Hay una frase que se escucha a menudo por teléfono, un domingo por la tarde, con cierta incomodidad en la voz: «He recibido un mensaje raro del banco, creo que he hecho clic». Después, un silencio. Y luego, casi siempre, una disculpa: «Qué tonta soy, no debería haberlo hecho».
Esa vergüenza es el verdadero problema. Retrasa el aviso varias horas, a veces varios días, cuando la ventana útil para bloquear un cargo o una tarjeta se mide en minutos. Y se apoya en un malentendido: las personas mayores no caen en la trampa porque sean «un desastre con la informática». Caen porque los mensajes fraudulentos de 2026 están diseñados para funcionar con todo el mundo, y porque ellas disponen de algunas referencias menos para contrastar la información: no de menos inteligencia.
Acompañar a un familiar en este terreno es un ejercicio de equilibrista: hay que proteger sin desposeer. Veamos cómo hacerlo en la práctica, en los ajustes, en el vocabulario y en el procedimiento cuando el daño ya está hecho.
Por qué el SMS sigue siendo el ángulo de ataque preferido
Solemos imaginar la estafa moderna como un asunto de webs falsas sofisticadas. En la práctica, la puerta de entrada sigue siendo el mensaje, y por una razón estructural: el SMS no tiene lista de amigos. No hay solicitud de contacto, ni moderación, ni algoritmo de filtrado. Cualquier número del mundo puede enviar un mensaje a cualquier otro número.
Añade tres características propias del canal:
- El mensaje llega dentro de un hilo legítimo. Tanto en iOS como en Android, un SMS enviado con un nombre de remitente suplantado puede integrarse en la conversación existente de tu banco o de tu operadora. El mensaje fraudulento aparece entonces justo debajo de mensajes auténticos. Ninguna vigilancia visual resiste a eso.
- La pantalla es pequeña. Una URL truncada en una pantalla de seis pulgadas, con una tipografía mediana y presbicia, no se lee. El subdominio engañoso pasa desapercibido.
- El canal todavía inspira confianza. Toda una generación aprendió que el SMS era el canal «serio»: el del médico, el laboratorio, el banco, la farmacia. Esa reputación, merecida durante veinte años, se explota hoy en contra.
La plataforma Cybermalveillance.gouv.fr sitúa desde hace varios años el phishing —incluido el smishing, su variante por SMS— a la cabeza de las solicitudes de asistencia de los particulares. No es un fenómeno de nicho: es el negocio principal de la ciberdelincuencia de masas.
Lo que ha cambiado en los últimos dos o tres años
El tópico del SMS plagado de faltas pertenece al pasado. Las herramientas de generación de texto han eliminado el principal indicador de alerta: la torpeza lingüística. Los mensajes son ahora gramaticalmente impecables, correctamente acentuados y con un registro administrativo creíble.
Tres evoluciones afectan especialmente a las personas mayores:
- La personalización. Las filtraciones repetidas de bases de datos permiten citar un nombre, una ciudad, a veces una mutua o una operadora. Un mensaje que empieza por «Buenos días, señora Duval» desarma al instante la desconfianza.
- El rebote telefónico. El SMS ya no es más que un disparador: invita a llamar a un número, donde un interlocutor humano —el «falso asesor bancario»— toma el relevo. Es el escenario más costoso, con perjuicios que se cifran en decenas de miles de euros.
- La palanca afectiva. La estafa llamada «del hijo falso» («Mamá, se me ha roto el móvil, este es mi nuevo número») apunta explícitamente a padres y abuelos. No exige nada informático: solo una transferencia, a alguien a quien se cree querer.
Una regla útil que conviene transmitir: una urgencia que prohíbe colgar y volver a llamar uno mismo es, por definición, una estafa. Ninguna institución ha exigido jamás que te quedes en línea.
Los cinco escenarios que hay que conocer de memoria
En lugar de aprenderse una lista infinita de variantes, más vale memorizar las cinco familias. Cubren la inmensa mayoría de los casos.
| Escenario | El pretexto | La señal que no engaña |
|---|---|---|
| Paquete falso | «Gastos de aduana de 1,80 € pendientes de pago» | Un importe irrisorio para capturar una tarjeta bancaria |
| Banco falso | «Intento de pago sospechoso, confírmalo» | Petición de un código recibido por SMS, o llamada a un número |
| Organismo público falso | Multa, Hacienda, Seguridad Social, prestaciones | Enlace directo en lugar del sitio oficial conocido |
| Allegado falso | «Soy yo, he cambiado de número» | Paso rápido a una app de mensajería y luego petición de dinero |
| Falso servicio técnico | «Su cuenta se cerrará en 24 h» | Cuenta atrás artificial |
El punto común de estos cinco escenarios no es técnico, es emocional: miedo, urgencia, curiosidad o afecto. Eso es lo que hay que aprender a detectar, no los detalles de la ortografía de una URL.
El único reflejo que sustituye a todos los demás
Si solo transmites una cosa a un familiar, que sea esta: nunca se hace clic en un mensaje; uno mismo abre el canal que ya conoce.
¿Le preocupa lo del banco? Que llame al número impreso en el reverso de su tarjeta. ¿Le contacta la Seguridad Social? Que entre en su cuenta oficial como de costumbre. ¿Dicen que hay un paquete bloqueado? Que entre en la web del transportista que él mismo eligió. Este reflejo por sí solo neutraliza prácticamente todo, sin exigir la menor competencia técnica.
Para fijarlo, nada como el soporte físico. Un cuaderno de contraseñas en papel junto al teléfono fijo, donde se anoten los números reales —banco, mutua, médico, operadora— y dos o tres reglas escritas en letra grande, suele valer más que una hora de explicaciones. El objeto es anticuado, pero se consulta en tres segundos, en plena crisis de nervios, y sin batería.
Configurar el teléfono: una hora bien invertida
El acompañamiento no se juega únicamente en la conversación. Media hora de ajustes reduce mecánicamente el volumen de mensajes dudosos que llegan a la pantalla.
Filtrar los remitentes desconocidos
En iPhone, en Ajustes → Aplicaciones → Mensajes, la opción «Filtrar remitentes desconocidos» coloca automáticamente en una pestaña aparte los mensajes procedentes de números que no están en los contactos. Ya no aparecen como notificación. El hilo principal solo contiene a la familia, los amigos y los servicios registrados.
En Android, Google Messages ofrece una protección antispam y una detección de mensajes potencialmente peligrosos, activables en Ajustes → Protección contra el spam. Las versiones recientes también señalan los enlaces considerados sospechosos antes de abrirlos.
Este filtrado tiene un coste: un mensaje legítimo de un número nuevo (un técnico, un laboratorio) puede acabar en la pestaña secundaria. Por eso hay que explicar que esa pestaña existe y dónde encontrarla.
Blindar la capa financiera
Es el gesto más rentable, y no tiene que ver con el teléfono sino con el banco. Muchas entidades permiten, desde la aplicación o en oficina:
- fijar un límite diario de transferencias bajo (unos cientos de euros);
- imponer un plazo de 24 a 48 h antes de que un nuevo beneficiario pueda utilizarse;
- desactivar el pago en el extranjero o por internet cuando no se utiliza.
Un límite bajo no protege de la estafa, pero convierte una catástrofe en un incidente. Es exactamente lo que se espera de una medida de seguridad.
Documentar a los interlocutores reales
Guarda en la agenda, con nombres inequívocos («BANCO — número real», «MUTUA — número real»), los contactos oficiales. Cuando una llamada entrante aparece sin nombre pese a afirmar que viene del banco, la incoherencia salta a la vista.
Para quienes tienen dificultades para moverse por los menús, un teléfono móvil de teclas grandes conservado como segundo aparato, con los cinco números esenciales en memoria directa, sigue siendo una solución de repliegue muy eficaz, sobre todo para llamar al banco sin pasar por el smartphone potencialmente comprometido.
Mejorar las condiciones de lectura
Una parte nada desdeñable de los clics desafortunados viene sencillamente de que no se lee aquello en lo que se hace clic. Aumentar el tamaño del texto en los ajustes de accesibilidad, activar el contraste alto y tener unas gafas de lectura al alcance del sillón cambia realmente las cosas. No es un consejo de comodidad: es una medida de seguridad.
Hablar del tema sin humillar
Es la parte más delicada, y la que más se falla. Algunos principios extraídos de la experiencia.
No empezar nunca por «ten cuidado»
«Ten cuidado con las estafas» no transmite ninguna información aprovechable e instala una postura de tutela. Es preferible el relato concreto: contar un mensaje que tú has recibido, explicar cómo lo verificaste, admitir que dudaste. El objetivo es demostrar que dudar es normal, incluso para alguien más joven.
Crear un derecho al error explícito
Formúlalo en voz alta, una vez, con claridad: «Si algún día haces clic en algo, me llamas enseguida, aunque sean las 23 h, aunque te parezca una tontería. No me voy a reír». Esa frase vale más que todos los filtros antispam del mundo, porque acorta el tiempo de reacción.
Establecer una contraseña familiar
Contra la estafa del allegado falso, la defensa es antigua y eficaz: acordar una palabra o una pregunta que solo conozcan los miembros de la familia. No una fecha de cumpleaños (circula), ni el nombre de una mascota (está en Facebook). Un detalle sin rastro digital. Si el supuesto nieto en apuros no puede decirlo, la conversación termina ahí.
Recurrir al papel y a un tercero
Hay personas que aceptan mal los consejos de sus hijos y muy bien los de un libro o un taller. Los servicios públicos de proximidad, los centros de servicios sociales y numerosas bibliotecas organizan talleres gratuitos de mediación digital. Una guía práctica de seguridad digital dejada sobre la mesa baja, para hojear a su ritmo, sin nadie mirando por encima del hombro, suele producir más efecto que una demostración.
El clic ya se ha producido: el procedimiento, por orden
Un enlace pulsado todavía no es un perjuicio. Lo que cuenta es lo que se ha introducido después del clic. Estos son los pasos, de lo más urgente a lo menos urgente.
- No introducir nada más ni llamar a ningún número que aparezca en el mensaje. Cerrar la página.
- Si se han introducido datos bancarios: llamar de inmediato al banco al número que figura en el reverso de la tarjeta, bloquearla y pedir la retención de las operaciones en curso. En Francia, el servicio interbancario de bloqueo funciona 24 h al día en el 0 892 705 705.
- Si se ha comunicado un código recibido por SMS: es el caso más grave, porque ese código suele validar una operación en curso. Llamada al banco con prioridad absoluta.
- Cambiar las contraseñas de las cuentas afectadas, empezando por el correo electrónico, que sirve de llave de recuperación para todo lo demás.
- Denunciar el mensaje reenviándolo al 33700, el servicio nacional francés de notificación de SMS no deseados operado por las operadoras. La notificación es gratuita y permite bloquear los números emisores.
- Presentar denuncia en caso de perjuicio económico y comunicar los hechos en la plataforma Cybermalveillance.gouv.fr, que orienta sobre los trámites y los proveedores. Para el phishing, el sitio Phishing Initiative también permite notificar las URL fraudulentas.
Una palabra sobre el reembolso: la normativa europea sobre servicios de pago obliga al proveedor a reembolsar una operación no autorizada, salvo negligencia grave del usuario. La frontera es discutida, y varias resoluciones del Tribunal de Casación francés han recordado que un cliente engañado por un dispositivo de suplantación especialmente creíble no es necesariamente culpable. La negativa inicial del banco no es, por tanto, la última palabra: quedan el defensor del cliente bancario y, después, el juez.
Qué hay que conservar como prueba
Antes de borrar nada, hacer capturas de pantalla del mensaje, del número emisor, de la hora de recepción y de cualquier página consultada. Estos elementos sirven tanto para la denuncia como para el expediente de reclamación. En un ordenador familiar, un pequeño disco duro externo donde guardar esas capturas en una carpeta fechada evita que desaparezcan en el próximo cambio de teléfono.
Proteger sin vigilar: dónde poner la línea
La tentación es real: instalar una aplicación de control, tener acceso al hilo de mensajes, «por si acaso». Es mala idea, por tres razones.
Primero, la ley. Acceder a los mensajes de un adulto sin su consentimiento expone a acciones legales por vulneración del secreto de las comunicaciones, castigada en Francia por el artículo 226-15 del código penal. Ser un hijo cuidador no crea ninguna excepción, salvo que exista una medida de protección jurídica dictada por un juez.
Después, la eficacia. Una vigilancia pasiva no previene nada: constata. Y desresponsabiliza a la persona, que se apoya en una red cuya malla desconoce.
Por último, la relación. El día en que tu familiar descubra el dispositivo, la confianza necesaria para avisar rápido —el famoso «te llamo aunque sean las 23 h»— desaparece.
La postura correcta cabe en una fórmula: se dota de herramientas a la persona, no se la sustituye. Ajustes hechos juntos, límites bancarios decididos juntos, números verificados juntos y una puerta abierta permanente en caso de duda. El control, en cambio, se queda con ella.
Para recordar
- Los SMS fraudulentos no apuntan a la ingenuidad sino a la emoción: miedo, urgencia, afecto. Funcionan con todo el mundo.
- Un solo reflejo basta en el 90 % de los casos: no hacer nunca clic en el mensaje y abrir siempre uno mismo el canal oficial conocido.
- El filtrado de remitentes desconocidos (iOS y Google Messages) y unos límites bancarios bajos hacen lo esencial del trabajo preventivo.
- Una contraseña familiar neutraliza la estafa del allegado falso.
- En caso de clic: primero el banco, después las contraseñas, notificación al 33700 y en Cybermalveillance.gouv.fr, y denuncia si hay perjuicio.
- Proteger no es vigilar: leer los mensajes de un adulto sin su consentimiento es ilegal y contraproducente.
El mejor indicador de éxito no es la ausencia de incidentes: eso no depende de ti. Es el tiempo que transcurre entre el clic y la llamada. Si baja de los diez minutos, has ganado.
