SMS de cita médica: qué comprobar antes de abrir el enlace

INFORMACIÓN · GENERADO SUSTANCIALMENTE CON IA · TEXTO/AUDIO

Que esperes una consulta, que el SMS mencione un centro conocido o que aparezca dentro de una conversación anterior no basta para autenticarlo. Los mensajes fraudulentos pueden imitar a una entidad y tratar de llevarte a una web falsa para obtener datos o instalar software. INCIBE llama smishing a esta suplantación mediante SMS.

Tampoco funciona la regla contraria: un enlace no convierte automáticamente el aviso en fraude. Algunos centros públicos sí utilizan SMS interactivos. El Hospital Universitario Fundación Alcorcón, por ejemplo, implantó en junio de 2026 mensajes con un vínculo para confirmar, anular o modificar citas.

La apariencia ofrece indicios, no una sentencia. La comprobación decisiva ocurre fuera del mensaje.

Empieza por comparar el aviso con lo que ya sabes: si habías pedido una cita, el centro, la fecha y la hora. Una contradicción es motivo para detenerse, pero que todo encaje tampoco garantiza la autenticidad.

Mira después el texto sin responder ni pulsar. INCIBE identifica como señales habituales la urgencia, los enlaces acortados, las peticiones de datos personales, credenciales o información bancaria y las invitaciones a descargar una supuesta aplicación oficial. También recomienda examinar si una dirección imita otra mediante caracteres parecidos.

Los errores ortográficos pueden levantar sospechas, pero un mensaje bien escrito no queda validado por eso. INCIBE advierte expresamente de que la ausencia de errores no demuestra que sea legítimo.

No uses el nombre visible del remitente como prueba definitiva. En caso de duda, conserva el mensaje para poder contrastar sus datos, pero no llames al número ni uses el enlace que aparecen en él.

Abre tú mismo un canal que ya sepas que pertenece al servicio de salud:

Entra en su aplicación oficial instalada previamente o escribe la dirección de su portal, obtenida desde una fuente institucional.

Consulta allí las citas pendientes, si el servicio ofrece esa función.

Llama al teléfono que figura en tu tarjeta sanitaria, en la web oficial o en documentación anterior fiable.

También puedes preguntar presencialmente en el centro.

La idea es sencilla: no confirmar el SMS a través del propio SMS. INCIBE aconseja contrastar el mensaje con la entidad mediante sus canales oficiales; la AEPD recomienda no gestionar datos personales desde enlaces recibidos y teclear directamente la dirección oficial.

No des la cita por inexistente solo porque no te fíes del mensaje. Si no aparece en la app o el portal, el centro puede aclarar si procede de atención primaria, un hospital, una prueba o un proveedor con otro sistema. Si la fecha está próxima, verifica por un canal oficial independiente en vez de dejar pasar el aviso.

Detente si la página solicita una contraseña, un código de acceso, datos de tarjeta, un pago inesperado o información sanitaria. Son peticiones de especial riesgo, no una prueba aislada de fraude: algunos portales legítimos necesitan identificar al paciente. La diferencia práctica es cómo llegas a ellos.

No introduzcas esos datos desde el vínculo recibido. Accede desde la app o la web oficial, o confirma con el centro qué información requiere y para qué. La AEPD encuadra los datos de salud en el régimen del artículo 9 del Reglamento General de Protección de Datos.

Si ya entregaste una contraseña, INCIBE recomienda cambiarla de inmediato y cambiarla también en otros servicios donde estuviera repetida. Si compartiste datos bancarios, aconseja contactar con la entidad bancaria. Su servicio público 017 atiende dudas de ciberseguridad; INCIBE también indica conservar evidencias y denunciar cuando el engaño se haya consumado.

No reenvíes capturas que muestren tu nombre, identificadores, especialidad o detalles de la cita. Si necesitas pedir ayuda, oculta primero esa información.

No existe un único formato válido para toda España. Castilla y León permite recibir recordatorios por SMS o correo y consultar o cambiar citas por teléfono, la app Sacyl Conecta, su portal o presencialmente. Sus plazos declarados también varían: siete días antes para citas hospitalarias y, en determinados casos, 48 horas para atención primaria.

En cambio, el Hospital Fundación Alcorcón usa mensajes con enlace para gestionar la cita. Estos ejemplos muestran por qué no conviene adoptar reglas universales sobre el remitente, la presencia de un vínculo o el momento de envío.

Busca las instrucciones específicas de tu comunidad, hospital o proveedor en su web oficial. Este método no ofrece certeza absoluta frente a una suplantación, pero evita que el propio mensaje sea a la vez la alerta y la única prueba de que es real.