Existe una categoría de estafas por SMS de la que se habla poco, precisamente porque no parece una estafa. Ni web bancaria falsa, ni código de seis cifras que copiar con urgencia, ni amenaza de suspensión de cuenta. Solo una buena noticia: has resultado agraciado en un sorteo, tu fidelidad tiene premio, tu paquete es gratuito, solo falta abonar 1,95 € de gastos de envío.
Seis semanas después, tu extracto bancario muestra tres cargos de 49,90 € a favor de una empresa de la que jamás has oído hablar. Y lo más desagradable de la historia es esto: en algún lugar de la página que rellenaste en treinta segundos, estaba escrito —en gris claro, en cuerpo 7, debajo del botón de validación— que contratabas una suscripción mensual renovable.
Es lo que en la jerga anglosajona se llama negative option billing, en español una suscripción por defecto o una suscripción oculta. No es exactamente un robo. Es mucho peor de gestionar: es una zona gris jurídica diseñada para parecer un contrato.
Por qué esta trampa funciona mejor que una web bancaria falsa
Las campañas clásicas de smishing —falsos SMS de Correos, de la Seguridad Social, de tu banco— se apoyan en el miedo y la urgencia. Funcionan, pero hoy encuentran una resistencia creciente: el público general ha sido ampliamente concienciado, los bancos recuerdan que nunca piden un código por SMS, y Cybermalveillance.gouv.fr repite el mensaje desde hace años.
El SMS regalo sortea por completo esa defensa mental. No activa ninguna de las alarmas que has aprendido a escuchar:
- No pide ninguna contraseña.
- No pide ningún código de validación bancaria —bueno, sí, pero más tarde, y por un importe irrisorio que validas sin pensar.
- No suplanta necesariamente la identidad de un organismo público: a menudo se limita a mencionar vagamente «tu operador», «una gran cadena», «nuestro socio».
- No te pone en peligro: te da una alegría.
La palanca psicológica no es el miedo, sino la reciprocidad y el efecto dotación: desde el momento en que te anuncian que algo ya te pertenece, renunciar a ello se vive como una pérdida. Añade una cuenta atrás en pantalla («tu premio está reservado durante 9 min 47»), y el tiempo de reflexión desaparece.
Los estafadores que explotan este modelo no buscan robar 800 € de golpe. Buscan cobrar 49 € durante seis meses a miles de personas que, individualmente, nunca denunciarán por esa cantidad.
El mecanismo, paso a paso
1. El mensaje gancho
El SMS es corto, a menudo sin faltas, y cada vez más personalizado —cruce con bases de datos filtradas obliga—. Las fórmulas recurrentes en 2026:
- «Hola [Nombre], tu pedido n.º 8842 tiene derecho a un regalo. Elígelo aquí: …»
- «Tu tarifa te da derecho a 1 accesorio gratuito este mes.»
- «Reembolso de 74,32 € disponible en tu expediente. Confirma tus datos.»
- «Prueba de producto: recibe [marca conocida] y quédatelo.»
El enlace apunta a un dominio reciente, corto, sin relación con la marca mencionada, a menudo alojado en una extensión exótica o en un subdominio genérico.
2. El embudo de cualificación
La página no pide de inmediato tu tarjeta. Primero te hace jugar: una ruleta que gira, tres cofres que abrir, un test de cuatro preguntas. Ese rodeo no es decorativo. Cumple dos funciones:
- Comprometerte progresivamente. Quien ya ha respondido a cuatro preguntas abandona mucho menos fácilmente en el quinto paso.
- Recopilar tus datos. Edad, situación, intereses, código postal: esa información vale a veces más que la propia suscripción en los mercados de reventa de ficheros.
3. La tarjeta bancaria para «los gastos»
Después llega la petición de los datos bancarios, justificada por un importe minúsculo: 1 €, 1,95 €, 2,90 € de participación en los gastos de envío. Lo validas con la aplicación de tu banco —la autenticación reforzada funciona perfectamente, valida un pago que realmente has autorizado—.
Ahí está el núcleo del problema: la PSD2 y la autenticación de doble factor no te protegen de un contrato que has firmado sin leer. Verifican que eres tú, no que la transacción sea honesta.
4. La cláusula invisible
Debajo del botón, en un bloque de texto gris sobre fondo blanco, una frase del tipo: «Al validar, te adhieres al servicio Premium por 49,90 € al mes tras un periodo de prueba de 3 días, cancelable en cualquier momento». El primer cargo llega una semana después, con un concepto bancario opaco: siglas de tres letras, sociedad domiciliada fuera de Francia, sin ninguna relación con el SMS original.
Lo que dice el derecho francés — y por qué está de tu lado
Al contrario de lo que creen muchas víctimas, esta práctica no es legal por el simple hecho de que la cláusula existiera. El derecho francés y europeo regula de forma muy estricta este tipo de venta a distancia.
| Norma | Texto aplicable | Qué significa para ti |
|---|---|---|
| Consentimiento expreso para todo pago adicional | Artículo L. 224-2 del Código de Consumo | Una casilla premarcada o una mención escondida no equivalen a consentimiento |
| Práctica comercial engañosa | Artículos L. 121-2 y siguientes | Ocultar una información sustancial (el precio real) es un delito |
| Derecho de desistimiento de 14 días | Artículo L. 221-18 | Empieza a contar desde la celebración del contrato en el caso de un servicio |
| Información precontractual clara y comprensible | Artículo L. 221-5 | Un cuerpo 7 gris claro bajo el botón no es ni claro ni legible |
| Impugnación de un pago no autorizado | Artículo L. 133-18 del Código Monetario y Financiero | Reembolso por parte del banco, con condiciones |
La Dirección General de Competencia, Consumo y Represión del Fraude (DGCCRF) publica con regularidad advertencias sobre estos «concursos» que desembocan en suscripciones. La denuncia se tramita a través de la plataforma SignalConso. Para la dimensión ciberdelictiva, Cybermalveillance.gouv.fr orienta hacia los dispositivos adecuados, y la plataforma Pharos recibe las denuncias de contenidos ilícitos.
En cuanto al SMS en sí: cualquier mensaje fraudulento puede reenviarse gratuitamente al 33700, el dispositivo nacional de denuncia de spam por SMS gestionado por la Association Française du Multimédia Mobile en colaboración con los operadores.
Qué hacer si ya te están cobrando
El orden importa. Muchas víctimas empiezan escribiendo al servicio de atención al cliente de la empresa: es el peor primer paso, porque hace perder días durante los cuales caen nuevos cargos.
Paso 1 — Cortar el flujo, no solo reclamar
Llama a tu banco y pide explícitamente:
- el bloqueo del comercio (bloqueo de los futuros cargos de ese beneficiario);
- y, si la duda es importante, la sustitución de la tarjeta. El nuevo número deja sin efecto las autorizaciones recurrentes.
Atención: una simple «denuncia por pérdida» no siempre basta para detener pagos recurrentes ya autorizados. Emplea las palabras exactas: «impugno una autorización de pago recurrente y solicito su bloqueo».
Paso 2 — Reclamar el reembolso por escrito
Dirige a tu banco una reclamación escrita (carta certificada o mensajería segura del área de cliente) alegando la ausencia de consentimiento expreso. Adjunta:
- la captura del SMS recibido;
- la dirección del sitio, si aún la tienes en el historial;
- el extracto de los cargos;
- la cronología precisa.
El plazo legal para impugnar una operación no autorizada es de 13 meses desde el adeudo (artículo L. 133-24 del Código Monetario y Financiero). No dejes que ese plazo se agote pensando que «ya es demasiado tarde».
Paso 3 — Cancelar formalmente, aunque el contrato sea endeble
Envía una carta certificada de cancelación y desistimiento a la dirección que figure en el aviso legal del sitio. Es el documento que te servirá después. Mucha gente no conserva ningún rastro en papel de sus gestiones; guardar los acuses de recibo en una carpeta con fundas transparentes evita tener que reconstruir el expediente con urgencia seis meses más tarde.
Paso 4 — Denunciar
- SignalConso (DGCCRF) por la práctica comercial.
- 33700 por el SMS.
- Denuncia en la gendarmería o comisaría si el importe es significativo, o predenuncia en línea.
- Tu asociación de consumidores (UFC-Que Choisir, CLCV) si te encuentras con la negativa del banco.
Siete reflejos que neutralizan este tipo de trampa
1. Ninguna lotería te conoce. No puedes ganar en un juego en el que no has participado. Esta regla, por sí sola, elimina el 90 % de los casos.
2. Desconfía de los micropagos. Un importe deliberadamente irrisorio es una señal de alarma, no una garantía. Su única función es obtener tus datos bancarios y tu validación.
3. Lee lo que hay debajo del botón, no encima. Las condiciones determinantes se colocan sistemáticamente después de la llamada a la acción, en un color poco contrastado.
4. Compartimenta tus medios de pago. Reserva una tarjeta virtual de un solo uso o una tarjeta prepago recargable para las compras en sitios que no conoces. El límite acota mecánicamente los daños. La mayoría de los bancos franceses ofrecen este servicio en su aplicación.
5. Revisa tus extractos todos los meses. Un cargo de 49 € pasa desapercibido para quien solo mira el saldo. Un simple cuaderno de cuentas personal, o una hoja de cálculo, basta para detectar un concepto desconocido.
6. No reutilices tu número principal en todas partes. Cada formulario de concurso, cada sorteo en un centro comercial alimenta los ficheros que se revenden. Para los registros no esenciales, un segundo número en una tarjeta SIM prepago sin compromiso cumple perfectamente.
7. Nunca respondas «STOP» a un mensaje fraudulento. El STOP legal solo funciona para la prospección declarada de empresas identificadas. Ante un estafador, se limita a confirmar que el número está activo.
El caso particular de las personas vulnerables
Este tipo de estafa golpea de forma muy desigual. Las personas que viven solas, poco familiarizadas con las interfaces, o que usan su smartphone sin las gafas adecuadas, sencillamente nunca verán la mención en cuerpo 7. No es un despiste: es un diseño deliberadamente hostil.
Algunas medidas concretas, sin caer en el paternalismo:
- Activar la ampliación del texto y el contraste elevado en los ajustes de accesibilidad del teléfono.
- Para la lectura prolongada en pantalla, unas gafas lupa de gran aumento hacen legibles las menciones legales que las interfaces entierran a propósito.
- Acordar una regla sencilla e innegociable dentro de la familia: ninguna tarjeta bancaria se introduce desde un enlace recibido por SMS, nunca, sea cual sea el motivo.
- Establecer un límite de pago bajo en la tarjeta, ajustable de forma puntual.
Para quienes quieran comprender de forma más amplia los resortes de estas manipulaciones, varios libros de divulgación sobre ciberseguridad dirigidos al público general explican muy bien los mecanismos de ingeniería social sin exigir conocimientos técnicos.
¿Y si solo has hecho clic?
Hacer clic en el enlace sin rellenar nada es, en la inmensa mayoría de los casos, inofensivo en un smartphone actualizado. El riesgo real empieza al introducir información. Dicho esto, algunas precauciones razonables:
- Comprueba que tu sistema operativo está actualizado: es la protección más eficaz y la más descuidada.
- En Android, verifica que no se haya instalado ninguna aplicación fuera de la tienda oficial.
- Si has introducido tu dirección de correo electrónico, espera un aumento del spam; plantéate un gestor de contraseñas para compartimentar tus accesos si reutilizas la misma contraseña en todas partes.
- Vigila tus cuentas durante tres meses.
Lo que hay que recordar
El SMS regalo es la cara sonriente del smishing. No ataca a tu banco, ataca tu lectura. No apuesta por el pánico, apuesta por treinta segundos de entusiasmo y por una tipografía diseñada para ser ignorada.
La contramedida no es ni técnica ni complicada: ningún pago, ni siquiera de un euro, se introduce desde un enlace recibido por SMS. Si la oferta es real, también existirá al teclear tú mismo la dirección del sitio oficial en tu navegador. Y si solo existe en el SMS, nunca existió.
En caso de duda, reenvía el mensaje al 33700, denuncia en SignalConso y bórralo. Un regalo que exige tu tarjeta bancaria no es un regalo: es una factura disfrazada.
