Existe una diferencia fundamental entre el SMS que te anuncia que tu cuenta bancaria está bloqueada y el que te reclama 2,80 € de peaje impagado. El primero dispara la alarma: es grande, es grave, es sospechoso. El segundo no dispara absolutamente nada. Es pequeño, plausible, casi aburrido; y precisamente por eso se ha convertido, en 2026, en una de las campañas de smishing más rentables de Francia.
«Ha circulado por la A10 el 03/09 sin paso validado. Importe adeudado: 2,80 €. Regularice en 48 h para evitar un recargo de 90 €.»
Nadie entra en pánico al leer eso. Se suspira. Uno piensa que habrá pasado mal por el arco. Y paga, porque tres euros no valen media hora de investigación. Salvo que el formulario no pide tres euros: pide el número de tu tarjeta, su fecha de caducidad, su código de seguridad y, a menudo, un código recibido por SMS unos minutos después. En ese momento ya no son 2,80 € lo que se va.
Por qué los conductores concentran tantas campañas
El conductor es un objetivo ideal por una razón muy sencilla: recibe legítimamente muchos mensajes cortos relacionados con su coche. Dispositivo de telepeaje, notificación de multa, tarifa de estacionamiento posterior, recordatorio de la ITV, aviso del seguro, punto de recarga, aplicación de aparcamiento. El canal SMS ya está saturado de mensajes auténticos e impersonales, lo que hace que el falso resulte casi indetectable con una simple lectura.
A ello se suman tres factores propios del momento.
La indefinición normativa. Entre la desaparición progresiva de las barreras físicas en varios ejes de autopista, el paso al peaje de flujo libre, en el que se paga después de circular, y la generalización de las tarifas de estacionamiento posterior gestionadas por empresas privadas, el automovilista ya no sabe muy bien quién tiene derecho a reclamarle dinero ni en qué plazo. El flujo libre, en particular, ha creado una situación inédita: un mensaje que reclama un pago unos días después de un trayecto puede ser perfectamente legítimo. Los estafadores se colaron por esa grieta ya en el primer trimestre de 2026.
Las filtraciones de datos. Las bases que circulan por los mercados paralelos contienen a menudo mucho más que un número de teléfono: nombre, código postal, a veces la marca del vehículo o parte de la matrícula. Un mensaje que muestra «su vehículo con matrícula XX-123-XX» se vuelve creíble al instante, aunque el estafador jamás haya visto tu coche.
El importe pequeño. Esa es la verdadera innovación. Una campaña que reclama 400 € de multa obtiene una tasa de clics baja y muchas denuncias. Una campaña que reclama 2,80 €, 4,10 € o 17,50 € pasa por debajo del radar emocional y del radar de los servicios antifraude bancarios, que dejan pasar los micropagos sin fricción.
Las cuatro familias de mensajes que circulan
1. El peaje no abonado
Es la campaña más visible desde la primavera de 2026, sobre todo mediante la suplantación de marcas de telepeaje muy conocidas como Ulys, Bip&Go o Ulys/Vinci. El mensaje habla de un paso no validado, un dispositivo defectuoso o un trayecto en flujo libre sin regularizar. El importe es irrisorio, y la amenaza de recargo viene con cifra y fecha.
Rasgo distintivo: el enlace nunca apunta al dominio oficial del operador. Se encuentran variantes del tipo ulys-regularisation.com, peage-flux-libre.info, paiement-vinci-autoroutes.net. Ningún operador francés gestiona sus cobros en un dominio paralelo creado la semana anterior.
2. La falsa multa de la ANTAI
La Agence nationale de traitement automatisé des infractions (ANTAI) es el organismo oficial que envía las notificaciones de multa en Francia. Es objeto de suplantación masiva. El SMS anuncia un exceso de velocidad, una infracción detectada por radar o una multa con recargo inminente.
Punto capital que conviene retener: la ANTAI no envía notificaciones de multa iniciales por SMS. Una notificación de multa llega por correo postal a la dirección que figura en el permiso de circulación, o al área personal del sitio oficial antai.gouv.fr. Un SMS surgido de la nada que reclama el pago de una multa que nunca has recibido por carta es, en la inmensa mayoría de los casos, un fraude. Cybermalveillance.gouv.fr lo recuerda con regularidad en sus alertas sobre smishing.
3. La tarifa de estacionamiento posterior
Desde la despenalización del estacionamiento de pago, el famoso «FPS» lo gestionan los ayuntamientos o sus empresas adjudicatarias. Es un terreno de juego perfecto para el fraude, porque las condiciones varían de una ciudad a otra y poca gente sabe qué aspecto tiene un aviso auténtico. El mensaje alude a un estacionamiento no pagado en una ciudad por la que efectivamente has pasado: unas veces por simple probabilidad, otras gracias a datos comprados.
4. El reembolso invertido
Variante más retorcida: no te reclaman nada, te deben algo. «Debido a un error de facturación, le corresponde un reembolso de 38,40 €. Indique sus datos bancarios para percibirlo.» El mecanismo psicológico se invierte: ya no tienes miedo, estás contento. Y le entregas un número de cuenta, o incluso de tarjeta, a un desconocido.
Lo que el mensaje intenta conseguir realmente
Hay que distinguir tres objetivos, porque la reacción adecuada no es la misma.
| Objetivo | Lo que pide el formulario | Consecuencia |
|---|---|---|
| Pago directo | Tarjeta bancaria por un importe «pequeño» | Cargo único, a veces suscripción oculta |
| Captura de la tarjeta | Tarjeta + código de seguridad + código de validación | Compras fraudulentas hasta el límite |
| Perfilado | Nombre, dirección, matrícula, correo electrónico | Reventa y campañas dirigidas posteriores |
El tercer caso es el más infravalorado. Un formulario que no pide dinero no es inofensivo: enriquece una ficha que servirá para una estafa del falso asesor bancario dos meses después, esa sí mucho más costosa.
La verificación en treinta segundos
La buena noticia es que existe un método sencillo que funciona para las cuatro familias de mensajes, sin ninguna competencia técnica.
1. No hagas clic en nada. Ninguna excepción. El enlace es el único punto de entrada del ataque; mientras no lo abras, no pasa nada.
2. Entra por el canal oficial que ya conoces. Para una multa: antai.gouv.fr, tecleado a mano en la barra de direcciones. Para un telepeaje: la aplicación o el sitio de tu operador, aquel en el que firmaste el contrato. Para un FPS: la web oficial del ayuntamiento. Si el importe se debe realmente, aparecerá en tu área personal. Si no, el mensaje era falso.
3. Fíjate en el importe y en el plazo. La urgencia cifrada en 24 o 48 horas es una firma inconfundible. La administración francesa funciona con plazos de varias semanas y con cartas.
4. Comprueba la coherencia con tu vida real. ¿Has circulado por ese eje? ¿Has aparcado en esa ciudad? Un mensaje que menciona una autopista por la que nunca has pasado se descalifica solo.
5. Denuncia. El 33700 sigue siendo el dispositivo nacional de denuncia de SMS fraudulentos: reenvía el mensaje al 33700 y después envía el número del remitente cuando te lo pidan. El servicio es gratuito. En paralelo, la plataforma Signal Conso y el sitio cybermalveillance.gouv.fr recopilan las campañas en curso.
Regla general: nunca te corresponde a ti demostrar que el mensaje es falso. Es al mensaje a quien le toca demostrar que es verdadero, y solo puede hacerlo por un canal que hayas elegido tú mismo.
El caso particular del conductor en carretera
La vigilancia cae en picado cuando uno va de viaje. Se lee el mensaje en un área de servicio, entre dos etapas, cansado y con un 12 % de batería. Es justamente el momento al que apuntan las campañas, que concentran sus envíos en los viernes por la tarde, los inicios de vacaciones y las grandes operaciones salida.
Algunos reflejos materiales reducen el riesgo con más eficacia que cualquier consejo abstracto:
- Llevar un soporte de móvil para coche bien sujeto, para no tener que consultar nunca un mensaje con prisas o mientras se conduce: un SMS leído con el coche parado es un SMS mejor evaluado.
- Llevar una batería externa para el smartphone: un teléfono descargado significa no poder comprobar nada en la web oficial y, por tanto, la tentación de «solucionarlo rápido» desde el enlace recibido.
- Guardar la documentación del vehículo —permiso de circulación, justificante del seguro, parte amistoso— en un único portadocumentos para coche. Cuando sabes dónde están tus papeles, verificas una matrícula en diez segundos en lugar de fiarte de la cifra que aparece en el SMS.
Nada de esto es espectacular, pero la estafa del falso peaje no se juega en el terreno técnico: se juega en los cinco segundos en los que decides verificar o no.
Si ya has hecho clic y has pagado
El error es frecuente y no tiene nada de vergonzoso. Lo único que cuenta es la rapidez.
En la primera hora: llama a tu banco o bloquea la tarjeta desde su aplicación. El número de urgencia interbancario para bloquear la tarjeta en Francia es el 0 892 705 705. Pide explícitamente el bloqueo de la tarjeta, no solo la reclamación del cargo.
En el mismo día: cambia las contraseñas de las cuentas que comparten la dirección de correo utilizada en el formulario, empezando por el propio buzón. Si has transmitido un código recibido por SMS, da por comprometida la cuenta asociada. Un gestor de contraseñas o, en su defecto, un cuaderno de contraseñas de papel guardado fuera de la vista evita reciclar la misma combinación en todas partes, que es exactamente lo que los defraudadores explotan después.
En la semana: presenta denuncia. La predenuncia en línea es posible en el sitio del Ministerio del Interior francés, pero acudir físicamente a comisaría o gendarmería sigue siendo más eficaz para obtener un atestado que el banco pueda utilizar. Conserva capturas de pantalla del SMS, la marca horaria, el número del remitente y el extracto del cargo.
La ley de tu parte: el artículo L. 133-18 del Código monetario y financiero francés prevé el reembolso inmediato de una operación de pago no autorizada denunciada dentro de plazo. El banco puede negarse alegando negligencia grave del cliente, pero la Cour de cassation ha recordado en varias ocasiones, especialmente en sentencias de 2023 y 2024, que la mera transmisión de datos a raíz de un mensaje fraudulento que imita a un organismo oficial no basta para acreditar esa negligencia grave. En caso de negativa, acude al defensor del cliente bancario y después, si es necesario, al Banco de Francia.
Reducir la superficie de ataque de antemano
No se puede impedir que un estafador envíe un SMS, pero sí reducir la probabilidad de ser objetivo y, sobre todo, la de picar.
- Compartimentar tus datos de contacto. Usar una dirección de correo secundaria para registrarse en servicios de aparcamiento, recarga o coche compartido limita la correlación entre filtraciones.
- Activar el filtro antispam de SMS de tu teléfono. Tanto Android como iOS ofrecen un filtrado de remitentes desconocidos, imperfecto pero útil.
- No guardar nunca la tarjeta bancaria en las aplicaciones de aparcamiento donde no sea imprescindible. Una tarjeta virtual de un solo uso, que ofrecen muchos bancos, limita los daños de forma mecánica.
- Avisar a tu entorno. Los conductores más expuestos suelen ser los que utilizan poco lo digital y que, ante un SMS que menciona una administración, prefieren pagar «para quedarse tranquilos». Una guía de ciberseguridad para el día a día dejada al alcance de la mano en una familia hace más que un largo discurso.
Lo que hay que recordar
El falso SMS de peaje o de multa no se diseñó para engañar a los crédulos. Se diseñó para engañar a la gente con prisa, con un importe lo bastante bajo como para no merecer una comprobación. Es una estafa de volumen: no gana mucho por víctima, pero alcanza a cientos de miles de números en cada oleada.
Su debilidad es constante y no va a cambiar: necesita que hagas clic en su enlace. Una administración nunca te pide que pagues a través de una URL recibida por mensaje; siempre te deja la posibilidad de acudir por ti mismo a su web oficial. El día en que ese reflejo se vuelva automático —verificar en otro sitio, nunca dentro del mensaje—, la campaña se derrumba, sea cual sea su grado de sofisticación.
Y si la duda persiste: un aviso auténtico puede esperar perfectamente treinta minutos de verificación. Una estafa, no. En eso consiste toda la diferencia.
