Cómo funciona una estafa por SMS: el fraude que afectó a Bélgica

Un mensaje de texto que advertía sobre el supuesto bloqueo de una tarjeta bancaria fue suficiente para iniciar una estafa que terminó con la sustracción de 17,776.75 euros de cuentas vinculadas a los príncipes Laurent y Claire de Bélgica. El caso llegó a los tribunales de Lovaina, donde cuatro personas fueron condenadas por fraude informático y blanqueo de capitales.

El engaño ocurrió el 23 de diciembre de 2021, cuando la princesa Claire recibió un SMS que aparentaba haber sido enviado por Card Stop, el servicio utilizado en Bélgica para bloquear tarjetas bancarias. Como había perdido su tarjeta unos días antes, el mensaje coincidía con una situación real y no levantó sospechas de inmediato.

La víctima accedió al enlace incluido en el texto y llegó a una página falsa que imitaba el sitio oficial del servicio. Allí introdujo información de su tarjeta, datos del lector de tarjetas y credenciales bancarias personales. Aunque después sospechó y cerró la página, los delincuentes ya habían obtenido información que les permitió operar con las cuentas.

Te puede interesar: De Ueno Bank a la caída de Peña ¿Cuál es el costo económico de perder la confianza?

¿Cómo fue la estafa por SMS contra los príncipes de Bélgica?

El mensaje recibido por Claire simulaba ser una comunicación de Card Stop y advertía que debía bloquear su tarjeta bancaria. La coincidencia con la pérdida reciente de su tarjeta hizo que la alerta pareciera legítima. Al pulsar el enlace, la princesa fue redirigida a una página fraudulenta diseñada para parecerse a la plataforma oficial. El sitio le solicitó varios pasos de identificación y terminó obteniendo información bancaria sensible.

Este tipo de engaño se conoce como smishing, una modalidad de phishing que utiliza mensajes SMS para llevar a las víctimas a páginas falsas o inducirlas a compartir información personal y financiera.

La trampa no dependía de que el mensaje tuviera errores evidentes o una apariencia poco profesional. Su efectividad estaba en aprovechar una circunstancia real de la víctima para generar confianza y conseguir que actuara sin verificar el origen de la comunicación.

¿Cómo lograron robar los 17,776 euros?

La investigación determinó que los delincuentes sustrajeron un total de 17,776.75 euros de la cuenta personal de la princesa y de otras tres cuentas sobre las que tenía autorización para operar.

Las transacciones se realizaron entre el 1 y el 4 de enero de 2022, mediante transferencias hacia distintas cuentas bancarias en Bélgica. Parte del dinero terminó utilizándose para realizar pagos en una discoteca y en una tienda Fnac de Marbella, España.

Pero el caso no se limitó al robo de los datos de una tarjeta. Los investigadores reconstruyeron movimientos de dinero entre distintas cuentas y encontraron que algunos de los implicados habían facilitado sus propios productos bancarios para recibir o trasladar los fondos. A la vez, la operación incluyó mecanismos para ocultar la identidad de los responsables, como nombres falsos, números telefónicos anónimos, direcciones IP modificadas o desviadas y el uso indebido de datos personales de terceros.

¿Quiénes fueron condenados por la estafa y qué penas recibieron?

El Tribunal de Primera Instancia de Lovaina condenó el 26 de octubre de 2026 a cuatro de las cinco personas que comparecieron por el caso. La decisión las declaró culpables de fraude informático y blanqueo de capitales, al determinar que actuaron como intermediarios para recibir o movilizar dinero obtenido mediante la estafa.

Dos de los condenados recibieron penas de 12 meses de prisión, con suspensión de la ejecución durante cinco años. Otro recibió seis meses de prisión, con suspensión durante tres años. Para la cuarta persona, el tribunal ordenó la suspensión del pronunciamiento de la condena durante tres años. La sentencia dispuso el decomiso de 10,765.75 euros entre los cuatro condenados.

Asimismo, una quinta persona fue absuelta porque el tribunal consideró que no existían pruebas suficientes para demostrar su participación. Aunque la investigación había relacionado un número telefónico con el envío del mensaje fraudulento, no se pudo establecer que esa persona hubiera cometido o participado en el delito.

Te puede interesar: De Ueno Bank a la caída de Peña ¿Cuál es el costo económico de perder la confianza?

¿Cómo identificar una estafa por SMS que suplanta a un banco?

El caso de los príncipes belgas muestra que un mensaje puede parecer legítimo cuando coincide con una situación personal. Por eso, no basta con revisar si está bien escrito o si utiliza el nombre de una entidad conocida.

El Instituto Dominicano de las Telecomunicaciones (Indotel), en su guía de buenas prácticas de comercio electrónico elaborada con la colaboración de Pro Consumidor, explica que el phishing consiste en suplantar la identidad de una entidad legítima para obtener información personal y bancaria. Entre los canales utilizados figuran los mensajes de texto, correos electrónicos y aplicaciones de mensajería.

Algunas señales que deben despertar sospechas son:

Un enlace para resolver un supuesto problema bancario: mensajes que solicitan verificar la identidad, desbloquear una tarjeta o evitar el cierre de una cuenta

Solicitudes de datos confidenciales: ninguna alerta debe llevarte a compartir contraseñas, códigos de seguridad o información completa de tus tarjetas en una página recibida por SMS

Urgencia para actuar: frases que presionan al usuario para hacer clic de inmediato o amenazan con bloquear servicios si no responde

Direcciones web sospechosas: enlaces que imitan el nombre de un banco o institución, pero utilizan dominios diferentes al oficial

Mensajes inesperados: notificaciones que no solicitaste y que te piden completar operaciones o confirmar información financiera

¿Qué hacer para evitar que te roben el dinero mediante un SMS?

La prevención comienza por no entregar información bancaria desde enlaces recibidos por mensajes de texto. Si llega una alerta sobre una tarjeta bloqueada, una transferencia sospechosa o una cuenta en riesgo, lo recomendable es contactar directamente al banco mediante el número que aparece en su tarjeta o en su página oficial.

Conviene adoptar estas medidas:

No abras enlaces sospechosos. Si el mensaje dice proceder de tu banco, verifica la información desde su aplicación o sus canales oficiales

Nunca compartas códigos de autenticación. Las claves de un solo uso, contraseñas y códigos enviados al teléfono no deben entregarse a terceros

Activa la autenticación de dos factores. Esta medida añade una capa de protección a las cuentas y dificulta el acceso de personas no autorizadas

Utiliza contraseñas diferentes. Evita repetir la misma clave en el correo electrónico, las redes sociales y las plataformas financieras

Revisa tus movimientos bancarios. Consulta periódicamente tus estados de cuenta y notifica al banco cualquier transacción que no reconozcas

Mantén actualizado el teléfono. Las actualizaciones del sistema y las aplicaciones ayudan a corregir vulnerabilidades de seguridad

De igual forma, Indotel recomienda utilizar contraseñas robustas, proteger los datos financieros y comprobar la autenticidad de los sitios web antes de introducir información personal.

Te puede interesar: De Ueno Bank a la caída de Peña ¿Cuál es el costo económico de perder la confianza?

¿Qué hacer si ya hiciste clic en un enlace fraudulento?

Si introdujiste los datos de tu tarjeta o tus credenciales bancarias en una página sospechosa, no esperes a detectar una transferencia para actuar. Contacta inmediatamente a tu entidad financiera a través de un canal oficial y solicita el bloqueo de la tarjeta o de los accesos que puedan estar comprometidos.

Si compartiste contraseñas, cámbialas desde un dispositivo seguro y revisa si la misma clave está vinculada a otros servicios. También es importante verificar los movimientos de las cuentas y conservar capturas del mensaje, el enlace, las llamadas y cualquier operación que no reconozcas.

En República Dominicana, los casos de fraude tecnológico pueden denunciarse ante la Dirección de Área de Policía Cibernética de la Policía Nacional (DICAT), que investiga delitos como phishing, suplantación de identidad y transferencias bancarias ilícitas.

Suscríbete a la revista y regístrate a nuestros newsletters para recibir el mejor contenido en tu buzón de entrada.