Estafa de peaje por SMS: no pagues ese enlace

Un mensaje que dice que debes un peaje o que USPS no puede entregar tu paquete es, casi siempre, una estafa. Las agencias de peaje y el Servicio Postal no mandan textos sorpresa con un enlace para pagar, y tanto la FTC como el FBI han advertido que esos mensajes llevan a sitios falsos armados para robar los datos de tu tarjeta. La estafa de peaje por SMS es smishing (phishing por SMS): no toques el enlace, no respondas, repórtalo al 7726 y, si de verdad tienes un saldo, escríbelo tú mismo en el sitio de tu agencia.

Abajo va cómo se arman estos mensajes, por qué convencen, cómo bloquearlos y reportarlos en iPhone y en Android, y qué hacer si ya tocaste el enlace o metiste la tarjeta.

Cómo se ve la estafa de peaje por SMS

El texto cambia cada pocas semanas. La estructura, no. Un mensaje típico dice algo así (el enlace, fuera):

“[Agencia de peaje del estado]: Tu vehículo tiene un saldo de peaje pendiente de $6.99. Para evitar un recargo de $50 y la suspensión de tu registro, paga antes del [fecha]: [enlace]”

La versión de USPS cambia el peaje por un paquete:

“USPS: No pudimos entregar tu paquete porque la dirección está incompleta. Actualiza tus datos en las próximas 24 horas: [enlace]”

Lo que se repite:

• Una cantidad chica. Entre $3 y $12 parece demasiado poco como para dudar, y de eso se trata. El objetivo real es el número completo de tu tarjeta, la fecha de vencimiento y el código de seguridad.
• Una fecha límite y una amenaza. Recargos, multas, suspensión de la licencia o del registro, o el paquete que “vuelve al remitente”.
• Un remitente raro. Un número internacional, un correo cualquiera (iMessage puede entregar textos que vienen de una dirección de correo) o un número que no corresponde a ninguna agencia de peaje.
• Un enlace que se parece. Dominios con palabras como “toll”, “ezpass”, “usps” o el nombre de un estado, más letras o guiones de más, casi siempre en terminaciones que no son la dirección real de la agencia. Muchos sitios muestran primero un CAPTCHA falso para verse legítimos.
• El estado equivocado. Te cobran un peaje de un estado por el que nunca manejaste. Mandan el mismo texto a millones de números, sin saber dónde vives.

Cómo funciona el smishing por detrás

Estos textos no los manda un estafador solo. Investigadores de seguridad han rastreado la mayor parte del smishing de peajes y de USPS en Estados Unidos hasta grupos de phishing como servicio que hablan chino, conocidos como la Smishing Triad, que venden kits listos a delincuentes de todo el mundo.

Kits de phishing y dominios desechables

Según investigaciones de Cisco Talos y Silent Push que resumió The Hacker News en abril de 2025, un kit llamado Lighthouse ofrecía cientos de plantillas que se hacían pasar por agencias de peaje, correos y bancos, y se vendía por unas decenas de dólares. La Unit 42 de Palo Alto Networks reportó en octubre de 2025 que había ligado más de 194,000 dominios maliciosos a la operación desde el 1 de enero de 2024. Los peajes eran la categoría más grande, con casi 90,000 dominios de phishing, y USPS era la marca más suplantada, con 28,045 dominios. Cerca del 29 % de los dominios estuvo activo dos días o menos, así que las listas de bloqueo no alcanzan a seguirles el paso.

El 12 de noviembre de 2025 Google demandó a 25 personas, sin nombrarlas, a las que señala como responsables de Lighthouse, en el Tribunal del Distrito Sur de Nueva York. Google alegó que la plataforma había dañado a más de un millón de víctimas en 120 países, según contó KrebsOnSecurity.

El truco de la billetera del celular

La tarjeta robada no solo se vende. Investigadores y la demanda de Google describen kits que, de inmediato, intentan agregar tu tarjeta a un Apple Pay o a Google Wallet en el celular del estafador. El sitio falso te pide después el “código de verificación” que te manda el banco. Ese código es el que aprueba la billetera. Cuando tu tarjeta queda en la de ellos, pueden usarla en tiendas y en línea hasta que la canceles.

El truco de “responde Y para activar el enlace”

iMessage desactiva los enlaces de remitentes desconocidos que no están en tus contactos. Los estafadores lo rodean con una línea del estilo “Responde Y, luego sal y vuelve a abrir el mensaje para activar el enlace”. En enero de 2025 BleepingComputer reportó que responder hace que el enlace se pueda tocar, y además le dice al estafador que tu número está activo y que sigues instrucciones. Nunca respondas para “desbloquear” un enlace.

¿El SMS de peaje es real? Cómo comprobarlo sin riesgo

Da por hecho que no lo es, y compruébalo por un canal que controles tú.

1. No uses el enlace ni el número del mensaje. Escribe tú la dirección de tu agencia de peaje en el navegador, o abre su app oficial, e inicia sesión en tu cuenta.
2. Mira los avisos de la propia agencia. Casi todas, incluidas las que forman parte de E-ZPass, publican alertas de estafa en su página de inicio y dicen qué sí envían y qué no.
3. Llama al número de tu estado de cuenta o de la cuenta del transponder, no al que viene en el texto.
4. Para USPS, rastrea paquetes en usps.com escribiendo el número de seguimiento de tu pedido. El Servicio de Inspección Postal de Estados Unidos dice que USPS no te va a escribir por mensaje o por correo si tú no lo pediste antes con un número de seguimiento, y que esos mensajes no llevan enlace.

La estafa de E-ZPass por SMS merece un aparte, porque E-ZPass cubre muchos estados. Un problema real de saldo de E-ZPass aparece en tu cuenta en línea o en una factura de peaje que llega por correo, no en un texto al azar con un enlace.

Qué dicen el FBI, la FTC y la CISA

Los avisos llevan más de dos años, y dicen lo mismo.

Cómo reportar los SMS de spam (7726 y más)

Reportar toma menos de un minuto y ayuda a las operadoras y a las autoridades a frenar la siguiente oleada.

• Reenvía al 7726 (SPAM). Las operadoras grandes de Estados Unidos lo aceptan. La tuya suele responder pidiendo el número del remitente. En iPhone, mantén pulsado el mensaje, toca Más y luego la flecha de reenviar. En Android, mantén pulsado el mensaje y elige Reenviar o Compartir.
• Usa el botón de reporte de tu app. En Mensajes de Apple, toca “Reportar como basura” debajo de un mensaje de un desconocido. En Mensajes de Google, mantén pulsada la conversación, toca Bloquear y deja marcada “Reportar spam”.
• Presenta el caso ante la FTC en reportfraud.ftc.gov, sobre todo si perdiste dinero.
• Preséntalo ante el FBI en ic3.gov, con el número del remitente y la dirección del sitio (escríbela como texto, no la abras).
• Los textos con tema de USPS también pueden ir a spam@uspis.gov, con una captura que muestre el remitente y la hora.

Si estás fuera de Estados Unidos, usa el canal de reporte de tu país. En el Reino Unido, por ejemplo, el número para reenviar también es 7726.

¿Qué pasa si respondes STOP?

A un negocio legítimo al que tú te suscribiste, STOP te da de baja. A un estafador, cualquier respuesta —STOP, Y o un mensaje de enojo— confirma que una persona real lee los textos de ese número, y eso puede traer más mensajes. En iMessage, responder también puede hacer que los enlaces de ese hilo se puedan tocar. No respondas a desconocidos. Reporta y borra.

Cómo bloquear SMS de spam en el iPhone

Apple ha ido mejorando el filtro de spam en Mensajes.

1. Filtrar remitentes desconocidos (iOS 26 y posteriores). En Mensajes, toca Filtros › Administrar filtrado y activa Filtrar remitentes desconocidos, o ve a Ajustes › Apps › Mensajes › Remitentes desconocidos. Los mensajes de números que no están en tus contactos van a una lista aparte de Remitentes desconocidos, y tú eliges qué avisos siguen llegando (por ejemplo, códigos urgentes o movimientos). Apple aclara que responder a un desconocido no lo marca como conocido: usa “Marcar como conocido”.
2. Versiones anteriores de iOS: activa Filtrar remitentes desconocidos en Ajustes › Mensajes.
3. Filtro de mensajes de texto. En Administrar filtrado también puedes activar una extensión de filtrado de SMS de una app de confianza, por ejemplo la de tu operadora.
4. Bloquea al remitente. Abre la conversación, toca el remitente arriba y elige Bloquear. No esperes mucho: los estafadores rotan números todo el tiempo.

Cómo filtrar remitentes desconocidos en Android

Mensajes de Google, la app de textos por defecto en Pixel y en muchos otros Android, trae la protección contra spam activada de fábrica.

1. Abre Mensajes de Google, toca tu foto de perfil › Ajustes de Mensajes › Protección y seguridad › Protección contra spam, y confirma que Activar protección contra spam esté encendido.
2. Mensajes de Google usa inteligencia artificial en el propio celular para detectar estafas de entrega de paquetes y de empleo, y las manda a la carpeta Spam y bloqueados, o muestra un aviso. Google anunció esa detección en octubre de 2024.
3. Mantén pulsada una conversación sospechosa y elige Bloquear › Reportar spam.
4. Si usas Mensajes de Samsung u otra app de textos, busca en sus ajustes las opciones de bloqueo y spam, o cámbiate a Mensajes de Google.
5. Si estás en alto riesgo, Protección avanzada de Android deja la detección de estafas y los avisos de enlaces siempre encendidos.

Qué hacer si ya tocaste el enlace de la estafa

Tocar el enlace, por sí solo, casi nunca es un desastre. Lo que importa es qué hiciste en la página. Sigue los pasos que te correspondan.

Solo abriste el enlace

• Cierra la página. No escribas nada y no instales lo que te ofrezca.
• Actualiza el sistema y el navegador del celular, para tapar fallos conocidos del navegador.
• Reporta y borra el mensaje, y estate atento a textos o llamadas de seguimiento que se hagan pasar por tu banco.

Metiste los datos de la tarjeta o pagaste

1. Llama ya al emisor de la tarjeta al número que está atrás de la tarjeta. Di que la ingresaste en un sitio de phishing, pide que la cancelen y te den un número nuevo, y disputa los cargos.
2. Revisa billeteras digitales nuevas. Pregunta al banco si tu tarjeta se agregó a Apple Pay, Google Pay o Samsung Wallet en un equipo que no es tuyo, y pide que quiten ese token. Cancelar el plástico no siempre alcanza, según el banco.
3. Revisa los estados de cuenta las siguientes semanas, por cargos de prueba chicos.
4. Repórtalo en reportfraud.ftc.gov y en ic3.gov. Guarda capturas del texto y de cualquier recibo.

Diste datos personales o una contraseña

• Si compartiste tu número de Seguro Social o la licencia de conducir, entra a IdentityTheft.gov para un plan de recuperación y considera un congelamiento de crédito gratis en Equifax, Experian y TransUnion.
• Si escribiste una contraseña, cámbiala en todos los lugares donde la uses y activa la verificación en dos pasos. La guía para proteger tu Apple ID y tu cuenta de Google lo recorre.
• Pide a tu operadora un PIN de portabilidad o un bloqueo de SIM. Quien ya tiene tu nombre, tu dirección y tu número a veces intenta después un fraude de SIM swap para robarte los códigos de los mensajes.

Otras estafas por SMS con la misma receta

Los mismos kits sacan alertas falsas de fraude bancario, chats de “número equivocado” que se vuelven una propuesta de inversión, ofertas de empleo que te pagan por “dar me gusta” a videos, y mensajes de compradores o vendedores en marketplaces. Si estás vendiendo un celular, ojo con los textos que te piden “confirmar” un pago con un enlace o que te manden un código de verificación. Está en la guía de estafas con celulares usados. Al comprar, no le pagues a un desconocido antes de revisar el equipo. Una verificación de lista negra GSMA y un informe Todo-en-uno de información básica toman segundos y no necesitan un enlace del vendedor.

En resumen

Las agencias de peaje, USPS y otros servicios legítimos no te escriben de la nada con un enlace de pago. Trata cada aviso de peaje impago o de entrega de paquete como falso hasta que revises tu cuenta en el sitio oficial. No toques, no respondas —ni siquiera STOP—, reenvíalo al 7726, repórtalo a la FTC o al FBI y activa el filtro de remitentes desconocidos de tu celular. Si ya pagaste, llama hoy a tu banco.