Desde hace años, la lucha contra los SMS fraudulentos se apoya en una premisa sencilla: un SMS de estafa tiene que pasar por algún sitio. Por una plataforma de envío, por un agregador, por un operador. Y si un mensaje circula por una tubería, se puede filtrar, bloquear y rastrear hasta el remitente.
En 2026, esa premisa se derrumba. Una nueva generación de estafas ya no toma ninguna tubería. El mensaje no viene de Orange, ni de SFR, ni de Bouygues, ni de Free. No viene de ningún operador. Se difunde directamente por el aire, desde un dispositivo colocado en el maletero de un coche que circula o que está aparcado a cincuenta metros de ti.
Es lo que se conoce como SMS Blaster —a veces «falsa estación base», «fake base station» o, en el vocabulario más antiguo de los servicios de inteligencia, un primo del IMSI catcher—. Y el problema central es este: tu operador no puede filtrar un mensaje que nunca ha visto pasar.
Qué es realmente un SMS Blaster
Un teléfono móvil no es un aparato desconfiado. Su lógica de base, heredada de las primeras normas GSM de los años noventa, consiste en conectarse a la antena que ofrece la mejor señal. No le pide credenciales a esa antena. En las generaciones más antiguas de la red —el 2G en particular— la autenticación funciona en un solo sentido: la red comprueba que tu tarjeta SIM es legítima, pero tu teléfono no comprueba que la antena lo sea.
Un SMS Blaster explota exactamente ese fallo de diseño. El dispositivo cabe en una bolsa de deporte o en una maleta rígida: una radio definida por software, un amplificador, una batería y, a veces, un simple portátil para gobernarlo todo. Se hace pasar por una antena repetidora, obliga a los teléfonos de los alrededores a abandonar el 4G o el 5G para replegarse al 2G y, acto seguido, les inyecta un SMS directamente.
El radio de acción varía según la potencia y el entorno: normalmente, de unas decenas a unos cientos de metros en zona urbana densa. Circulando despacio por una avenida comercial, un metro elevado o un eje atascado, un solo aparato puede alcanzar varios miles de teléfonos en una hora.
El punto clave: el SMS así difundido no tiene ninguna existencia en los sistemas del operador. No aparece en ningún registro de facturación, ni en ninguna plataforma de supervisión, ni en ninguna herramienta antispam. Para la red, ese mensaje nunca se ha enviado.
Por qué las defensas habituales no sirven de nada aquí
Los operadores franceses han reforzado considerablemente su arsenal en los últimos años. El dispositivo 33700, gestionado por la Association Française du Multimédia Mobile, permite denunciar un SMS no deseado y cortar los números abusivos. Los filtros de red detectan los envíos masivos, las URL incluidas en listas negras y los patrones repetitivos. El referencial MAN (Mécanisme d'Authentification des Numéros) ha complicado enormemente la suplantación de números de llamada.
Todos estos mecanismos comparten un presupuesto: que el mensaje transita por una infraestructura supervisada. El SMS Blaster hace saltar ese presupuesto por los aires.
| Defensa clásica | Eficacia frente a un SMS Blaster |
|---|---|
| Filtrado antispam del operador | Nula — el mensaje no atraviesa la red |
| Denuncia al 33700 | Útil para la investigación, pero no hay ningún número que cortar |
| Bloqueo del número remitente | Nula — el remitente es una etiqueta arbitraria |
| Detección de envíos masivos | Nula — no hay volumen visible del lado del operador |
| Aplicación antispam en el móvil | Parcial — depende del contenido y de la URL |
Otra consecuencia, aún más perversa: el remitente que se muestra lo elige íntegramente el atacante. Puede ser el nombre de un banco, el de una administración o un número corto conocido. En algunos teléfonos, si la etiqueta coincide exactamente con la de un remitente legítimo ya presente en tus conversaciones, el mensaje fraudulento puede colocarse dentro del hilo de conversación existente, justo debajo de los mensajes reales de tu banco o de tu entidad de pensiones. Es ese mecanismo de agrupación por nombre de remitente el que explica ciertas oleadas recientes de SMS falsos que muestran el nombre exacto de organismos oficiales.
Qué contienen estos mensajes
El contenido no se distingue en el fondo del smishing de siempre: lo que cambia es el vector. Reaparecen los grandes clásicos, en un francés impecable:
- El paquete retenido: unos gastos de aduana de 1,79 € que hay que abonar con urgencia, con un enlace a una página de pago clonada.
- El falso mensaje bancario: «Se ha iniciado una operación de 749 €. Si no la reconoce, haga clic aquí».
- La administración: multa impagada, actualización de la tarjeta sanitaria, reembolso de la mutua, regularización de la cuenta de jubilación.
- El servicio de peaje o de aparcamiento: especialmente eficaz cuando el blaster circula a lo largo de un eje viario.
- El falso código de verificación seguido de una llamada: «Buenos días, servicio antifraude de su banco, detectamos un intento en su cuenta».
El detonante emocional es siempre el mismo: la urgencia financiera o administrativa, unida a una acción que hay que ejecutar en menos de veinticuatro horas.
Por qué se ha extendido esta técnica
Se han sumado tres factores.
El material se ha vuelto asequible. Las radios definidas por software, inicialmente herramientas de investigación y de radioafición, cuestan hoy unos pocos cientos de euros. Los conocimientos necesarios para desviarlas de su uso circulan en comunidades cerradas, en forma de kits listos para usar.
El coste marginal es nulo. Enviar un SMS a través de un operador cuesta dinero y deja un rastro contable. Difundir cien mil mensajes desde un blaster solo cuesta electricidad. El modelo económico de la estafa queda transformado: ya no hacen falta cuentas a nombre de testaferros, SIM boxes ni agregadores cómplices.
La trazabilidad es casi nula. El aparato no tiene abono, ni identificador de red aprovechable, ni dirección IP. La única forma de neutralizarlo es localizarlo físicamente: un trabajo de radiogoniometría que exige tiempo, material y coordinación entre la ANFR (Agence nationale des fréquences), los operadores y las fuerzas del orden. Estas operaciones existen y dan resultado, pero presuponen que alguien haya denunciado antes la anomalía.
Recordemos de paso que el uso de semejante dispositivo está severamente penado en Francia: emisión en frecuencias asignadas sin autorización, obstaculización del funcionamiento de una red de comunicaciones electrónicas, estafa en banda organizada. Las penas se cuentan en años de cárcel.
Los ajustes que marcan una diferencia real
No existe ningún botón «anti-SMS Blaster». Pero sí existe una medida de efecto directo y medible: desactivar el 2G.
Dado que el ataque se basa en el repliegue forzado hacia un protocolo en el que la antena no necesita demostrar su identidad, un teléfono que rechaza el 2G sin más se vuelve mucho más difícil de engañar.
En Android
La mayoría de las versiones recientes de Android ofrece un interruptor específico. La ruta varía según el fabricante, pero se parece a: Ajustes → Red e Internet → Tarjetas SIM → seleccionar la SIM → «Permitir 2G», que hay que desactivar. Algunos fabricantes colocan la opción en un menú de «Seguridad y privacidad».
Android ofrece también, en las versiones más recientes, un modo de protección de red que rechaza las conexiones no cifradas y puede avisar cuando el teléfono detecta una estación base con un comportamiento anómalo. Si tu dispositivo lo ofrece, actívalo.
En iPhone
iOS no ofrece un interruptor específico para el 2G. En cambio, el modo Aislamiento (Ajustes → Privacidad y seguridad → Modo Aislamiento) desactiva, entre otras cosas, el repliegue hacia redes móviles no seguras. Es un modo restrictivo, pensado para perfiles expuestos —periodistas, abogados, cargos electos— y que limita ciertos usos cotidianos. Para la mayoría de los usuarios no se recomienda a diario, pero puede activarse de forma puntual en un contexto de riesgo.
El resto de ajustes útiles
- Activa el filtrado de remitentes desconocidos (iOS: Ajustes → Aplicaciones → Mensajes; Android: Mensajes → Ajustes → Protección contra el spam).
- Rechaza sistemáticamente la instalación de aplicaciones fuera de la App Store o de Play Store. Es la principal puerta de entrada de las segundas fases del ataque.
- Comprueba que la doble autenticación de tus cuentas sensibles no dependa únicamente del SMS. Una aplicación de autenticación o, mejor aún, una llave de seguridad FIDO2 física, corta de raíz toda la cadena: aunque el atacante consiga tus credenciales, se queda bloqueado.
Una palabra sobre la cobertura de red, por cierto: en las zonas donde la señal 4G es débil, tu teléfono se repliega de forma natural al 2G, lo que te hace más vulnerable. Si vives en una zona con cobertura parcial, un repetidor de señal móvil homologado por la ARCEP, instalado según las normas, reduce ese cambio permanente. Ojo: en Francia solo son legales los modelos autorizados y declarados.
Cómo reconocer que acabas de ser un objetivo
Algunas señales, anodinas por separado, cobran sentido juntas:
- Tu teléfono pasa bruscamente a 2G o a «E» cuando estás en plena ciudad, en una zona habitualmente bien cubierta.
- Pierdes la red unos segundos y, justo después de reconectarte, llega un SMS.
- El mensaje no figura en ninguna parte del historial de tu área de cliente del operador.
- Varias personas a tu alrededor —en el mismo vagón, el mismo vestíbulo, la misma cola— reciben el mismo mensaje en el mismo momento.
- El remitente que aparece es perfectamente legítimo, pero el enlace apunta a un dominio ligeramente distinto del oficial.
Este último punto merece un reflejo sistemático: no juzgar nunca un SMS por el remitente que aparece, sino siempre por la acción que pide. Un organismo público jamás te pide tus datos bancarios completos por SMS. Ameli lo recuerda explícitamente en su web: la Assurance Maladie nunca reclama datos bancarios ni el número de la seguridad social por mensaje.
El reflejo correcto en tres tiempos
No hagas clic. Es obvio, pero es el único punto de ruptura que te pertenece por entero. Un SMS sin leer no hace nada. Un SMS leído no hace nada. Solo el clic pone en marcha el resto.
Verifica por un canal elegido por ti. Ni el número que aparece en el mensaje, ni el enlace: tu aplicación bancaria abierta a mano, el número impreso en el reverso de tu tarjeta, la web oficial tecleada por ti mismo en el navegador.
Denuncia. Reenvía el mensaje al 33700 (gratuito, todos los operadores) y, en caso de perjuicio, presenta denuncia a través del servicio en línea dedicado. El portal Cybermalveillance.gouv.fr orienta hacia los interlocutores adecuados y ofrece fichas de actuación claras. Incluso sin un remitente aprovechable, estas denuncias alimentan las estadísticas que desencadenan las operaciones de localización de la ANFR.
Si el daño ya está hecho
El clic ya se ha dado, las credenciales se han introducido. Queda una ventana de actuación, y es corta.
- Bloquea la tarjeta de inmediato con tu banco y, después, a través del servicio interbancario de bloqueo de tarjetas en el 0 892 705 705.
- Cambia las contraseñas de las cuentas afectadas desde otro dispositivo —un ordenador, si sospechas que el teléfono está comprometido—. Un gestor de contraseñas evita de paso la contaminación en cadena de las cuentas que comparten la misma contraseña.
- Revisa tus desvíos de llamada y tus reglas de reenvío de SMS. Una práctica frecuente consiste en activar discretamente un desvío para interceptar los códigos de validación.
- Documéntalo todo: capturas de pantalla con fecha y hora del mensaje, del número, de la hora. Son estos elementos los que marcarán la diferencia al presentar la denuncia y al solicitar el reembolso al banco, regulado por los artículos L.133-18 y siguientes del Code monétaire et financier.
Si acompañas a alguien cercano menos ducho en estos reflejos, una guía práctica sobre ciberseguridad cotidiana, dejada sobre la mesa del salón, suele hacer más trabajo que un largo discurso: permite volver sobre el tema varias veces sin que se viva como una lección.
Lo que va a cambiar en los próximos años
La buena noticia es que el vector técnico está en vías de extinción. El 2G está oficialmente en proceso de apagado en los operadores franceses: Orange y SFR ya han puesto en marcha su calendario de cierre, y los demás van detrás. El día en que ningún teléfono en circulación pueda replegarse al 2G, esta categoría concreta de ataque perderá casi todo su terreno de juego.
La mala noticia es que los investigadores ya documentan variantes dirigidas al 4G, que aprovechan mensajes de señalización previos a la autenticación completa. El principio sigue siendo el mismo: entre el momento en que un teléfono descubre una antena y aquel en que verifica su legitimidad, existe una ventana. Se reduce con cada generación, pero todavía no ha desaparecido.
Mientras tanto, el razonamiento que conviene tener presente es sencillo, y vale mucho más allá del SMS Blaster: el origen aparente de un mensaje nunca es una prueba. Ni el nombre del remitente, ni el hilo de conversación en el que aparece, ni la calidad de la redacción. Lo único que cuenta es qué te pide hacer ese mensaje; y si la acción compromete tu dinero, tus credenciales o tus datos personales, merece verificarse en otro sitio, por un camino que hayas elegido tú mismo.
