Hemos aprendido, colectivamente, a desconfiar del paquete bloqueado en aduanas. El mensaje se ha convertido en un chiste recurrente: «Su paquete no ha podido ser entregado, abone 1,99 € de gastos». Incluso las personas menos habituadas a lo digital lo reconocen ya al primer vistazo.
Los estafadores lo saben. Y se han mudado.
Desde 2024, y de manera mucho más marcada en 2025 y 2026, toda una familia de estafas por SMS se ha desplazado hacia un terreno bastante más eficaz: la salud. Falso recordatorio de cita con un especialista, supuesta actualización de la tarjeta sanitaria (carte Vitale), resultados de analíticas «disponibles», notificación de Mon espace santé, aviso de una mutua. El registro ha cambiado, y el mecanismo también.
Porque estos mensajes ya no juegan con la codicia ni con el miedo a una multa. Juegan con algo mucho más profundo: el reflejo de obediencia hacia el sistema sanitario. Cuando uno recibe un mensaje que parece venir de un laboratorio de análisis, no se pregunta «¿será una estafa?». Se pregunta «¿qué se me ha olvidado?».
Por qué la salud se ha convertido en el terreno de juego ideal
Se han combinado tres factores.
El primero es la banalización de los SMS médicos legítimos. Desde la generalización de la cita previa en línea, todo el mundo recibe de verdad SMS de recordatorio: la clínica dental, el centro de radiología, el laboratorio de análisis clínicos, el fisioterapeuta. Son mensajes breves, secos, enviados a menudo desde un número corto o un remitente alfanumérico desconocido, y con frecuencia contienen un enlace. Dicho de otro modo: el mensaje fraudulento no necesita parecer nada excepcional. Le basta con parecerse a la norma.
El segundo es el despliegue de Mon espace santé. Abierto automáticamente para la inmensa mayoría de los asegurados, este historial de salud digital sigue siendo poco conocido en su funcionamiento concreto. Mucha gente sabe que tiene una cuenta sin saber exactamente qué contiene, quién puede depositar un documento en ella ni qué aspecto tiene una notificación oficial. Esa ambigüedad es justamente el espacio en el que prospera el phishing.
El tercero es el valor de los datos recopilados. Una estafa sanitaria no busca solo un número de tarjeta bancaria. Busca un número de la Seguridad Social, una fecha de nacimiento, a veces una copia del justificante de derechos. Esos elementos alimentan después fraudes mucho más rentables: apertura de cuentas, suplantación de identidad, solicitudes de crédito o reventa en mercados criminales.
Una tarjeta bancaria comprometida se bloquea en diez minutos y se sustituye en una semana. Un número de la Seguridad Social, en cambio, te acompaña toda la vida.
Los cinco escenarios más frecuentes en 2026
1. La «actualización» de la tarjeta sanitaria
Es el escenario estrella. El mensaje anuncia que tu carte Vitale está a punto de caducar, que debe renovarse, o que tus derechos van a suspenderse por falta de actualización. Un enlace remite a una página que imita la interfaz de Ameli, reclama los datos personales, el número de la Seguridad Social, una cuenta bancaria «para los reembolsos» y luego una tarjeta bancaria «para los gastos de envío de 1 €».
La idea a retener es sencilla y definitiva: la carte Vitale no caduca y su renovación nunca es de pago. La Assurance Maladie lo recuerda explícitamente en su web. La actualización de la tarjeta se hace en un terminal de la farmacia o en un punto de atención, nunca a través de un enlace recibido por SMS.
2. Los falsos resultados de analíticas
«Sus resultados están disponibles, consúltelos aquí.» El mensaje llega a veces unos días después de una analítica real: pura coincidencia, o efecto de masa: cuando se envían cientos de miles de SMS, una parte cae forzosamente en personas que sí esperan resultados.
Los laboratorios reales suelen enviar un identificador y remiten a un portal que exige un código facilitado en tu informe en papel. Nunca piden un número de tarjeta bancaria ni «gastos de gestión».
3. La falsa notificación de Mon espace santé
Más sofisticada, imita el tono institucional: «Se ha añadido un nuevo documento a su historial médico.» El objetivo es hacerse con las credenciales de la cuenta, que dan acceso a un historial médico completo: materia prima ideal para un chantaje o para ingeniería social posterior.
Recordatorio útil: el acceso a Mon espace santé se hace exclusivamente desde la aplicación oficial o la web oficial, con un código provisional enviado en el momento de la creación. Ninguna notificación legítima pide volver a introducir una contraseña desde un enlace por SMS.
4. La falsa cita con un especialista
«Su cita del 12/09 está confirmada. Para anularla: [enlace].» Este formato es especialmente retorcido porque no pide nada: empuja a hacer clic para anular algo que nunca se ha reservado. El reflejo es reparador, no codicioso. Y funciona.
5. La falsa mutua o seguro médico complementario
Mensaje que anuncia un reembolso pendiente, un cobro indebido a recuperar o una rescisión inminente del contrato. Suele utilizarse el nombre de una mutua real. También aquí, la promesa de un dinero debido —y no solicitado— desarma la vigilancia.
El método de las tres preguntas
Ante un SMS de este tipo, no sirve de nada memorizar una lista de números fraudulentos: cambian cada hora. Es mejor aplicar una pauta de lectura estable.
Pregunta 1: ¿este mensaje me pide actuar con urgencia? Suspensión de derechos, caducidad en 48 h, último aviso. La urgencia es la herramienta principal del estafador, porque cortocircuita la verificación. Ningún organismo sanitario francés suspende derechos por SMS con un plazo de dos días.
Pregunta 2: ¿este mensaje me pide datos que el remitente ya posee? Tu caja del seguro de enfermedad conoce tu número de la Seguridad Social. Tu laboratorio conoce tu nombre. Un organismo legítimo no vuelve a pedirte lo que ya tiene en su base de datos. Cuando un mensaje reclama el conjunto de tu identidad administrativa, no está verificando: está recopilando.
Pregunta 3: ¿estoy usando el enlace que me dan o mi propia vía de acceso? Es el principio más sólido de toda la seguridad digital cotidiana. Nunca entrar en un servicio por la puerta que te tienden. Cierra el SMS, abre la aplicación oficial o escribe tú mismo la dirección. Si la información es real, estará ahí. Y si no está, la cuestión queda zanjada.
Lo que los filtros automáticos saben (y no saben) hacer
En 2026, las aplicaciones de mensajería han mejorado notablemente. Google Messages clasifica ya una parte de los SMS sospechosos en una carpeta aparte y muestra advertencias sobre los enlaces dudosos; iOS filtra a los remitentes desconocidos en una pestaña distinta desde hace varias versiones. Estas protecciones detectan bien las campañas masivas, repetitivas, enviadas desde números quemados.
Detectan mucho peor tres cosas:
- Las campañas cortas y dirigidas, enviadas solo a unos pocos miles de números, que no dan tiempo a ser denunciadas antes de haber surtido efecto.
- Los mensajes sin enlace, que simplemente invitan a llamar a un número. El vector vuelve a ser entonces la voz, y la ingeniería social se juega en directo.
- Los mensajes que se insertan en un hilo existente, cuando se suplanta un remitente alfanumérico legítimo y el SMS fraudulento aparece en la misma conversación que los auténticos.
Este último punto merece entenderse bien: un SMS fraudulento puede aparecer en el hilo de mensajes de un organismo real, porque el nombre del remitente mostrado no es garantía de autenticidad. La apariencia de continuidad es una ilusión técnica, no una prueba.
Para las personas que reciben muchas solicitudes y gestionan varias líneas, un teléfono con doble SIM permite al menos compartimentar: una línea reservada a los trámites administrativos y bancarios, y otra difundida más ampliamente. No es una protección contra la estafa, pero hace que las anomalías resulten mucho más legibles.
Denunciar: los circuitos que existen realmente en Francia
La denuncia no es un gesto simbólico. Alimenta bases de datos que utilizan los operadores para cortar los números emisores y hacer cerrar los dominios fraudulentos.
| Canal | Para qué sirve | Cómo |
|---|---|---|
| 33700 | Plataforma oficial de denuncia de SMS y llamadas no deseadas, gestionada por el sector de las telecomunicaciones | Reenviar el SMS al 33700 y después enviar el número del remitente cuando la respuesta lo pida |
| Signal Conso / Phishing Initiative | Denuncia de sitios de phishing para su bloqueo | Copiar la URL sin visitarla |
| Cybermalveillance.gouv.fr | Diagnóstico, consejos y puesta en contacto con proveedores | Itinerario en línea guiado |
| Assurance Maladie (Ameli) | Denuncia de la suplantación de su identidad visual | Sección dedicada a los intentos de fraude |
| Perceval | Denuncia de un uso fraudulento de tarjeta bancaria | Servicio en línea en service-public.fr |
El 33700 sigue siendo el gesto más útil en el día a día: es gratuito, lleva treinta segundos y es el que permite dar de baja rápidamente los números emisores.
He hecho clic. ¿Y ahora qué?
Hacer clic en un enlace no es, en sí mismo, catastrófico. El peligro empieza al introducir datos. La reacción, por tanto, se jerarquiza.
Si no has introducido nada: cierra la página, borra el mensaje y denúncialo. El riesgo residual es bajo.
Si has introducido credenciales: cambia inmediatamente la contraseña del servicio afectado, así como la de cualquier otra cuenta donde reutilizaras la misma contraseña. Es el momento de recordar que un gestor de contraseñas convierte esta operación en algo trivial en lugar de angustioso, y que sobre todo permite no volver a reutilizar nunca una contraseña de un servicio a otro.
Si has introducido datos bancarios: llama sin demora al servicio de bloqueo de tu banco y después declara la operación en Perceval. La directiva europea sobre servicios de pago regula estrictamente los casos de reembolso en caso de operación no autorizada: el banco debe reembolsar salvo que demuestre una negligencia grave por tu parte, lo que exige de él una verdadera demostración, no una simple afirmación.
Si has comunicado tu número de la Seguridad Social y tus datos personales: no existe un botón de anulación. Vigila tus extractos de reembolsos en tu cuenta de Ameli durante varios meses y avisa a tu caja. Anota la fecha y la hora del incidente: esos elementos cuentan en caso de una denuncia posterior.
Acostumbrarse a conservar un registro escrito de estos incidentes —en una simple libreta de notas dedicada guardada cerca del escritorio o en un archivo cifrado— evita tener que reconstruir los hechos de memoria seis meses después, cuando un organismo reclame precisiones.
El caso particular de los seres queridos vulnerables
Estas estafas apuntan estadísticamente más a las personas con seguimiento médico: pacientes crónicos, personas mayores, mujeres embarazadas, familias con niños pequeños. No por crueldad calculada, sino por pura mecánica: son aquellas para quienes un SMS sanitario resulta plausible en todo momento.
Tres medidas sencillas, sin vigilancia ni infantilización:
- Establecer una regla única en lugar de una lista de prohibiciones. «Nunca se rellena un formulario que llega por SMS» se memoriza. «Cuidado con los enlaces .fr dudosos», no.
- Designar un número de emergencia. Un contacto de referencia al que se llama antes de hacer nada, sin juicios. La vergüenza de «haber picado» es el primer factor de silencio y, por tanto, de agravamiento.
- Reducir la superficie de exposición. En un teléfono destinado a un uso sencillo, un teléfono para mayores con teclas grandes sin navegador web elimina pura y simplemente el vector del enlace clicable. No es un retroceso: es una reducción voluntaria de la superficie de ataque.
Para ayudar a un familiar a formarse sin dramatizar, una guía divulgativa sobre ciberseguridad suele funcionar mejor que un discurso familiar, porque desplaza la autoridad fuera de la relación.
Lo que hay que recordar
Las estafas sanitarias por SMS no son ni técnicamente más sofisticadas ni más difíciles de detectar que las anteriores. Simplemente están mejor calibradas desde el punto de vista psicológico. No piden creer en una ganancia improbable: piden creer en una gestión administrativa normal.
La defensa cabe en una frase, válida tanto para la tarjeta sanitaria como para el banco, la mutua o el colegio: ninguna información real depende del enlace que te envían. Ya existe en algún sitio, en un espacio al que accedes por tus propios medios. Tomarse los treinta segundos de verificación por esa vía basta para hacer fracasar la práctica totalidad de estas campañas.
Y cuando la duda persiste, el reflejo más económico sigue siendo reenviar el mensaje al 33700 antes de cualquier otra acción. Una denuncia de treinta segundos rara vez protege a quien la envía, pero a menudo protege a los miles de personas que van a recibir el mismo mensaje en la hora siguiente.
Fuentes y recursos oficiales: Assurance Maladie (ameli.fr), Cybermalveillance.gouv.fr, service-public.fr (Perceval), plataforma 33700, Mon espace santé (monespacesante.fr).
