Siempre leemos un SMS en el orden equivocado. Primero el texto, la promesa o la amenaza que contiene, y después —a veces, demasiado tarde— la línea de arriba: la que indica quién escribe. Y resulta que es esa línea la que contiene casi toda la información útil.
Porque en Francia un mensaje puede llegar bajo al menos cinco identidades técnicas distintas: un número móvil clásico que empieza por 06 o 07, un número geográfico, un número corto de cuatro o cinco cifras, un nombre escrito en letras («AMELI», «Colissimo», «BANQUE») o un número internacional. Cada uno de estos formatos obedece a reglas diferentes, tiene un coste distinto para quien lo envía y ofrece un nivel de garantía muy desigual.
Saber distinguirlos no sustituye a la prudencia, pero cambia radicalmente las cosas: permite clasificar en tres segundos, antes incluso de haber leído el cuerpo del mensaje, lo que es plausible y lo que no lo es.
Las cinco caras de un remitente de SMS
1. El número móvil clásico (06 / 07)
Es el formato de un particular. Un número móvil francés real, asignado por la ARCEP a un operador y después a un abonado. Permite responder y permite llamar.
Una empresa o una administración no tiene normalmente ninguna razón para escribirte desde un 06 o un 07 con una notificación oficial. Cuando ocurre —«Tu paquete está bloqueado, regulariza aquí» firmado por un 07—, el remitente es o bien un particular o, mucho más a menudo, un estafador equipado con tarjetas SIM de prepago o con un equipo de envío automatizado (las famosas «SIM box»).
Quédate con este reflejo sencillo: un mensaje institucional enviado desde un número móvil personal es una anomalía, sea cual sea su contenido.
2. El número corto (4 o 5 cifras)
Los números cortos los asigna y regula en Francia la ARCEP, dentro del plan de numeración. Se reparten en grandes familias reconocibles por su prefijo:
| Formato | Uso | Ejemplo de uso real |
|---|---|---|
| 3xxxx (5 cifras) | Servicios SMS, incluidos los MAN (Multi-Access Number) | Notificaciones de seguimiento, alertas |
| 36xxx / 38xxx | SMS Multi-Access Number, entre ellos 38028 (Signal Spam / 33700) | Denuncia de spam |
| 7xxxx / 8xxxx | SMS de tarificación especial, juegos, votaciones, donaciones | Donaciones a una asociación |
| 1xx | Servicios de urgencia y sociales (112, 114, 115, 119) | 114: urgencias por SMS para personas sordas y con discapacidad auditiva |
Dos números cortos merecen memorizarse en Francia:
- 33700: el servicio de denuncia de SMS y llamadas no deseadas, gestionado por los operadores franceses. Se le reenvía el mensaje fraudulento y luego se le envía el número del remitente cuando lo solicita.
- 114: el número de emergencias accesible por SMS, destinado a personas sordas, con discapacidad auditiva o que no pueden hablar.
Un punto importante: los números cortos se alquilan a agregadores, no se compran de forma definitiva. Un mismo número de 5 cifras puede, por tanto, servir sucesivamente a varios anunciantes. Un número corto «ya visto» no es una prueba de autenticidad: solo es señal de que el remitente ha pasado por un circuito profesional declarado.
3. El remitente alfanumérico (un nombre en lugar de un número)
Es el formato más engañoso y el que hay que entender de forma prioritaria. Cuando tu teléfono muestra «AMELI», «SFR» o «LIVRAISON» en la parte superior de la conversación, no está mostrando una identidad verificada: muestra una cadena de caracteres facilitada por el propio remitente en un campo técnico del mensaje, llamado sender ID u OADC (Originating Address).
Técnicamente, ese campo es declarativo. Nada, dentro del protocolo SMS, lo certifica. Eso es lo que hace posible el spoofing de remitente: usurpar el nombre de una marca para que el mensaje aparezca en el sitio adecuado.
Y ahí es donde se juega la trampa más eficaz del smishing francés: la agrupación de conversaciones. Si un mensaje fraudulento utiliza exactamente el mismo sender ID que un mensaje legítimo recibido anteriormente, tu aplicación de mensajería puede insertarlo en el mismo hilo que los mensajes auténticos del organismo. El SMS de phishing aparece entonces justo debajo del SMS real de una cita médica o de un código de entrega. El contexto hace el resto del trabajo.
Un hilo de conversación no autentica nada. Un mensaje fraudulento puede colarse en una conversación legítima ya existente si reutiliza el mismo nombre de remitente.
Francia ha puesto en marcha, desde 2023-2024, un dispositivo de lucha: el registro MAN y la obligación, para los operadores, de filtrar los sender ID alfanuméricos no declarados en un registro. La idea es aceptar en Francia únicamente los nombres de remitente registrados por empresas identificadas. El dispositivo ha reducido el volumen de spoofing puro, pero no lo ha eliminado: las campañas eluden el filtro pasando por rutas internacionales o registrando nombres genéricos creíbles («INFO-COLIS», «SECURITE») que no son marcas protegidas.
4. El número geográfico (01 a 05, o 09)
Recibir un SMS desde un 01 o un 09 ya no es raro: los números fijos pueden técnicamente enviar SMS desde hace varios años. Algunas consultas médicas, talleres o pequeños comercios lo utilizan para sus recordatorios de cita, a través de su software de gestión.
El 09 merece una atención especial: estos números «no geográficos» se utilizan masivamente en telefonía IP, por lo que son fáciles de obtener en grandes cantidades y de desechar. Buena parte del telemarketing —y una parte del fraude— pasa por ahí.
5. El número internacional
Un +44, +212, +48 o +1 en un SMS que supuestamente viene de tu banco francés es una incoherencia importante. Las campañas de smishing utilizan a menudo rutas internacionales baratas porque escapan parcialmente a los filtros nacionales.
Cuidado, sin embargo, con un matiz: algunos servicios extranjeros perfectamente legítimos (una plataforma de reservas, una mensajería estadounidense que envía un código de verificación) escriben desde un número internacional. El criterio no es «internacional = fraude», sino «internacional cuando el organismo es puramente francés = fraude».
Lo que tu teléfono no te muestra
Ningún sistema operativo de consumo muestra el encabezado completo de un SMS. No verás el identificador del centro de mensajería (SMSC) que ha encaminado el mensaje, ni la ruta seguida, ni la marca temporal real de la red. Estos elementos existen —incluso son explotables por los operadores y, en caso de procedimiento judicial, por los investigadores— pero no llegan hasta la pantalla.
Lo que sí puedes hacer, en cambio:
- Mantener pulsado el mensaje y luego mostrar los detalles: en Android, el menú «Detalles» indica a veces el remitente en bruto, la hora de recepción en la red y el tipo (SMS, MMS, RCS).
- Verificar el canal: un mensaje RCS se muestra con confirmación de lectura y, a menudo, con un logotipo de marca verificado (RCS Business Messaging). Un mensaje que dice venir de una gran marca en SMS puro, cuando esa misma marca suele escribirte por RCS con logotipo, debe hacer saltar las alarmas.
- Fijarse en la longitud: un SMS de más de 160 caracteres va concatenado. No es en sí una señal de fraude, pero las campañas automatizadas suelen tener formulaciones calibradas y repetitivas.
La prueba de las tres preguntas
Antes de hacer clic en nada, bastan tres preguntas en la gran mayoría de los casos.
1. ¿El formato del remitente se corresponde con el organismo anunciado?
Una administración o una gran empresa francesa escribe desde un número corto, desde un remitente alfanumérico declarado o mediante RCS verificado. No desde un 07, ni desde un +33 7 «raro», ni desde un número extranjero.
2. ¿El mensaje pide una acción urgente que implica un pago o una identificación?
Las tres combinaciones ganadoras del fraude en Francia siguen siendo: un pequeño importe que abonar (gastos de aduana, reenvío de un paquete, multa), una «actualización» de datos bancarios y una «verificación de cuenta» con un código recibido por otra vía. La urgencia es el ingrediente activo.
3. ¿El enlace apunta a un dominio oficial?
Los organismos públicos franceses utilizan dominios en .gouv.fr o dominios de marca conocidos. Un enlace acortado, un dominio compuesto (ameli-remboursement-fr.com), un subdominio engañoso (ameli.fr.securite-connexion.net): todo eso es descalificante. Conviene señalar que leer una URL larga en una pantalla de 6 pulgadas es un ejercicio ingrato; a muchos lectores les compensa usar un soporte de teléfono ajustable para examinar un mensaje dudoso a la altura de los ojos en lugar de con el brazo estirado, o simplemente consultar el mensaje desde una pantalla más grande.
Verificar sin hacer clic: el método del canal paralelo
La regla más eficaz contra el smishing cabe en una frase: nunca se verifica un mensaje a través del propio mensaje.
En concreto:
- ¿Un SMS de tu banco? Se abre la aplicación bancaria, o se llama al número que figura en el reverso de la tarjeta.
- ¿Un SMS de la Seguridad Social (Assurance Maladie)? Se accede a la cuenta Ameli escribiendo uno mismo la dirección, o se usa la aplicación oficial.
- ¿Un SMS de una empresa de transporte? Se recupera el número de seguimiento en la web del transportista, sin pasar por el enlace.
- ¿Un SMS de Hacienda? Se entra por impots.gouv.fr y su área personal.
Esta disciplina cuesta diez segundos más. Y neutraliza prácticamente todo, incluidas las campañas muy cuidadas.
Para los hogares que quieren formalizar estos reflejos —sobre todo con adolescentes o con familiares menos habituados—, unas cuantas páginas de una guía de ciberseguridad para principiantes dejadas junto al ordenador familiar suelen surtir más efecto que un largo discurso: ver los mecanismos escritos negro sobre blanco los hace concretos.
Denunciar: lo que realmente cambia
Muchos lectores suponen que una denuncia se pierde en el vacío. En realidad, en Francia funcionan dos circuitos:
- 33700 (SMS, llamadas y mensajes no deseados), un dispositivo impulsado por los operadores. Se reenvía el mensaje al 33700 y después se responde con el número del remitente. Los números denunciados de forma masiva se bloquean y los emisores identificados pueden ser sancionados.
- cybermalveillance.gouv.fr y la plataforma THESEE para presentar una denuncia en línea por estafa en internet. Signal Spam completa el dispositivo en el terreno del correo electrónico.
La ARCEP y la DGCCRF hacen además seguimiento de los incumplimientos de las normas de prospección comercial. Y en materia de datos personales, la CNIL recuerda periódicamente que la prospección por SMS exige un consentimiento previo explícito: un mensaje comercial no solicitado al que nunca has dado tu consentimiento ya es, en sí mismo, una irregularidad, aunque no sea fraudulento.
Reducir la superficie de exposición
Identificar a un remitente es una competencia defensiva. También se puede jugar antes, limitando el número de mensajes dudosos que llegan.
Filtrar desde el teléfono. iOS ofrece el filtrado de remitentes desconocidos (Ajustes → Apps → Mensajes → «Filtrar remitentes desconocidos»), que coloca los mensajes de números ausentes de tus contactos en una pestaña separada. Google Messages, en Android, dispone de una protección antispam que se ha reforzado notablemente en 2025-2026, con detección de patrones de estafa y ocultación de enlaces en los mensajes sospechosos.
Compartimentar los números. Usar un número secundario —segunda línea de una tarifa, eSIM dedicada, número de un servicio en línea— para las suscripciones comerciales, los anuncios y las entregas. El número principal queda reservado a los allegados, al banco y a la administración. Una tarjeta SIM de prepago sin compromiso basta de sobra para ese papel y cuesta unos pocos euros.
Proteger lo que protege tus cuentas. El SMS sigue siendo el eslabón débil de la autenticación en dos pasos, porque depende de un número que puede ser secuestrado. Migrar las cuentas sensibles a una aplicación de autenticación, o a una llave de seguridad física FIDO2, le quita al SMS su papel de llave maestra. Es el gesto que hace que un smishing exitoso resulte mucho menos costoso.
Cuidar el material de lectura. Un detalle prosaico pero real: buena parte de los clics accidentales viene de una pantalla rayada, de un dedo mojado o de una lectura en el metro. Un protector de pantalla de cristal templado y algo de luz bastan para reducir los gestos en falso.
El caso particular de los SMS políticos e institucionales
La primavera de 2026 recordó, con motivo de las elecciones municipales, que un SMS perfectamente legal puede resultar perfectamente molesto. Los mensajes de campaña enviados desde remitentes alfanuméricos suscitaron numerosas reacciones, y muchos destinatarios se preguntaron cómo habían obtenido su número.
Aquí hay que distinguir dos cosas:
- Un SMS fraudulento busca obtener dinero o credenciales. Se denuncia al 33700 y se borra.
- Un SMS no solicitado pero lícito o semilícito entra en el ámbito del derecho de la prospección comercial. Ahí, la palanca es el RGPD: pedir al remitente el origen de los datos, ejercer el derecho de oposición y acudir a la CNIL en caso de negativa. La palabra clave «STOP» sigue siendo obligatoria en los SMS comerciales, pero no tiene ningún valor ni ningún interés frente a una campaña fraudulenta, donde responder solo confirma que el número está activo.
Tres segundos, cinco formatos
Con la práctica, leer al remitente se vuelve automático. Un número corto conocido: plausible. Un nombre de marca en un hilo ya existente: plausible, pero el enlace sigue estando por verificar. Un 07 firmado por una administración: a la papelera. Un +48 firmado por un banco francés: a la papelera. Un 09 con un enlace acortado: a la papelera.
El SMS nunca se diseñó para demostrar quién habla. Se diseñó, en 1992, para transportar 160 caracteres por un canal de señalización residual. Treinta y cuatro años más tarde, transporta citas médicas, códigos bancarios y citaciones administrativas, sin haber ganado nunca un mecanismo de autenticación digno de ese nombre. Le toca al destinatario cubrir esa brecha, y eso empieza por leer la primera línea antes que las demás.
