Existe una categoría de SMS fraudulentos frente a la cual todos los consejos habituales se quedan cortos.
«Comprueba el número del remitente.» El número es correcto. «Fíjate si el mensaje llega desde un número desconocido.» No llega desde un número desconocido. «Compáralo con los mensajes anteriores de tu banco.» Está justo debajo de los mensajes anteriores de tu banco, en el mismo hilo, con el mismo encabezado, el mismo nombre de remitente, la misma presentación.
Este fenómeno tiene un nombre: la suplantación de remitente, o spoofing. No es ninguna novedad técnica —la debilidad es tan antigua como el SMS comercial—, pero su industrialización por parte de las redes de fraude, combinada con la automatización mediante IA de los guiones de manipulación, lo ha convertido en el vector número uno de las estafas bancarias por teléfono en Francia.
Y a diferencia del falso paquete o del falso recordatorio médico, este tipo de mensaje no puede detectarse a simple vista. Hay que cambiar de método.
Por qué un estafador puede escribir «CreditMutuel» en el campo del remitente
Cuando una empresa te envía un SMS, por lo general no utiliza un número de teléfono sino un identificador alfanumérico: «Ameli», «Colissimo», «SFR», «BNPPARIBAS». Técnicamente, ese campo se denomina Sender ID y está definido en la norma GSM desde los años noventa.
El problema cabe en una frase: ese campo es declarativo.
En el protocolo SMS original no existe ningún mecanismo de autenticación comparable al que conocemos para el correo electrónico (SPF, DKIM, DMARC). El emisor rellena una cadena de once caracteres como máximo y la red la transporta tal cual hasta tu pantalla. Nada, dentro de la norma, verifica que la organización que escribe «CAISSEEPARGNE» sea realmente la Caisse d'Épargne.
En un operador francés serio y por una ruta llamada «premium», los controles existen: el agregador A2P (Application-to-Person) exige un mandato, verifica la identidad del ordenante y registra el Sender ID. Pero el SMS es una red mundial interconectada. Un mensaje puede inyectarse desde un operador extranjero, a través de una ruta «gris» comprada a bajo coste, y llegar a Francia con un identificador usurpado. Es exactamente lo que hacen las plataformas de fraude, alojadas a menudo fuera de Europa y comercializadas por suscripción.
El detalle que hace devastador al spoofing: la agrupación de hilos
Donde el asunto se pone serio es en el lado del smartphone.
Tanto iOS como Android agrupan las conversaciones por identificador de remitente, no por ruta técnica ni por certificado. Si tu banco te escribe desde «MIBANCO» y un estafador inyecta un mensaje con una cadena exactamente idéntica, ambos aterrizan en la misma conversación.
El mensaje fraudulento hereda entonces todo el capital de confianza acumulado:
- aparece debajo de tus códigos de validación auténticos;
- comparte el historial visible de tus intercambios legítimos;
- se beneficia del contexto («ah, sí, este es el hilo de mi banco»);
- escapa a los filtros antispam basados en números desconocidos.
Ninguna vigilancia visual puede compensar eso. Es estructural.
El escenario tipo de 2026: el SMS no es más que el anzuelo
El error sería creer que el objetivo del mensaje es que hagas clic en un enlace. Cada vez con más frecuencia, no hay ningún enlace —lo que burla los filtros automáticos y las alertas de seguridad—.
El esquema dominante es este:
- El SMS de alerta. «Se ha detectado un intento de pago de 749 € en [comercio]. Si no reconoce esta operación, llame al 09 XX XX XX XX.» Aparece en el hilo legítimo del banco.
- La llamada. O bien llamas al número indicado, o bien —variante más agresiva— un «asesor» te llama a los pocos minutos, con un número mostrado también falsificado (el spoofing existe igualmente en telefonía de voz).
- La manipulación. El interlocutor conoce tu nombre, a veces tus últimas compras, tu oficina. Está tranquilo, es profesional, incluso te desaconseja precipitarte. Te pide que «bloquees» la transacción fraudulenta.
- La captación. Te hace validar una operación en tu aplicación bancaria, dictar un código recibido por SMS o dar de alta un nuevo dispositivo en tu cuenta. Eres tú quien autoriza la transferencia.
Es el fraude conocido como «del falso asesor bancario», que la Banque de France y el Observatoire de la sécurité des moyens de paiement documentan año tras año como uno de los más costosos por víctima. El SMS suplantado no es la estafa: es la llave que abre la puerta.
La regla que protege del 90 % de estos escenarios cabe en una frase: ningún banco te pedirá jamás que valides, anules o «bloquees» una operación dictando un código o confirmando una notificación durante una llamada telefónica. Una validación solo sirve para autorizar, nunca para anular.
Lo que Francia ha puesto en marcha (y sus límites)
Contrariamente a una idea extendida, el tema no está desatendido por el regulador.
La ley del 30 de mayo de 2023 destinada a luchar contra los fraudes y los abusos en la venta telefónica sentó el principio de un mecanismo de autenticación de los números. La Arcep publicó después el marco técnico denominado MAN (Mécanisme d'Authentification des Numéros), aplicado por fases desde octubre de 2024 para los números fijos y, más tarde, para los números móviles.
El principio: un operador francés debe verificar que una llamada o un mensaje presentado con un número francés proviene efectivamente de un usuario legítimo de ese número. En caso contrario, el tráfico debe cortarse. Los resultados son reales en las llamadas fraudulentas que muestran números geográficos franceses falsos.
Pero hay que ser honestos sobre lo que este dispositivo no resuelve:
| Supuesto | ¿Cubierto por el MAN? |
|---|---|
| Llamada con un falso 01/09 francés | Sí, filtrada en gran medida |
| Llamada con un falso número móvil francés | Sí, desde la ampliación del dispositivo |
| SMS con un falso número francés | Parcialmente |
| SMS con un Sender ID alfanumérico usurpado | No, fuera del ámbito directo |
| SMS inyectado desde el extranjero con un identificador de marca | Depende de los filtros del operador de destino |
Paralelamente, la Fédération française des télécoms y los operadores han desarrollado listas de identificadores alfanuméricos protegidos: una marca registra su Sender ID y los operadores bloquean los mensajes extranjeros que intentan usurparlo. Este sistema funciona, pero se basa en la voluntariedad de las empresas y no cubre los miles de marcas no registradas, ni las variantes tipográficas («MI-BANCO», «MIBANCO1»).
Dicho de otro modo: la situación mejora, pero no está resuelta.
El método de verificación que funciona, en tres pasos
Dado que la inspección visual es inoperante, hay que pasar a una lógica de verificación fuera del canal. El principio es sencillo: nunca validar una información dentro del canal que la ha traído.
1. Suspender la acción, no la reflexión
Todos estos escenarios se basan en una urgencia artificial. El importe es elevado, el plazo es corto, el interlocutor genera tensión. La contramedida es mecánica: nada bancario se decide en cinco minutos. Ninguna operación fraudulenta detectada por un banco exige tu intervención inmediata por teléfono; los procedimientos de oposición existen y funcionan a posteriori.
2. Colgar y llamar tú mismo
El número que hay que marcar nunca es el que aparece en el mensaje ni el que se muestra en pantalla. Es el que figura en el reverso de tu tarjeta bancaria o en tu aplicación oficial. Un punto importante, a menudo ignorado: en las antiguas líneas fijas, un estafador podía mantener la línea abierta para simular una llamada de vuelta. En el móvil, ese riesgo es casi nulo, pero espera aun así unos segundos antes de marcar.
Para quienes gestionan varias cuentas o varias tarjetas, mantener los números de oposición anotados fuera del teléfono sigue siendo la solución más robusta: una simple agenda telefónica de papel junto al escritorio, o una ficha plastificada en la cartera, vale más que una nota perdida en un smartphone que puede ser robado o comprometido.
3. Verificar en la aplicación, nunca desde un enlace
Abre tu aplicación bancaria desde el icono, no desde el SMS. Si existe una operación sospechosa, aparecerá allí. Si no aparece nada, el mensaje es falso. Esta comprobación lleva veinte segundos y neutraliza la inmensa mayoría de los intentos.
Reducir la superficie de ataque desde el principio
El spoofing funciona tanto mejor cuanto más sabe el estafador sobre ti. El mensaje «su tarjeta terminada en 4412» no tiene nada de mágico: esos datos circulan tras las filtraciones de bases de clientes. Algunas medidas limitan la exposición.
Compartimentar tu número principal. Utilizar una segunda línea —tarjeta de prepago o eSIM secundaria— para las suscripciones comerciales, las entregas y los anuncios clasificados reduce notablemente el volumen de mensajes fraudulentos dirigidos a tu línea bancaria. Los teléfonos con doble SIM se han generalizado y hacen que la operación resulte indolora.
Sacar la autenticación del SMS. El código de un solo uso por SMS sigue siendo el eslabón débil: es interceptable, transferible mediante manipulación y vulnerable al SIM swapping. Cuando un servicio lo permite, una aplicación de autenticación en dos factores, o incluso una llave de seguridad física FIDO2 para las cuentas más sensibles (correo principal, gestor de contraseñas), cambia por completo el nivel de protección. Una llave física no puede dictarse por teléfono a un falso asesor.
Evitar las contraseñas reutilizadas. El escenario del falso asesor resulta mucho más creíble cuando el estafador ya tiene acceso a una cuenta de comercio. Un gestor de contraseñas, incluso en sus versiones gratuitas, rompe esa cadena. Para quienes prefieren el papel, un cuaderno de contraseñas guardado bajo llave en casa sigue siendo muy superior al post-it debajo del teclado.
Denunciar sistemáticamente. El 33700 es el servicio nacional francés de denuncia de SMS y llamadas no deseadas, gestionado por los operadores del país. Reenvía el mensaje al 33700 y responde después con el número del remitente si te lo piden. Es gratuito y es lo que alimenta las listas de bloqueo. Como complemento, la plataforma Cybermalveillance.gouv.fr orienta sobre los trámites y Perceval, en service-public.fr, permite denunciar el uso fraudulento de una tarjeta bancaria.
¿Cambia el RCS las reglas del juego?
Esta es la verdadera buena noticia del momento. El RCS (Rich Communication Services), sucesor del SMS desplegado por los operadores y hoy compatible tanto con iOS como con Android, incorpora una noción ausente en el SMS: el remitente verificado.
En el marco del RCS Business Messaging, una empresa debe validar su identidad ante un agregador acreditado. El mensaje llega entonces con un logotipo, un nombre verificado y una insignia de verificación mostrada por la aplicación de mensajería. Google Messages, además, reforzó en 2025 y 2026 su detección automática de estafas, con una clasificación de los mensajes sospechosos realizada localmente en el dispositivo.
Dos matices, sin embargo:
- La convivencia crea una zona gris. Mientras el SMS clásico exista como recurso alternativo, un estafador puede apuntar precisamente a ese canal no autenticado. Un mensaje no verificado no es necesariamente fraudulento —muchas pymes no han dado el salto—, pero un mensaje verificado sí constituye una garantía sólida.
- La insignia protege la identidad, no el contenido. Una marca legítima puede enviar una campaña agresiva; a la inversa, la ausencia de insignia en un mensaje de apariencia bancaria debe considerarse desde ahora una señal de alerta en sí misma.
El hábito que hay que adquirir es, por tanto, sencillo: ante un mensaje con implicaciones económicas, busca la insignia. Si no está, aplica el procedimiento de verificación fuera del canal sin excepción.
Lo que hay que recordar
- El campo del remitente de un SMS es declarativo: puede ser usurpado, y el mensaje fraudulento se coloca entonces en el hilo legítimo de tu banco.
- La inspección visual no sirve de nada en este caso concreto. Solo protege la verificación fuera del canal.
- El dispositivo francés de autenticación de números (marco MAN de la Arcep) ha reducido notablemente las llamadas que usurpan números franceses, pero no cubre los identificadores alfanuméricos.
- Ningún banco pide validar, dictar ni confirmar nada durante una llamada.
- El RCS con remitente verificado constituye la primera respuesta estructural al problema; su adopción completa llevará todavía tiempo.
El SMS se concibió en 1992 como un canal de servicio técnico entre ingenieros. Treinta y cuatro años después se ha convertido en la puerta de entrada a nuestras cuentas bancarias, sin haber recibido nunca los mecanismos de autenticación correspondientes. Mientras esa brecha no se cierre, la mejor protección sigue siendo un reflejo muy humano: salir del canal para verificar.
