Hay una categoría de estafas en las que el SMS no sirve para otra cosa que para hacer sonar tu teléfono una segunda vez. A veces el mensaje ni siquiera contiene un enlace. Simplemente dice:
«ALERTA: intento de pago de 749,00 € en ELEC-STORE no reconocido. Si no has realizado esta operación, no hagas nada, un asesor se pondrá en contacto contigo.»
Ningún enlace que pulsar, ningún formulario, nada que se parezca a las campañas de phishing de las que te han enseñado a desconfiar. Lo relees, buscas la trampa, no la encuentras. Tres minutos más tarde, suena el teléfono: y en la pantalla aparece el número de tu oficina, ese que tú mismo guardaste en tus contactos. Es ahí donde la estafa empieza de verdad.
La Banque de France, en los trabajos periódicos de su Observatoire de la sécurité des moyens de paiement, subraya desde hace varios ejercicios el avance de los fraudes llamados «por manipulación»: aquellos en los que el estafador no necesita ningún fallo técnico porque es la propia víctima quien valida las operaciones. El SMS ya no es el arma. Es el timbre.
Por qué este escenario ha sustituido al simple enlace trampa
Durante diez años, el smishing bancario funcionó con un modelo sencillo: un SMS, un enlace, una página de acceso falsa, credenciales recolectadas. Ese modelo se está agotando por tres razones muy concretas.
En primer lugar, los bancos han generalizado la autenticación reforzada de las operaciones. Robar tus credenciales ya no basta: hace falta además que alguien pulse «Validar» en la aplicación. Después, los navegadores y los sistemas móviles bloquean una proporción creciente de dominios falsos en cuestión de horas. Por último, el público ha interiorizado el reflejo de «no pincho en los enlaces de los SMS».
Los defraudadores han desplazado, por tanto, el problema: si de todos modos hace falta que la víctima valide ella misma, mejor obtener esa validación hablando. Es más lento, más artesanal, pero infinitamente más rentable. Un enlace trampa produce credenciales que se revenden por unos pocos euros. Una llamada exitosa produce una transferencia de cuatro o cinco cifras.
El SMS conserva un papel preciso en este dispositivo:
- crea la expectativa. No recibes una llamada inesperada, recibes la llamada anunciada. La desconfianza normal ante un número desconocido no se activa;
- instala el vocabulario. «Operación no reconocida», «servicio antifraude», «puesta a salvo»: las palabras del resto de la conversación ya están sobre la mesa;
- dispara la adrenalina. Setecientos cuarenta y nueve euros es suficiente para acelerar el pulso, y lo bastante poco para resultar creíble.
Que aparezca el número de tu banco ya no demuestra nada
El punto de inflexión, en casi todos los testimonios, es la pantalla de llamada. El número que aparece es el número real del servicio de atención al cliente, a veces incluso el número directo de la oficina. Algunas víctimas cuentan que comprobaron el número en el reverso de su tarjeta bancaria durante la conversación y que era idéntico.
No es magia, es spoofing telefónico: la falsificación del número llamante. El protocolo de encaminamiento de las llamadas se diseñó en una época en la que no se preveía que alguien mintiera sobre su identidad, y la información del «número llamante» sigue siendo, en lo esencial, declarativa.
Francia ha endurecido el marco con el mecanismo de autenticación de números (llamado MAN) impuesto por la Arcep a los operadores desde 2024-2025: las llamadas procedentes del extranjero que muestran un número fijo francés no autenticado deben bloquearse. El dispositivo ha hecho caer una parte de la captación fraudulenta, pero tiene puntos ciegos: los números móviles franceses usados legítimamente en itinerancia, los rangos de numeración alquilados a operadores poco escrupulosos, las llamadas realizadas desde el territorio nacional a través de pasarelas.
Recuerda una regla sencilla, válida en 2026 igual que en 2020: un número mostrado no es una identidad. Es una etiqueta pegada en el sobre por quien lo envía.
Lo mismo ocurre con el hilo de conversación de los SMS. Un mensaje fraudulento que utiliza el mismo remitente alfanumérico que tu banco se coloca dentro de la conversación existente, bajo los mensajes auténticos, con el historial real encima. La ilusión es total.
El guion, fase por fase
Las llamadas fraudulentas siguen guiones notablemente estables. Conocer su estructura vale más que cualquier lista de «señales de alerta», porque la estructura no cambia.
Fase 1 — La toma de control mediante la legitimidad
El interlocutor se presenta con un nombre, un apellido, una «matrícula». Te da información que solo tu banco se supone que posee: los cuatro últimos dígitos de tu tarjeta, tu oficina, a veces uno o dos recibos recientes. Esos datos proceden de filtraciones de bases comerciales, revendidas al peso. No demuestran nada, pero compran tu confianza en diez segundos.
Fase 2 — La inversión de los papeles
No te pide nada. Al contrario, te protege. Es el vuelco más eficaz del guion: la víctima deja de preguntarse «con quién estoy hablando» para preguntarse «cómo salgo de esta». Se pasa de la vigilancia a la cooperación.
Fase 3 — La prueba de lealtad
«Nunca le pediré su código, usted ya lo sabe, ¿verdad?». Esta frase, pronunciada por el propio estafador, desarma por completo. Reproduce palabra por palabra la consigna oficial de los bancos, y enunciarla hace que clasifiques a tu interlocutor en el bando correcto.
Fase 4 — La «puesta a salvo»
Es el corazón de la estafa. Hay que poner tus fondos a resguardo, dice, en una «cuenta puente», «cuenta de depósito» o «cuenta técnica» mientras se bloquea la tarjeta comprometida. Vas a recibir una notificación en tu aplicación: es la anulación de la operación fraudulenta, basta con validarla. En realidad, estás validando una transferencia saliente, el alta de un beneficiario o el registro del teléfono del estafador en lugar del tuyo.
Fase 5 — El bloqueo del tiempo
«Quédese en línea, no cuelgue, el procedimiento caduca en cuatro minutos». Mientras estés al teléfono, no puedes llamar a tu banco ni pedir la opinión de alguien cercano. La presión temporal no cumple ninguna función técnica: sirve únicamente para impedirte comprobar.
Lo que no tiene nada que ver con la ingenuidad
Hay que decirlo con claridad, porque la vergüenza es el principal obstáculo para denunciar: estas estafas no apuntan a personas crédulas. Apuntan a personas disponibles. Un directivo en una reunión, un padre vigilando a un hijo, un autónomo en una obra, alguien que acaba justamente de hacer una compra en línea. El objetivo no es una persona, es un momento de atención dividida.
Los guiones los escriben equipos que los prueban en miles de llamadas y conservan lo que convierte. Frente a un profesional de la persuasión que trabaja ocho horas al día, la inteligencia no protege. Solo protege el procedimiento: una regla decidida en frío y aplicada mecánicamente en caliente.
El procedimiento que lo corta de raíz, en cuatro gestos
1. Cuelga. Siempre. No existe ninguna situación bancaria, ninguna, que exija permanecer en línea. Un asesor de verdad entenderá perfectamente que le devuelvas la llamada. Un falso asesor te suplicará que no cuelgues: es la mejor prueba que existe.
2. Devuelve la llamada, pero no de inmediato y no desde la misma llamada. Dos trampas clásicas. Devolver la llamada al número que acaba de llamar no demuestra nada: el defraudador puede haber suplantado un número que no controla, y acabarás hablando con el banco real, lo que te tranquilizará erróneamente sobre la primera llamada. Sobre todo, en algunas líneas fijas la línea puede permanecer abierta unos segundos si quien llama no cuelga: marca el número desde otro aparato o espera un minuto entero. Utiliza únicamente el número que figura en el reverso de tu tarjeta o en tu aplicación.
3. Abre tú mismo tu aplicación y lee el texto completo de cada notificación antes de validar. Las aplicaciones bancarias francesas muestran ya el objeto real de la operación: «Alta del beneficiario X», «Transferencia de 4.200 €», «Nuevo dispositivo de confianza». Ese texto es la única verdad del intercambio. Léelo despacio, en voz alta si hace falta.
4. Anótalo todo, en el momento. Hora de la llamada, número mostrado, nombre facilitado, importes anunciados. Una captura de pantalla del SMS inicial vale más que un recuerdo. Si el asunto llega a la denuncia, esos elementos marcarán la diferencia.
Para quienes gestionan sus cuentas desde un ordenador familiar, una lista de comprobación plastificada junto al puesto —o simplemente una ficha de cartón escrita a mano y metida en un portadocumentos rígido— tiene un efecto desproporcionado: convierte un reflejo emocional en un gesto administrativo.
El caso particular de los cuidadores familiares
Este escenario resulta especialmente temible con las personas mayores, por una razón que nada tiene que ver con la lucidez: se educaron en una época en la que se contestaba al teléfono y se confiaba en una voz que se presentaba. Negarse a colgarle a alguien en las narices es una cortesía profundamente arraigada.
Algunas adaptaciones concretas, sin infantilizar:
- instalar un teléfono fijo de teclas grandes con filtrado de llamadas y lista blanca, que deje pasar los números conocidos y envíe los demás a un mensaje;
- acordar una contraseña familiar, una palabra que solo vosotros conozcáis, para pedírsela a cualquiera que llame en nombre de una institución;
- colgar en la pared, junto al teléfono, la frase que hay que decir: «Nunca gestiono nada por teléfono, llamo yo a mi oficina»; basta con un simple bloc de notas imantado pegado en la nevera;
- comprobar que el límite de transferencias en línea esté fijado en un importe bajo y que haya que acudir a la oficina para elevarlo.
El límite es probablemente la medida más eficaz de toda esta lista. No depende de ninguna vigilancia y funciona incluso en un día de cansancio.
Y si ya ha ocurrido: lo que dice la ley
El código monetario y financiero francés (artículos L133-18 y siguientes) establece un principio contundente: en caso de operación de pago no autorizada, el banco reembolsa de inmediato, salvo fraude o negligencia grave del cliente. Toda la batalla jurídica gira, por tanto, en torno a dos palabras: «autorizada» y «negligencia grave».
La posición de los tribunales ha evolucionado en un sentido más bien favorable a las víctimas. La Cour de cassation, en varias resoluciones dictadas desde 2023, ha considerado que haber comunicado un código tras ser engañado por un dispositivo fraudulento sofisticado —en particular cuando se había suplantado el número del banco— no constituye automáticamente una negligencia grave. La carga de la prueba recae en el banco, que debe demostrar con precisión el incumplimiento y no limitarse a afirmar que el cliente «lo validó».
Eso no significa un reembolso automático. Significa que una negativa de principio se puede impugnar.
Las etapas, por orden:
| Etapa | Dónde | Plazo que respetar |
|---|---|---|
| Bloquear la tarjeta | Número de urgencia del banco, después confirmación por escrito | Inmediatamente |
| Reclamar por escrito | Carta certificada a la oficina, reclamando el reembolso conforme al L133-18 | 13 meses como máximo |
| Presentar denuncia | Comisaría, gendarmería o denuncia en línea | Sin esperar |
| Denunciar el SMS | Plataforma 33700 (reenviando el mensaje) | Inmediatamente |
| Acudir al defensor | Defensor del cliente bancario, gratuito | Tras la negativa escrita del banco |
| Alertar | Info Escroqueries 0 805 805 817, Cybermalveillance.gouv.fr | En cualquier momento |
Un consejo práctico que suele descuidarse: envía la carta de reclamación aunque un asesor te haya dicho de palabra que «el expediente está en trámite». Lo oral no deja rastro, y el plazo de trece meses corre. Un paquete de sobres prefranqueados para envío certificado o simplemente un cuaderno de seguimiento de la correspondencia evita perder esas fechas.
Tres ideas preconcebidas que hay que tirar a la basura
«Mi banco nunca me llamará.» Falso, y es precisamente eso lo que hace posible la estafa. Los servicios antifraude llaman de verdad, a menudo desde números desconocidos. La regla correcta no es «mi banco no llama», sino «nunca gestiono nada durante una llamada entrante».
«Un SMS sin enlace es inofensivo.» Es exactamente el modelo descrito aquí. La ausencia de enlace es un argumento de credibilidad, no una prueba de inocencia.
«El 2FA me protege.» La autenticación de dos factores protege frente a quien roba tus credenciales, no frente a quien te pide amablemente que pulses «Validar». Todo el esfuerzo de los defraudadores se concentra ahora en ese último gesto.
Lo que hay que tener presente
La estafa por manipulación no se combate con un antivirus, un filtro ni una aplicación. Se combate con una frase aprendida de memoria y un límite de transferencia razonable.
La frase es esta: «Voy a colgar y a llamar a mi banco al número que figura en el reverso de mi tarjeta.» Dicha con calma, pone fin al 100 % de las llamadas fraudulentas. Ningún estafador se queda en línea después de eso. Ningún asesor de verdad se ofende.
Para profundizar, los recursos públicos franceses son sólidos y gratuitos: las fichas de actuación de Cybermalveillance.gouv.fr, las publicaciones del Observatoire de la sécurité des moyens de paiement de la Banque de France, las alertas de la DGCCRF y el servicio 33700 para denunciar los SMS fraudulentos con un simple reenvío. Una guía práctica de ciberseguridad para particulares en papel también puede servir de apoyo para hablar del tema en familia, sobre todo con adolescentes o padres mayores: el asunto suele entrar mejor a través de un libro que en forma de recomendación frontal.
Y si ya has validado algo: no pierdas ni una hora avergonzándote. Esa hora cuenta para bloquear una transferencia.
