tengo una cuenta con la empresa o conozco a la persona que se comunicó conmigo?». Si la respuesta es sí, comuníquese con la empresa usando un número de teléfono o un sitio web que usted sepa que es real, no el enlace, el número ni la opción de respuesta del mensaje. La CISA agrega que no debe hacer clic en ningún enlace de un mensaje sospechoso, incluido un enlace de «cancelar suscripción».

Los mensajes de texto y las llamadas de estafa más reportados

El análisis de la FTC de los reportes de estafas por mensaje de texto de 2024 encontró que cinco guiones representaron cerca de la mitad de todos esos reportes: falsos problemas con la entrega de paquetes (el más reportado), ofertas de trabajo falsas, falsas alertas de fraude, peajes sin pagar y mensajes de «número equivocado» que inician una conversación.

Estafas de mensajes de texto sobre peajes (E-ZPass, SunPass, FasTrak, Peach Pass)

El mensaje de texto sobre un peaje sin pagar es un guion de smishing que el FBI sigue desde 2024. El 12 de abril de 2024, el IC3 emitió una alerta titulada «Smishing Scam Regarding Debt for Road Toll Services» (estafa de smishing sobre deudas por servicios de peaje), en la que informó que desde principios de marzo de 2024 había «recibido más de 2,000 quejas que reportaban mensajes de smishing que representaban un servicio de cobro de peajes en al menos tres estados». El FBI citó un mensaje típico: «(Nombre del servicio de peaje del estado): Hemos notado un monto de peaje pendiente de $12.51 en su registro. Para evitar un cargo por demora de $50.00, visite https://myturnpiketollservices.com para saldar su balance».

El FBI explicó que el enlace «está creado para suplantar el nombre del servicio de peaje del estado, y los números de teléfono parecen cambiar entre estados». Su consejo: revise su cuenta en el sitio web legítimo del servicio de peaje, llame al número real de servicio al cliente del servicio de peaje y borre el mensaje. Si hizo clic o ingresó información, el FBI indica que debe «tomar medidas para proteger su información personal y sus cuentas financieras» y «Disputar cualquier cargo que no reconozca».

El E-ZPass Group emitió su propia advertencia en un aviso a los medios del 26 de abril de 2024, en el que afirmó que «La información de la cuenta de peaje que aparece en estos mensajes de texto no es válida ni exacta». Les indicó a los clientes que borraran los mensajes sin hacer clic, y dijo: «Los clientes que hayan hecho clic en el enlace y completado el formulario deben comunicarse de inmediato con su institución financiera y notificar a E-ZPass cualquier información errónea publicada en sus cuentas».

La ola no se detuvo. El 12 de marzo de 2025, la oficina de campo del FBI en Atlanta informó que las quejas sobre mensajes de texto falsos del sistema Peach Pass de Georgia habían «aumentado drásticamente»: 1,573 quejas en la primera parte de marzo de 2025, frente a 1,720 en los 14 meses transcurridos del 1 de enero de 2024 al 28 de febrero de 2025. En su revisión de abril de 2025 sobre las estafas de mensajes de texto de 2024, la FTC dijo que estos mensajes sobre peajes imitan programas «en todo el país, desde SunPass en Florida hasta FasTrak en San Francisco», y que «estos estafadores realmente buscan números de tarjeta de crédito e incluso de Seguro Social».

Estafas de mensajes de texto de USPS y de entrega de paquetes

La FTC encontró que los mensajes sobre la entrega de paquetes, «generalmente de alguien que finge ser del Servicio Postal de EE. UU., fueron la estafa de mensajes de texto más reportada» en 2024, y que «Muchas personas reportaron haber pagado una pequeña “tarifa de reentrega” que resultó ser un truco para obtener su tarjeta de crédito o incluso su número de Seguro Social».

El Servicio de Inspección Postal de EE. UU. (U.S. Postal Inspection Service, USPIS) es directo sobre cómo funcionan los mensajes reales de USPS: «USPS no enviará a los clientes mensajes de texto ni correos electrónicos sin que el cliente haya solicitado primero el servicio con un número de rastreo, y NO contendrá un enlace». Si usted ya interactuó con el enlace, el USPIS indica que debe notificar a su institución financiera «aunque no haya hecho clic en “enviar”».

Falsas alertas de fraude bancario y llamadas para pedir códigos de verificación

Este es el guion que vacía cuentas bancarias. La FTC describe mensajes de texto que «a menudo parecen provenir de un banco o de Amazon» y que dan un número al cual llamar o piden responder SÍ o NO para verificar una transacción grande. «Las personas que responden se conectan con el (falso) departamento de fraude», dice la FTC, y los estafadores luego «presionan a las personas para que saquen dinero de sus cuentas supuestamente para mantenerlo seguro, pero en realidad va a parar a los estafadores».

Una versión relacionada pide el código de verificación que su banco acaba de enviarle por mensaje de texto. La FTC advierte: «Si les da el código, pueden iniciar sesión en su cuenta y transferir todo el dinero de sus cuentas de ahorros o de inversión». Si recibe una llamada así, cuelgue y llame a su banco real usando «el número que encuentre en su estado de cuenta», como dice la FTC, «nunca el número que le dio el llamante».

Imitaciones del IRS y del gobierno

El IRS dice: «No enviamos mensajes de texto sin su permiso». Los mensajes que afirman ser de una agencia del gobierno también están cubiertos por la regla de la FTC contra la suplantación del gobierno, que se explica más adelante. Para el robo de identidad relacionado con impuestos después de un ataque de phishing, vea nuestra guía sobre el robo de identidad fiscal.

Hice clic en un enlace de phishing: qué hacer ahora, según lo que entregó

Determine qué salió realmente de sus manos y luego use la solución correspondiente. Si se aplica más de una, haga todas, empezando por todo lo que tenga que ver con dinero.

Hizo clic en el enlace pero no ingresó nada

El consejo de la FTC si cree que hizo clic en un enlace o abrió un archivo adjunto que descargó software dañino: «actualice el software de seguridad de su computadora. Luego ejecute un análisis y elimine todo lo que identifique como un problema». Vigile sus cuentas después. Si el enlace era una página falsa de USPS, recuerde la advertencia del Servicio de Inspección Postal de que interactuar con la página puede importar aunque nunca haya presionado «enviar», así que avise a su banco si escribió cualquier dato.

Ingresó una contraseña

La FTC dice que si usted le dio a un estafador el nombre de usuario y la contraseña de una de sus cuentas y todavía puede iniciar sesión, «Cree una contraseña nueva y segura para la cuenta que quedó comprometida. (Si usa la misma contraseña en otra cuenta, cámbiela allí también)». Luego active la autenticación de dos factores. La FTC explica que la autenticación de múltiples factores «hace más difícil que los estafadores inicien sesión en sus cuentas si obtienen su nombre de usuario y su contraseña».

Si el estafador ya cambió su contraseña y lo dejó sin acceso, use el proceso oficial de recuperación del proveedor de la cuenta (la guía de la FTC «How To Get Back Into Your Hacked Account» enlaza a páginas de recuperación de servicios populares).

Entregó un código de verificación

Un código de verificación le permite al estafador terminar de iniciar sesión como si fuera usted. Llame de inmediato a la empresa de la cual vino el código, usando el número que aparece en su tarjeta, en su estado de cuenta o en el sitio web real de la empresa, y dígales que el código fue robado. Cambie la contraseña de la cuenta y active una autenticación más fuerte. Luego revise la cuenta en busca de transferencias, nuevos beneficiarios y datos de contacto modificados.

Si el código era de su banco y ya se movió dinero, eso importa legalmente: la CFPB trata una transferencia hecha por un falso representante del banco que lo engañó para que le diera un «código de confirmación de cuenta enviado por mensaje de texto» como una transferencia no autorizada (vea la sección de abajo sobre el dinero sacado de su cuenta bancaria).

Entregó un número de tarjeta de crédito

La FTC dice que debe reportarlo «al emisor de la tarjeta de crédito de inmediato. Use el número que aparece al reverso de su tarjeta o inicie sesión en su cuenta en línea o mediante su aplicación», y pedir un reembolso.

Las reglas federales sobre tarjetas de crédito son sólidas en este caso. Según la Regulación Z, su responsabilidad por el uso no autorizado de una tarjeta de crédito «no excederá lo que resulte menor entre $50 o el monto» obtenido antes de que usted notifique al emisor (12 C.F.R. § 1026.12(b)(1)(ii)), y el comentario oficial dice que el uso no autorizado incluye una transacción iniciada por alguien que obtuvo la tarjeta «mediante fraude o robo». Para usar el proceso de disputa por errores de facturación, su aviso por escrito debe llegar al emisor dentro de los 60 días siguientes a la fecha en que envió el primer estado de cuenta que muestra el cargo (12 C.F.R. § 1026.13(b)). Nuestra guía para recuperar su dinero después de una estafa explica ambos procesos.

Entregó un número de tarjeta de débito o el acceso a su banco

Llame ahora a la línea de fraude de su banco o cooperativa de crédito, usando el número que aparece en su tarjeta o en su estado de cuenta, y dígales que el número de tarjeta o el acceso fue robado en una estafa. Pídales que bloqueen la tarjeta, restablezcan sus credenciales de banca en línea y revisen si hay transferencias. La FTC dice: «La ley federal lo protege del uso no autorizado de su tarjeta de débito». Si ya salió dinero, reporte cada transferencia como no autorizada (siguiente sección).

Entregó su número de Seguro Social

Los pasos de la FTC dependen de si el número ha sido usado:

• Si el estafador lo usó: «Vaya a IdentityTheft.gov para reportarlo. Obtenga un plan de recuperación personalizado según su situación».
• Si el estafador no lo usó o usted no está seguro: «Vaya a IdentityTheft.gov/databreach» y siga los pasos para protegerse.

Luego congele su crédito. Un congelamiento de crédito impide que se abran cuentas nuevas a su nombre, y la ley federal lo hace gratuito: según 15 U.S.C. § 1681c-1(i), cada agencia de crédito «colocará el congelamiento de seguridad, sin cargo alguno» dentro de 1 día hábil después de una solicitud por teléfono o en línea (3 días hábiles si es por correo). La FTC dice que «No cuesta nada colocar ni quitar un congelamiento de crédito, y no afecta su puntaje de crédito», que «Un congelamiento de crédito dura hasta que usted lo quite» y que debe comunicarse con las tres agencias: Equifax, Experian y TransUnion. Una alerta inicial de fraude de un año es una opción más ligera; usted contacta a una agencia y esta «debe avisar a las otras dos». Nuestra guía sobre el congelamiento de crédito frente a las alertas de fraude los compara, y nuestra guía sobre cómo reportar el robo de identidad explica el reporte en IdentityTheft.gov. Las personas que hablan español pueden reportar en RobodeIdentidad.gov.

Instaló algo o dejó entrar a alguien a su computadora

Si el mensaje o el llamante logró que instalara una aplicación o permitiera el acceso remoto, la FTC indica actualizar su software de seguridad, «Ejecutar un análisis y eliminar todo lo que identifique como un problema» y «Cambiar sus contraseñas y activar la autenticación de dos factores para proteger sus cuentas». Si inició sesión en su banco mientras el estafador estaba conectado, llame al banco: la CFPB señala que un tercero que «usa phishing u otros métodos para obtener acceso a la computadora de un consumidor y observar cómo el consumidor ingresa la información de inicio de sesión de su cuenta» es una situación que produce transferencias no autorizadas. Nuestra guía sobre las estafas de soporte técnico y de facturas falsas cubre a fondo las estafas de acceso remoto.

¿La estafa sacó dinero de su cuenta bancaria?

Depende de quién presionó «enviar». Si el ladrón movió el dinero usando su acceso, su número de tarjeta o su código, las reglas federales lo tratan como una transferencia no autorizada y su banco tiene que investigar. Si usted movió el dinero porque el estafador lo convenció, esas protecciones están escritas para otra situación.

La Regulación E, la regla federal para tarjetas de débito, cajeros automáticos y transferencias en línea y por aplicación desde cuentas bancarias de consumidores, define el término así:

«“Transferencia electrónica de fondos no autorizada” significa una transferencia electrónica de fondos desde la cuenta de un consumidor iniciada por una persona distinta del consumidor, sin autoridad real para iniciar la transferencia y de la cual el consumidor no recibe ningún beneficio». (12 C.F.R. § 1005.2(m))

La Oficina para la Protección Financiera del Consumidor (Consumer Financial Protection Bureau, CFPB) respondió directamente la pregunta sobre el phishing en sus preguntas frecuentes oficiales sobre la Regulación E. Cuando «un consumidor es inducido mediante fraude a compartir información de acceso a la cuenta con un tercero, y un tercero usa esa información para hacer una transferencia electrónica de fondos (EFT) desde la cuenta del consumidor, la transferencia es una EFT no autorizada según la Regulación E». La CFPB da dos ejemplos:

«(1) un tercero que llama al consumidor y finge ser un representante de la institución financiera del consumidor y luego lo engaña para que proporcione su información de inicio de sesión, el código de confirmación de cuenta enviado por mensaje de texto, el número de tarjeta de débito u otra información que pudiera usarse para iniciar una EFT desde la cuenta del consumidor, y (2) un tercero que usa phishing u otros métodos para obtener acceso a la computadora de un consumidor y observar cómo el consumidor ingresa la información de inicio de sesión de su cuenta».

Otros dos puntos de las mismas preguntas frecuentes ayudan a las víctimas de phishing. Su banco no puede aumentar su responsabilidad porque usted haya sido descuidado: el comentario de la Regulación E «establece expresamente que la negligencia del consumidor no puede usarse como base para imponer una responsabilidad mayor que la permitida por la Regulación E». Y en las transferencias a través de redes de pago, como los pagos de persona a persona, las reglas privadas de la red que llaman a una transferencia «final e irrevocable» «no reducen las protecciones del consumidor contra la responsabilidad por EFT no autorizadas». Nuestra guía sobre las estafas de Zelle y de aplicaciones de pagos cubre esas aplicaciones.

El reloj: reporte rápido

La rapidez lo protege de dos maneras: el banco podría lograr detener el dinero, y los límites de la Regulación E a su responsabilidad dependen de cuándo usted reporte.

• Dentro de dos días hábiles después de enterarse de que su tarjeta, su código u otro dispositivo de acceso fue perdido o robado, su responsabilidad tiene un tope de «lo que resulte menor entre $50 o el monto de las transferencias no autorizadas que ocurran antes del aviso» (12 C.F.R. § 1005.6(b)(1)). Un aviso posterior puede subir el tope a $500 (§ 1005.6(b)(2)). Estos dos niveles están escritos para un dispositivo de acceso perdido o robado, y ni la regulación ni las preguntas frecuentes de la CFPB dicen si un código o un acceso que usted compartió engañado inicia ese plazo de dos días, así que, para estar seguro, reporte dentro de los dos días hábiles posteriores a descubrir la estafa. Si una transferencia se hizo sin ningún dispositivo de acceso, los niveles de $50 y $500 no se aplican y solo rige la regla de 60 días que se explica abajo (Interpretación Oficial, comentario 6(b)(3)-2).
• Dentro de 60 días después de que el banco envíe el estado de cuenta que muestra por primera vez la transferencia no autorizada, usted debe reportarla «para evitar responsabilidad por transferencias posteriores» (§ 1005.6(b)(3)), y los deberes formales de resolución de errores del banco se aplican a un aviso recibido dentro de ese plazo (§ 1005.11(b)(1)(i)). El banco debe extender estos plazos a un período razonable si su demora se debió a «circunstancias extenuantes» (§ 1005.6(b)(4)).
• Puede reportar por teléfono. El banco puede pedirle una confirmación por escrito dentro de los 10 días hábiles posteriores a su llamada (§ 1005.11(b)(2)), y debe informárselo cuando usted llame.

Una vez que usted reporta, el banco por lo general tiene 10 días hábiles para decidir si ocurrió un error. Puede tomar hasta 45 días (90 días para algunas transferencias, como las transacciones con tarjeta de débito en un punto de venta) solo si acredita provisionalmente su cuenta (crédito provisional) dentro de los 10 días hábiles (12 C.F.R. § 1005.11(c)). El cronograma completo, y qué hacer si el banco dice que no, está en nuestra guía para recuperar su dinero después de una estafa.

Si usted envió el dinero por su cuenta

En el guion de la falsa alerta de fraude que describe la FTC, el estafador no toca su cuenta en absoluto. Un falso empleado del banco lo presiona para que usted mismo mueva el dinero, supuestamente para mantenerlo seguro. La definición de la Regulación E abarca las transferencias «iniciadas por una persona distinta del consumidor», por lo que un pago que usted mismo inició por lo general queda fuera de esa definición tal como está escrita, y los bancos y las aplicaciones de pagos a menudo tratan esos pagos como autorizados. La FTC es franca: «Si lo estafan para que saque su dinero de su cuenta, no estará protegido. Y probablemente no recuperará ese dinero».

Eso no significa que no deba intentarlo. La FTC igualmente les dice a las personas que le pagaron a un estafador por Zelle o por transferencia bancaria que «Lo reporten a su banco o cooperativa de crédito de inmediato» y que «Les pidan que reviertan el pago y le reembolsen su dinero». Cualquier reembolso en esa situación suele depender de la política del propio banco o de la aplicación, y no de un requisito legal.

Dónde reportar el phishing, el smishing y el vishing

Reportar por lo general no le devolverá su dinero, pero ayuda a que las compañías de telefonía bloqueen números y a que las autoridades armen casos. Reporte primero a su banco si hay dinero o acceso a una cuenta de por medio, y luego a los canales que correspondan al mensaje.

Para una lista más completa por tipo de estafa, vea dónde reportar una estafa.

¿Es ilegal el phishing? Las leyes federales y estatales

Sí. Los fiscales federales llegan al phishing mediante varios estatutos penales generales, cada uno de los cuales cubre una etapa distinta del esquema, y una regla de la FTC apunta a la suplantación en sí. Son leyes que el gobierno hace cumplir. Reportar es la manera en que una víctima las pone en marcha.

Ley penal federal

• Fraude electrónico (wire fraud), 18 U.S.C. § 1343. El estatuto alcanza a quien, habiendo ideado un «esquema o artificio para defraudar», transmite una comunicación por cable, radio o televisión en el comercio interestatal o internacional «con el fin de ejecutarlo». Un correo electrónico, un mensaje de texto o una llamada de phishing enviados como parte de ese esquema encajan en esa descripción. El máximo es de 20 años de prisión; cuando la violación afecta a una institución financiera, sube a una multa de hasta $1,000,000, hasta 30 años de prisión, o ambas.
• Fraude de identidad, 18 U.S.C. § 1028(a)(7). Es un delito federal transferir, poseer o usar a sabiendas, «sin autoridad legal, un medio de identificación de otra persona» en relación con un delito federal o un delito grave estatal. Eso abarca lo que hacen los estafadores de phishing con los números de Seguro Social y los datos de cuenta robados.
• Robo de identidad agravado, 18 U.S.C. § 1028A. Usar el medio de identificación de otra persona durante ciertos delitos graves enumerados, entre ellos el fraude electrónico, agrega una pena obligatoria de 2 años de prisión «además de la pena prevista para ese delito grave».
• Fraude informático, 18 U.S.C. § 1030(a)(4). Entrar a su cuenta con credenciales robadas es un delito aparte: acceder a sabiendas y con intención de defraudar a «una computadora protegida sin autorización» para promover el fraude y obtener cualquier cosa de valor.

La Regla de Suplantación de la FTC

Desde el 1 de abril de 2024, la Regla de Suplantación (Impersonation Rule) de la FTC (16 C.F.R. Part 461) convierte en práctica desleal o engañosa «hacerse pasar de manera material y falsa, directamente o por implicación» por una entidad o funcionario del gobierno (§ 461.2) o por un negocio o funcionario de un negocio (§ 461.3). «De manera material» significa que es probable que afecte la elección de una persona, o su conducta, con respecto a bienes o servicios. Un mensaje que finge falsamente ser un banco, una agencia de peajes, el Servicio Postal o el IRS es el tipo de conducta que describe la regla. La FTC hace cumplir la regla, así que un reporte a ReportFraud.ftc.gov es la manera en que una víctima la pone a trabajar.

CAN-SPAM y los encabezados de correo electrónico

La ley federal CAN-SPAM hace ilegal enviar un correo electrónico comercial que «contenga, o esté acompañado de, información de encabezado que sea materialmente falsa o materialmente engañosa» (15 U.S.C. § 7704(a)(1)). La ley define un mensaje de correo electrónico por referencia a un buzón y a un dominio de Internet, por lo que está dirigida al correo electrónico y no a los mensajes de texto. Las reglas sobre los mensajes de texto automatizados (robotexts) en teléfonos se cubren en nuestra guía de la TCPA.

Leyes estatales contra el phishing

Algunos estados tienen sus propios estatutos contra el phishing. Tres ejemplos:

• California. La Ley Anti-Phishing de 2005 (Cal. Bus. & Prof. Code §§ 22948 a 22948.3, vigente desde el 1 de enero de 2006) hace ilegal usar una página web, un correo electrónico o Internet para inducir a alguien a proporcionar información de identificación «haciéndose pasar por un negocio sin la autoridad ni la aprobación del negocio» (§ 22948.2). La información de identificación incluye un número de Seguro Social, un número de cuenta bancaria, un número de tarjeta, un PIN y la contraseña de una cuenta. California permite que la víctima demande: «Una persona que resulte adversamente afectada» puede demandar a quien cometió directamente la violación para obtener una orden judicial y «lo que resulte mayor entre tres veces el monto de los daños reales o cinco mil dólares ($5,000) por violación» (§ 22948.3(a)(2)), y el tribunal puede otorgar al demandante que prevalezca los costos y honorarios de abogado razonables. Los proveedores de acceso a Internet y los propietarios de páginas web o de marcas que resulten adversamente afectados pueden recuperar lo que resulte mayor entre los daños reales o $500,000 (en sus demandas, las múltiples violaciones que surjan de una sola acción o conducta cuentan como una sola violación), y el Fiscal General o un fiscal de distrito puede solicitar sanciones civiles de hasta $2,500 por violación.
• Texas. Una ley de 2005 (House Bill 1098) creó la Ley Anti-Phishing de Texas, promulgada originalmente como el capítulo 48 del Business and Commerce Code (no pudimos confirmar el número actual de su capítulo en el sitio oficial de estatutos de Texas), que cubre las páginas web falsas y el fraude por correo electrónico. Tal como se promulgó, permitía demandar a los proveedores de acceso a Internet, a los propietarios de páginas web o de marcas adversamente afectados y al fiscal general, no a las víctimas individuales. No hemos verificado las enmiendas posteriores al texto vigente.
• Virginia. Va. Code § 18.2-152.5:1 establece como delito grave de Clase 6 usar una computadora para obtener información de identificación «mediante el uso de artificio, treta o engaño material», y como delito grave de Clase 5 vender o distribuir esa información.

Una demanda solo es útil contra alguien a quien usted pueda identificar, y una víctima de phishing a menudo no puede identificar al remitente. Para la mayoría de las víctimas, el proceso de disputa con el banco o con la tarjeta descrito arriba es la vía práctica para recuperar el dinero.

¿Las compañías de telefonía tienen que bloquear los mensajes de texto fraudulentos?

En parte. Desde el 11 de mayo de 2023, una regla de la FCC (FCC 23-21) exige a los proveedores de servicio inalámbrico móvil «bloquear, a nivel de red, los mensajes de texto que pretendan provenir de números del Plan de Numeración de América del Norte (NANP) incluidos en una lista razonable de No Originar (Do-Not-Originate, DNO)», que abarca números inválidos, no asignados o sin uso y números cuyos titulares dicen que nunca envían mensajes de texto. Un mensaje de texto fraudulento desde un número de apariencia válida no queda cubierto por ese bloqueo obligatorio, y esa es una razón por la cual reenviar los mensajes de texto fraudulentos al 7726 sigue importando.

¿Qué tan grande es el problema?

• Estafas de mensajes de texto: «En 2024, las personas reportaron $470 millones en pérdidas por estas estafas, más de cinco veces la cifra de 2020», según la revisión de datos de abril de 2025 de la FTC. La FTC agrega que, como la mayoría de los fraudes nunca se reportan, la cifra «probablemente refleja solo una fracción del daño real». La proporción de reportes de estafas por mensaje de texto que involucraron una pérdida de dinero subió del 5% en 2020 al 11% en 2024.
• Cómo llegaron los estafadores a las personas en 2025: Ordenados por reportes de fraude con pérdida, los datos de abril de 2026 de la FTC mostraron sitio web o aplicación (31%), redes sociales (28%), llamada telefónica (11%), correo electrónico (10%) y mensaje de texto (7%). La FTC señala que no recopiló reportes durante el cierre del gobierno de 2025.
• Quejas al FBI: El informe anual de 2024 del IC3 incluyó el phishing y la suplantación (spoofing) como el tipo de delito más reportado, con 193,407 quejas y $70,013,036 en pérdidas reportadas. Su informe de 2025 estableció las pérdidas por phishing y suplantación en $215,843,126.

Estas cifras son quejas reportadas por las propias víctimas, y las cifras de la FTC y del FBI provienen de conjuntos de datos distintos, por lo que no deben sumarse.

Guías relacionadas

• Leyes sobre estafas y fraude: la guía completa
• Cómo recuperar su dinero después de una estafa
• Dónde reportar una estafa
• Estafas de Zelle y de aplicaciones de pagos
• Estafas de soporte técnico y de facturas falsas
• Leyes sobre robo de identidad
• Estafas telefónicas dirigidas a hispanohablantes
• Cómo saber si algo es una estafa

Última actualización: 2 de octubre de 2026.

Aviso legal: Este artículo ofrece información legal general sobre la ley federal de Estados Unidos y las leyes estatales mencionadas arriba, verificada a octubre de 2026. No es asesoría legal. Para su situación específica, comuníquese con su banco, el emisor de su tarjeta o la empresa de pagos, la agencia mencionada arriba o un abogado con licencia en su estado.

Preguntas frecuentes

¿Cuál es la diferencia entre phishing, smishing y vishing?

Son la misma estafa por canales distintos: phishing suele referirse al correo electrónico, smishing a los mensajes de texto y vishing a las llamadas telefónicas o los mensajes de voz. La CISA define el smishing como phishing a través de mensajes de texto y el vishing como phishing a través de comunicación de voz.

Hice clic en un enlace de phishing pero no ingresé nada. ¿Estoy bien?

La FTC indica actualizar su software de seguridad, ejecutar un análisis y eliminar todo lo que señale. Si era una página falsa de USPS, el Servicio de Inspección Postal indica avisar a su banco si interactuó con ella, aunque no haya presionado «enviar».

¿Qué debo hacer si ingresé mi contraseña en un sitio de phishing?

Cambie la contraseña de inmediato, cámbiela en cualquier otro lugar donde la haya usado y active la autenticación de dos factores, como aconseja la FTC. Si no puede entrar a su cuenta, use el proceso oficial de recuperación de cuenta del proveedor.

¿El mensaje de texto sobre un peaje que recibí es una estafa?

Es muy probable. El FBI advirtió el 12 de abril de 2024 sobre mensajes de texto que afirman que hay peajes sin pagar, con enlaces que suplantan a los servicios estatales de peaje, y E-ZPass dijo que la información de la cuenta en esos mensajes no es válida ni exacta. Revise su saldo en el sitio web real de la agencia de peajes en lugar de tocar el enlace.

¿USPS envía mensajes de texto sobre la entrega de paquetes?

Solo si usted lo pidió. El Servicio de Inspección Postal dice que USPS no le enviará mensajes de texto ni correos electrónicos sin que usted los solicite primero con un número de rastreo, y que el mensaje no contendrá un enlace. Reporte los falsos a spam@uspis.gov y reenvíelos al 7726.

¿Mi banco me reembolsará el dinero que un estafador sacó después de que le di un código?

Si el estafador usó el código o el acceso para hacer la transferencia, la CFPB dice que es una transferencia no autorizada según la Regulación E, por lo que el banco debe investigar y limitar su responsabilidad. Repórtelo rápido y dentro de los 60 días posteriores al estado de cuenta que la muestra por primera vez.

¿Y si un falso empleado del banco me convenció de enviar el dinero yo mismo?

La definición de la Regulación E abarca las transferencias iniciadas por alguien distinto de usted, así que un pago que usted mismo envió por lo general se trata como autorizado, y la FTC advierte que probablemente no lo recuperará. Aun así, repórtelo a su banco de inmediato y pídale que lo reviertan.

¿Dónde reenvío un correo electrónico o un mensaje de texto de phishing?

Reenvíe los mensajes de texto fraudulentos al 7726 (SPAM) y los correos de phishing a reportphishing@apwg.org, y luego repórtelos a la FTC en ReportFraud.ftc.gov. Los mensajes falsos del IRS van a phishing@irs.gov.

¿El phishing es un delito?

Sí. Los fiscales federales pueden acusarlo como fraude electrónico según 18 U.S.C. 1343 (hasta 20 años), fraude de identidad según 18 U.S.C. 1028, robo de identidad agravado según 1028A y fraude informático según 18 U.S.C. 1030. La Regla de Suplantación de la FTC también prohíbe hacerse pasar por una agencia del gobierno o por un negocio.

¿Puedo demandar a quien me hizo phishing?

La Ley Anti-Phishing de California permite que una persona adversamente afectada demande a quien la violó directamente por tres veces los daños reales o $5,000 por violación, lo que resulte mayor. Una demanda necesita un demandado identificable, así que para la mayoría de las víctimas el proceso de disputa con el banco o con la tarjeta es la vía práctica.