Hay una experiencia que casi todo el mundo ha vivido y de la que casi nadie habla: recibir un mensaje que, manifiestamente, no era para ti.
A veces es algo inocuo — «¿Nos vemos a las 19 h delante del cine?» de un desconocido. A veces es mucho menos inocuo: un código de acceso a una cuenta bancaria, el resultado de un análisis médico, una citación, un mensaje de ruptura, la foto de un niño. Tú no has pedido nada, no has hackeado nada, no has interceptado nada. El mensaje ha llegado a tu teléfono porque alguien se equivocó en un dígito, o porque tu número perteneció a otra persona antes que a ti.
Y entonces surgen una serie de preguntas que nadie te ha respondido nunca. ¿Tengo derecho a leerlo? ¿Debo responder? ¿Me expongo a algo? ¿Cómo consigo que esto pare?
Por qué tu número recibe los mensajes de otra persona
Hay cuatro causas principales, y no requieren las mismas respuestas.
El número reciclado. Es con diferencia el caso más frecuente y el más persistente. En Francia, un número móvil dado de baja no se destruye: vuelve al stock del operador, que debe respetar un plazo de «cuarentena» antes de reasignarlo. La ARCEP regula este mecanismo en su plan nacional de numeración, pero el plazo es de apenas unos meses. Pasado ese periodo, tu número flamante ya tiene una vida anterior: una suscripción a un gimnasio, una cuenta de cliente en una compañía energética, un registro en una plataforma de reparto, un expediente en un laboratorio de análisis. Todas esas bases de datos siguen escribiendo al antiguo titular… es decir, a ti.
El error al teclear. Un dígito invertido en el mostrador de una farmacia, una receta dictada por teléfono, un formulario rellenado con prisas. El mensaje se va a un desconocido que ni siquiera sabe que existe un problema.
La base de clientes nunca depurada. Una empresa dispone de un número obtenido hace ocho años y jamás ha comprobado si sigue siendo válido. Sin embargo, el RGPD impone una exigencia de exactitud de los datos (artículo 5.1.d): los datos inexactos deben ser «suprimidos o rectificados sin dilación». En la práctica, esta obligación se ignora de forma masiva en las bases de marketing.
El SMS fraudulento disfrazado de error. Es el cuarto caso, y el más retorcido. Un mensaje del tipo «Hola, soy María, ¿seguimos quedando mañana?» no es un error: es el arranque de una estafa relacional, a menudo orientada hacia un fraude de inversión en criptomonedas. El guion, llamado pig butchering en la literatura de ciberseguridad, empieza siempre con un falso mensaje enviado «por error» para entablar conversación.
Distinguir estos cuatro casos es lo primero que hay que hacer, porque en el último la conducta a seguir es radicalmente distinta.
Lo que dice el derecho francés: leer no es una falta, explotar sí lo es
Mucha gente cree que abrir un mensaje que no va dirigido a ella ya constituye una infracción. Es falso, y el matiz merece exponerse con claridad.
El secreto de las comunicaciones está protegido por el artículo 226-15 del Código Penal francés, que castiga con un año de prisión y 45 000 € de multa «el hecho, cometido de mala fe, de abrir, suprimir, retrasar o desviar correspondencia llegada o no a destino y dirigida a terceros». Aquí cuentan dos elementos:
- la mala fe: hace falta una intención. Recibir pasivamente un SMS en tu propio teléfono y leerlo en la notificación no tiene nada de intencionado;
- el desvío: el texto apunta a quien va a buscar la correspondencia ajena, no a quien la recibe por error.
En resumen: no has cometido ninguna infracción al leer un mensaje que ha llegado espontáneamente a tu teléfono. La línea roja está en otra parte.
Lo ilícito no es haber visto el mensaje. Es utilizarlo, difundirlo o servirse de él para acceder a algo que no te pertenece.
Tres comportamientos hacen que la situación bascule:
- Usar un código recibido por error. Si un código de validación bancaria o un código de acceso llega a tu teléfono y lo utilizas, sales inmediatamente del terreno del error para entrar en el del acceso fraudulento a un sistema de tratamiento automatizado de datos (artículo 323-1 del Código Penal) y, según el uso, en el de la estafa.
- Redifundir el contenido. Publicar una captura de pantalla de un mensaje íntimo recibido por error, con el número o el nombre legibles, puede constituir una vulneración de la intimidad (artículo 226-1) y, si se trata de un contenido de carácter sexual, una difusión sin consentimiento (artículo 226-2-1).
- Conservar y explotar datos de salud. Un resultado de análisis que llega a tu teléfono sigue amparado por el secreto médico. Tú no estás sujeto a él personalmente, pero cualquier explotación te expondría.
Dicho de otro modo, el derecho protege bastante bien al destinatario involuntario, siempre que se comporte como un destinatario involuntario.
¿Hay que responder? La regla de las tres respuestas
Es la pregunta más frecuente, y la respuesta correcta depende del tipo de mensaje.
Caso 1: mensaje personal manifiestamente humano
Un amigo que escribe a un amigo, un padre que escribe a su hijo, una cita concertada. Aquí, responder no solo está permitido sino que resulta útil: «Buenos días, este número no es el de la persona que busca, se ha equivocado de destinatario». Una frase, neutra, sin comentar el contenido.
Este tipo de respuesta evita lo peor: el caso de una urgencia familiar en la que nadie entiende por qué el otro no contesta.
Una precaución, eso sí: responde por SMS, no devolviendo la llamada, sobre todo si el número mostrado es extranjero o empieza por un prefijo de tarificación adicional.
Caso 2: mensaje automatizado de una empresa u organismo
Cita médica, aviso de factura, notificación de entrega, código de seguridad. No respondas al propio mensaje: la mayoría de estos envíos parten de números cortos que no admiten respuesta, y la tuya caerá en el vacío.
El procedimiento eficaz consiste en contactar directamente con el organismo por su canal oficial —no a través de un enlace incluido en el SMS— y pedir la supresión o rectificación del número. Puedes invocar explícitamente el derecho de rectificación previsto en el artículo 16 del RGPD. Una formulación que funciona:
«Su organismo envía SMS que contienen datos personales relativos a un tercero a mi número, del que soy titular desde [fecha]. Le solicito, sobre la base del artículo 16 del RGPD, que rectifique o suprima este número en el expediente correspondiente y que me confirme dicha actualización.»
Si la empresa no reacciona en el plazo de un mes, la CNIL admite reclamaciones en línea por este motivo concreto. No es un uso marginal del mecanismo: la mala gestión de las bases de contactos es un motivo de reclamación perfectamente admisible.
Caso 3: mensaje que huele a guion
«Hola, ¿es usted el doctor Chen?» «Perdone, ¿este es el número de Sophie?» «Lo siento, número equivocado… ¿de qué región eres?»
No respondas nada. Absolutamente nada, ni siquiera «número equivocado». Cualquier respuesta confirma que la línea está activa y la lee un ser humano, lo que aumenta el valor de tu número en las bases que se revenden.
Denuncia el mensaje al 33700, la plataforma oficial francesa de denuncia de SMS no deseados y fraudulentos, gestionada por los operadores bajo el amparo de los poderes públicos. Reenvía el mensaje al 33700 y luego envía el número del remitente cuando la plataforma te lo pida. También puedes presentar una denuncia en cybermalveillance.gouv.fr, que centraliza el acompañamiento a las víctimas.
El caso particular de los códigos de verificación que no te conciernen
Recibir un código de un solo uso destinado a otra persona es habitual cuando heredas un número reciclado, y es el escenario más delicado.
Primero, una buena noticia: normalmente significa que un antiguo titular no ha actualizado sus cuentas en línea, no que estén intentando hackearte.
Pero hay dos situaciones que deben alertarte:
| Lo que recibes | Lo que probablemente significa | Reacción |
|---|---|---|
| Un código aislado, una vez al mes | Cuenta antigua nunca actualizada | Contactar con el servicio y pedir la supresión |
| Una ráfaga de códigos en pocos minutos | Intento de acceso en curso a una cuenta vinculada a ese número | No hacer nada con el código, avisar al servicio afectado |
| Un código acompañado de una llamada «del servicio de seguridad» | Intento de estafa dirigido a ti | Colgar y no comunicar jamás el código |
El tercer caso merece conocerse: los estafadores provocan deliberadamente el envío de un código y después llaman a la víctima haciéndose pasar por el servicio de seguridad del banco o de la plataforma, y piden el código «para verificar». Ninguna entidad francesa pedirá jamás que se lea un código por teléfono. Es la regla número uno, y la recuerdan tanto la Fédération bancaire française como el sector asegurador.
Si heredas un número y recibes códigos con regularidad, también vale la pena auditar tus propias cuentas: pasar tus autenticaciones de doble factor del SMS a una aplicación dedicada, o incluso a una llave de seguridad física FIDO2, elimina el problema de raíz. Una guía sobre ciberseguridad cotidiana es una inversión razonable si el tema te resulta opaco: el SMS sigue siendo el factor de autenticación más frágil del ecosistema actual, y la ANSSI ya no lo recomienda como segundo factor para usos sensibles.
Recuperar el control cuando tu número es un número reciclado
Si los mensajes llegan en flujo continuo y proceden de fuentes múltiples, no se trata de un error puntual: tu número anda suelto en decenas de bases. El método que funciona se desarrolla en cuatro tiempos.
1. Hacer inventario durante dos semanas. Anota cada remitente, la naturaleza del mensaje y la frecuencia. Basta con una simple libreta de espiral, pero lo importante es dejar constancia: te servirá para priorizar y, llegado el caso, para documentar una reclamación ante la CNIL.
2. Tratar uno a uno los emisores identificables. Para cada organismo reconocible, envía la solicitud de rectificación RGPD. Es tedioso, pero es el único gesto que corta definitivamente el flujo. Cuenta con tres o cuatro semanas por expediente.
3. Activar los filtros del teléfono. Tanto iOS como Android permiten filtrar los remitentes desconocidos en una pestaña aparte y bloquear un número en dos gestos. En Android, el filtro antispam de Mensajes de Google intercepta buena parte de los envíos automatizados. En iPhone, la opción «Filtrar remitentes desconocidos» en los ajustes de Mensajes hace el mismo trabajo. Estos filtros no eliminan nada, pero hacen que el ruido sea soportable.
4. Inscribir el número en Bloctel. El dispositivo público de oposición a la publicidad telefónica no cubre los SMS de marketing del mismo modo que las llamadas, pero sanea el conjunto. Desde la entrada en vigor de los cambios legislativos sobre el consentimiento previo, la prospección sin acuerdo explícito se sanciona con una firmeza creciente por parte de la DGCCRF.
¿Y si eres tú quien envía al número equivocado?
El problema tiene una vertiente simétrica de la que se habla todavía menos.
Si te das cuenta de que has enviado un mensaje sensible al destinatario equivocado, ten presente que un SMS entregado no puede recuperarse: la red no conoce la función «cancelar el envío». El RCS, en Android, permite en ciertas configuraciones eliminar un mensaje para todos, pero solo si ambos interlocutores usan RCS, lo que rara vez ocurre con un desconocido.
Lo que sí es posible:
- enviar de inmediato un segundo mensaje pidiendo educadamente que se elimine el anterior;
- si el mensaje contenía un código o un identificador, invalidar ese código sin esperar iniciando una nueva autenticación;
- si el mensaje contenía datos profesionales, avisar al delegado de protección de datos de tu organización: una divulgación accidental de datos personales a un tercero constituye una violación de datos en el sentido del artículo 33 del RGPD, potencialmente notificable a la CNIL en un plazo de 72 horas.
La mejor defensa sigue siendo preventiva: comprobar los tres últimos dígitos antes de enviar un mensaje con información sensible y no transmitir nunca por SMS un identificador, un código de acceso o un número completo de tarjeta. Para las contraseñas e identificadores compartidos en familia o entre compañeros, un gestor de contraseñas o una simple libreta de contraseñas segura guardada en casa elimina por completo la necesidad de hacerlos circular por mensaje.
Lo que hay que recordar
- Recibir y leer un mensaje que no va dirigido a ti no es una infracción; explotarlo, difundirlo o utilizar un código recibido sí lo es.
- Para un mensaje humano aislado: una respuesta neutra y breve, sin comentar el contenido.
- Para un mensaje automatizado: contactar con el organismo por su canal oficial e invocar el derecho de rectificación (artículo 16 del RGPD).
- Para un mensaje que busca entablar conversación: no responder nada y reenviarlo al 33700.
- Ningún código de verificación se comunica por teléfono, jamás, a nadie.
- Si tu número es reciclado, solo una limpieza metódica de las bases emisoras pone fin al flujo; los filtros del teléfono se limitan a enmascarar el ruido.
Un SMS mal dirigido no es más que un error añadido en un sistema que produce millones al día. Pero también es, a veces, un fragmento de la vida de otra persona que aterriza en tu pantalla. La actitud correcta cabe en una frase: señalar el error, no explotar nada y hacer lo necesario para que no se repita.
