Muchas víctimas de fraude digital utilizan de forma indistinta palabras como phishing, smishing o vishing. Desde un punto de vista cotidiano puede parecer irrelevante. Desde un punto de vista jurídico y probatorio, no lo es. No todos los fraudes de ingeniería social se producen igual. Y, precisamente por eso, no todos deben reclamarse ni probarse del mismo modo.
Cuando hablamos de phishing, normalmente nos referimos al engaño que se articula mediante correos electrónicos, páginas web falsas o entornos digitales que imitan a una entidad real para obtener credenciales, claves o datos bancarios. En el smishing, el canal habitual es el SMS: un mensaje aparentemente legítimo que induce a la víctima a pulsar un enlace, llamar a un número o realizar una acción urgente. En el vishing, el elemento central es la llamada telefónica, la conversación en tiempo real, la manipulación verbal y, en muchos casos, la simulación de identidad por parte de quien llama.
La diferencia no es puramente terminológica. Determina el tipo de prueba que debe preservarse y la forma en que debe reconstruirse el engaño. En un caso de phishing, la prueba relevante suele concentrarse en el correo recibido, el enlace, el dominio utilizado, el diseño de la página falsa, la secuencia de acceso y la posterior utilización de las credenciales obtenidas. En un supuesto de smishing, adquieren especial importancia el SMS, el número emisor, la redacción del mensaje, la hora de recepción y el itinerario que siguió la víctima tras pulsar el enlace. En el vishing, la atención se desplaza hacia la llamada, la manipulación psicológica, el contexto de urgencia, las instrucciones verbales recibidas y, con frecuencia, la eventual instalación de software remoto o la intervención guiada de la víctima sobre su propia banca online.
Ese último punto es especialmente sensible. En muchos fraudes por llamada, la víctima no solo escucha y cree. Actúa. Sigue instrucciones, facilita códigos, instala aplicaciones o ejecuta movimientos mientras está sometida a una presión artificial creada por quien la engaña. Y esa dinámica no puede analizarse igual que un simple acceso autónomo y consciente a una plataforma bancaria.
Por eso, clasificar bien la modalidad de fraude no es un formalismo. Es una necesidad estratégica. Si no se identifica correctamente qué ocurrió, resulta mucho más difícil pedir la prueba adecuada, valorar el papel de la entidad financiera y construir una narración jurídica convincente.
También es habitual que en un mismo caso concurran varias modalidades encadenadas. Un SMS puede abrir la puerta a una llamada posterior. Una llamada puede conducir a un acceso web falso. Un correo puede activar una conversación telefónica. Cuando eso ocurre, el asunto debe analizarse como una secuencia integrada y no como hechos aislados.
La víctima no tiene por qué dominar estas categorías técnicas en el momento del fraude. Lo que sí debe hacer es conservar absolutamente todo: mensajes, correos, capturas, números, enlaces, horarios, instrucciones, pantallas y cualquier rastro que permita reconstruir la manipulación. Sin esa base, la reclamación pierde precisión.
Phishing, smishing y vishing no son expresiones de moda. Son tres formas distintas de entrada al mismo problema: la obtención fraudulenta de control, información o dinero. Y cuanto antes se determine cuál fue la operativa concreta, antes podrá plantearse una respuesta jurídica eficaz. A la hora de reclamar, el caso no mejora por llamarlo de una manera u otra. Mejora cuando se entiende exactamente cómo se produjo el engaño y se acredita de forma ordenada cada paso de la secuencia.