AUTHMSG es un identificador de remitente alfanumérico de Twilio, el nombre con el que muchas apps y bancos te envían códigos de verificación por SMS. Si pediste tú el código, es normal. Si no lo pediste, suele significar que alguien ha usado tu número al intentar entrar en una cuenta: no compartas ese código ni pulses enlaces.

Te explico, paso a paso, qué es AUTHMSG, por qué te llega, cuándo es de fiar y cuándo conviene desconfiar. La idea es sencilla: que sepas distinguir el mensaje real del intento de estafa y te ahorre el disgusto de perder una cuenta.

¿Qué es AUTHMSG y por qué lo recibo?

AUTHMSG es un identificador de remitente alfanumérico que forma parte de las API Verify y Authy de Twilio, una empresa de comunicaciones con sede en San Francisco. En lugar de mostrarte un número de teléfono, el SMS aparece firmado como «AUTHMSG», de forma que reconozcas que se trata de un mensaje de autenticación. Está disponible para envíos en 79 países.

Lo recibes porque alguna plataforma que usa Twilio necesita verificar que ese número es tuyo. Suele pasar al crear una cuenta, iniciar sesión en un dispositivo nuevo, recuperar el acceso o aprobar un cambio sensible. El mensaje contiene un código de un solo uso (OTP) que tú introduces en la app para completar el proceso. Es el mismo mecanismo de la verificación en dos pasos.

En resumen: si acabas de pedir un código en WhatsApp, tu banco, Google o una app de citas, ver «AUTHMSG» como remitente es completamente normal. El servicio es real y lo usan miles de empresas legítimas.

¿Es legítimo o es una estafa?

El servicio AUTHMSG es legítimo. El problema es que los identificadores de remitente alfanuméricos se pueden falsificar: a esa técnica se la conoce como SMS spoofing o smishing. Los atacantes envían un SMS suplantando un remitente de confianza para que el mensaje parezca auténtico, e incluso puede agruparse en el mismo hilo que los mensajes reales.

Por eso la clave no es el remitente, sino el contexto. Vale la pena que te quedes con esta regla:

• Pediste tú el código y lo introduces en la app oficial: es legítimo, sigue adelante.
• No pediste nada, o el SMS trae un enlace, un número al que llamar o te urge a «confirmar tus datos»: desconfía, son señales de intento de acceso o phishing.

Un código de verificación por sí solo, sin enlaces ni peticiones, no infecta tu móvil. El daño llega cuando compartes ese código o pulsas un enlace fraudulento. Twilio no tiene relación con esos intentos de estafa: solo le suplantan el nombre.

Señales de phishing

Según el INCIBE, el smishing usa ingeniería social para que parezca un mensaje de tu banco, una empresa de mensajería o un servicio que usas. Estas son las señales que delatan un SMS fraudulento, lo firme AUTHMSG o quien sea:

• No solicitaste ningún código. Si no estabas iniciando sesión ni creando una cuenta, no deberías recibir un OTP.
• El mensaje incluye un enlace. Especialmente si es acortado o con una URL rara (por ejemplo «gmail.xyz» en lugar de «gmail.com»). Las plataformas serias no te mandan a iniciar sesión desde un enlace por SMS.
• No usas ese servicio. Un código para verificar una app que no tienes instalada es casi siempre cebo de una campaña masiva de spam.
• Texto genérico o alarmista. No se dirige a ti por tu nombre, mete prisa («perderás tu cuenta») o tiene faltas de ortografía.
• Te piden tus datos o el propio código. Ninguna entidad legítima te pedirá tu contraseña ni tu OTP por SMS, llamada o WhatsApp.

Si dudas, te dejo una guía con todos los detalles sobre qué hacer si recibes y abres un SMS sospechoso.

Qué hacer si no pediste el código

Recibir un OTP que no solicitaste significa, casi siempre, que alguien ha introducido tu número al intentar entrar o registrar una cuenta. Puede ser un error de otra persona, pero también un intento de acceso. Te explico cómo actuar, paso a paso:

• No compartas el código con nadie ni lo introduzcas en ningún sitio. Es la llave de tu cuenta: quien lo tenga, entra.
• No pulses enlaces ni respondas al SMS. Bórralo si viene con cualquier petición.
• Si los códigos se repiten, alguien está insistiendo en acceder. Cambia la contraseña de la cuenta afectada cuanto antes y revisa los inicios de sesión activos.
• Si recibes una llamada pidiéndote ese código «de parte de soporte», cuelga. Es la estafa más habitual.
• Notifica al servicio suplantado a través de sus canales oficiales para que puedan investigarlo.

Si sospechas que han llegado más lejos, revisa si tienes el móvil pinchado o intervenido para descartar accesos no autorizados.

Cómo proteger tu cuenta

La mejor defensa es no depender solo del SMS. El OTP por mensaje es vulnerable a ataques como el SIM swapping, así que conviene reforzarlo:

• Activa la verificación en dos pasos en todas tus cuentas importantes. Aquí tienes cómo hacerlo en la verificación en dos pasos de WhatsApp.
• Usa una app de autenticación en lugar del SMS siempre que puedas. Te explico cómo en esta guía de cómo funciona Google Authenticator.
• Contraseñas únicas y largas para cada servicio, mejor con un gestor de contraseñas.
• Blinda tus apps de mensajería. Te dejo los pasos para proteger tu cuenta de WhatsApp y evitar que te la hackeen.
• Nunca dictes un código por teléfono, chat o correo. Ese gesto es lo único que separa tu cuenta del atacante.

Con la verificación en dos pasos activa y un par de costumbres prudentes, un SMS fraudulento de AUTHMSG se queda en un intento fallido. Esa es la diferencia entre asustarse y seguir con tu día.

Preguntas frecuentes

¿AUTHMSG es un virus o algo peligroso?
No. AUTHMSG es solo el nombre del remitente que usa Twilio para enviar códigos de verificación. El SMS en sí no es un virus; el riesgo está en compartir el código o pulsar un enlace fraudulento que suplante ese remitente.

¿Por qué me llega un código de AUTHMSG si no lo pedí?
Suele significar que alguien introdujo tu número al intentar registrarse o iniciar sesión en un servicio. Puede ser un error ajeno o un intento de acceso. No compartas el código y, si se repite, cambia tu contraseña.

¿Es seguro responder al SMS de AUTHMSG?
No respondas ni pulses enlaces. Si tú pediste el código, basta con introducirlo en la app oficial; nunca hace falta contestar al mensaje ni dárselo a nadie.

¿Puede AUTHMSG hackear mi WhatsApp o mi banco?
AUTHMSG no, porque es solo un canal de envío. El peligro real es que un atacante te convenza de dictarle el código: con él podría secuestrar tu cuenta. Por eso no debes compartirlo jamás.

¿Qué hago si ya le di el código a un estafador?
Recupera el acceso por los canales oficiales del servicio, cambia la contraseña, activa la verificación en dos pasos y avisa a tus contactos por si reciben mensajes fraudulentos desde tu cuenta.