Son las 17:40 de un viernes. Estás recogiendo tus cosas. El teléfono vibra, un número desconocido, un mensaje breve:
«Hola, soy Laurent. Estoy en una reunión y no puedo contestar llamadas. Te necesito para una operación confidencial, ¿estás disponible?»
Laurent es el nombre de tu director general. El mensaje es educado, sin faltas, sin enlaces, sin archivos adjuntos. No pide nada, todavía. Solo pregunta si estás ahí. Y precisamente porque no pide nada, la mayoría de la gente responde «sí».
Durante mucho tiempo, el smishing dirigido a empresas se trató como un problema del departamento informático, resuelto a base de filtros en el correo corporativo. En 2026 ha cambiado de puerta de entrada: llega por el teléfono móvil de los empleados, un terreno donde la empresa no filtra nada, donde no existen alertas de seguridad y donde el mensaje aterriza entre los SMS del dentista y los del colegio.
Por qué el móvil se ha convertido en el eslabón elegido
Una empresa, incluso pequeña, protege bastante bien sus buzones de correo. Antispam, banner de «remitente externo», bloqueo de archivos adjuntos ejecutables, autenticación de varios factores: el correo fraudulento tiene bastantes probabilidades de ser descartado o señalado antes de que alguien lo lea.
El SMS profesional, en cambio, no existe realmente como canal regulado. En la inmensa mayoría de las organizaciones, los intercambios internos urgentes pasan por el móvil personal o por un móvil de empresa sin supervisión. El resultado:
- Ningún filtrado comparable al del correo electrónico.
- Ningún aviso que señale un remitente externo o inusual.
- Una pantalla pequeña, donde se lee deprisa, a menudo de pie, a menudo caminando.
- Una norma social de brevedad: un SMS de tres líneas sin fórmula de cortesía no sorprende a nadie, mientras que un correo equivalente parecería sospechoso.
A esto se suma la enorme disponibilidad de información corporativa. Un estafador ya no necesita infiltrarse en nada: los organigramas públicos, las redes profesionales, las notas de prensa, los avisos legales y las ofertas de empleo bastan para reconstruir quién dirige, quién gestiona las nóminas, quién firma las transferencias y quién acaba de incorporarse al equipo. El recién llegado, por cierto, es un objetivo estadísticamente privilegiado: aún no conoce las costumbres de la casa y no se atreverá a decir que no.
Los cuatro escenarios más habituales
1. El fraude del CEO, versión SMS
Es el escenario descrito más arriba. Nunca empieza con una petición de dinero. Empieza con un contacto inocuo — «¿estás disponible?», «he cambiado de número, apunta este»— cuyo único objetivo es obtener una primera respuesta. Esa respuesta cambia por completo la relación: desde el momento en que has escrito «sí, dime», estás dentro de una conversación, y una conversación crea la obligación implícita de seguir respondiendo.
La continuación, precisamente, rara vez llega en forma de transferencia directa. Suele tomar caminos más discretos: compra de tarjetas regalo digitales «para un cliente», envío urgente del escaneo de un documento, entrega de una lista de contactos o validación de un pago ya «preparado por la gestoría».
La policía nacional y el organismo público Cybermalveillance.gouv.fr documentan desde hace años esta familia de estafas conocida como «falsa orden de transferencia». Su versión móvil no es más que una adaptación al canal más rápido.
2. El falso servicio informático
Aquí el mensaje imita un ticket o una alerta técnica:
«[Departamento IT] Su sesión de Microsoft caduca hoy. Vuelva a conectarse para evitar la suspensión de su cuenta: …»
Este escenario busca la contraseña y, sobre todo, el código de validación de un solo uso. Su variante más eficaz en 2026 combina SMS y llamada: primero recibes el mensaje y después un interlocutor muy tranquilo te explica que está «gestionando el ticket» y te pide que le leas el código que acabas de recibir. Ese código es el que el propio defraudador ha activado al intentar acceder a tu cuenta profesional.
3. El cambio de datos bancarios
La versión contable de la estafa. Un mensaje se presenta como procedente de un proveedor habitual y anuncia un cambio de cuenta bancaria, a veces con una referencia de factura exacta, obtenida en una intrusión anterior en el correo del proveedor real. El SMS sirve de recordatorio o de confirmación de un correo fraudulento: recibir la misma información por dos canales distintos crea una sensación de coherencia tremendamente eficaz.
4. El falso mensaje de Recursos Humanos
«Actualización obligatoria de su expediente de empleado antes del 15/09: certificado, datos bancarios y documento de identidad a subir aquí.»
Esta campaña apunta directamente al empleado, no a la empresa. El objetivo es recopilar una identidad completa: justificante, cuenta bancaria, número de la seguridad social. Material suficiente para abrir créditos al consumo, desviar una devolución o alimentar un caso de suplantación de identidad que reaparecerá meses después.
Lo que hace que estos mensajes sean difíciles de detectar en 2026
Tres cambios han derribado las señales de alerta habituales.
La calidad del idioma. Las faltas de ortografía y las traducciones aproximadas ya no son un indicio fiable. Los textos son ahora fluidos, correctamente puntuados y adaptados al vocabulario del sector al que se dirigen.
El número que aparece. La suplantación del identificador de remitente permite mostrar un nombre en lugar de un número, a veces dentro del hilo de conversación de un contacto ya existente. La Arcep y la Fédération française des télécoms han impulsado la puesta en marcha del mecanismo de autenticación de números —el «MAN»—, que limita el fenómeno en las llamadas, pero el ecosistema de los remitentes alfanuméricos sigue siendo imperfectamente estanco.
El conocimiento del contexto. El defraudador cita un nombre de proyecto real, un plazo real, un nombre de cliente real. Esa información rara vez procede de un hackeo: procede de las publicaciones de la propia empresa.
El buen reflejo ya no es «¿es creíble este mensaje?», sino «¿es normal esta petición por este canal?». Que un directivo pida una operación financiera por SMS es anormal, aunque todo lo demás parezca perfecto.
La regla única que mejor protege: devolver la llamada por un canal elegido por ti
Todas las recomendaciones caben en una frase: nunca se verifica una petición usando los datos de contacto que aporta la propia petición.
En la práctica:
- No respondas al SMS, ni siquiera con un «¿quién eres?». Cualquier respuesta confirma que el número está activo y que lo lees.
- Llama a la persona al número que tú ya tienes en tu agenda, o a través del directorio interno, o asomando la cabeza por la puerta del despacho de al lado.
- Si la petición tiene que ver con dinero, aplica la regla del doble control: dos personas, dos canales distintos, ninguna excepción por urgencia.
- Denuncia el mensaje al 33700, el servicio nacional francés de notificación de SMS no deseados, y reenvíalo a tu responsable informático o a la dirección.
- Guarda una captura de pantalla fechada: servirá si hay que presentar una denuncia.
La urgencia es la única herramienta verdaderamente imprescindible del defraudador. Un estafador que no puede meter prisa a su víctima se queda sin guion. Por eso la defensa más eficaz dentro de una empresa no es técnica, sino cultural: establecer de forma explícita que ninguna petición urgente necesita resolverse en menos de una hora y que nadie será nunca reprendido por haber verificado.
Separar lo profesional de lo personal, sin complicarse la vida
Parte del problema viene de la mezcla de usos. Cuando el mismo teléfono recibe los SMS del banco, los de la guardería y los del trabajo, todo se parece y nada se verifica.
Existen varias soluciones sencillas, sin necesidad de una política corporativa pesada:
- El segundo número. Un teléfono con doble SIM, o una eSIM secundaria dedicada al trabajo, permite compartimentar. Un mensaje profesional que llega a la línea personal se vuelve inmediatamente sospechoso: es una señal gratuita y muy fiable.
- El perfil de trabajo. Android ofrece un espacio de trabajo separado; iOS permite modos de concentración distintos. Las notificaciones profesionales dejan de aparecer por la noche, lo que reduce mecánicamente la ventana de ataque de los mensajes enviados fuera del horario laboral.
- La agenda de contactos al día. Un directorio completo y riguroso, con foto si es posible, convierte un número desconocido en una señal de alerta. Es la medida menos costosa y la más olvidada.
Para los empleados que manejan cuentas sensibles —contabilidad, nóminas, administración de sistemas—, sustituir el código recibido por SMS por una llave de seguridad física FIDO2 cambia la naturaleza del riesgo: un código se le puede dictar por teléfono a un estafador, una llave física no. Es hoy la única protección que resiste el escenario del «falso soporte informático que te llama».
En la misma línea, un gestor de contraseñas evita reutilizar las mismas credenciales entre un servicio personal comprometido y un acceso profesional. Y en los portátiles usados en espacios abiertos, en el tren o en coworkings, un filtro de privacidad para pantalla impide la lectura lateral de esa misma información: los defraudadores más organizados también recopilan datos fuera de línea.
Lo que dice el marco legal francés
Tres puntos que todo empleado debería conocer.
El móvil personal no puede ser vigilado. Si utilizas tu propio teléfono para trabajar, la empresa no puede instalar en él herramientas de control sin un marco estricto e información previa. La CNIL recuerda con regularidad que la implantación de dispositivos de seguridad en equipos personales exige transparencia, proporcionalidad y consulta a los órganos de representación. Por tanto, un empleado víctima de smishing no tiene por qué temer que se examine su teléfono privado.
Avisar no es una falta. Muchos empleados callan después de haber hecho clic, por vergüenza o por miedo a la sanción. Es el peor escenario posible: el tiempo transcurrido entre el clic y el aviso es la variable que determina la magnitud del daño. Una empresa que sanciona el aviso solo consigue dejar de estar informada.
El reembolso bancario depende del canal. El código monetario y financiero francés prevé el reembolso de las operaciones de pago no autorizadas, pero una operación que la propia víctima ha validado en su aplicación entra en otro régimen, el de la negligencia grave, valorada caso por caso. La jurisprudencia de la Cour de cassation ha considerado en varias ocasiones que la sofisticación del procedimiento —en particular la suplantación del número de teléfono del banco— podía descartar esa negligencia grave. Dicho de otro modo: la calidad de la imitación juega a favor de la víctima, siempre que pueda documentarla.
Un plan sencillo para colgar en la empresa
| Situación | Reflejo inmediato | A evitar por completo |
|---|---|---|
| SMS de un directivo desde un número desconocido | Llamar al número del directorio interno | Responder «sí» o «¿eres tú?» |
| Petición de un código recibido por SMS | Colgar, sin excepciones | Dictar el código, ni siquiera a un «técnico» |
| Cambio de cuenta bancaria anunciado por mensaje | Llamar al proveedor al número de una factura antigua | Validarlo basándose solo en el mensaje |
| Enlace a un portal de RR. HH. o informático | Abrir el portal desde un favorito ya guardado | Hacer clic desde el SMS |
| Mensaje en el que ya se ha hecho clic | Avisar al departamento IT en menos de una hora y cambiar la contraseña | Esperar a ver si tiene consecuencias |
Para las organizaciones que no tienen departamento informático, una guía práctica de ciberseguridad para pymes y microempresas en papel, dejada en la sala de descanso, suele lograr más que una circular interna: aporta un vocabulario común y legitima el hecho de hacer preguntas.
El fondo del problema
El smishing dirigido a empresas no se basa en ninguna proeza técnica. Se basa en una organización del trabajo donde la urgencia se valora, donde el móvil personal absorbe flujos profesionales y donde decir «voy a comprobarlo» todavía se percibe como falta de reactividad.
Las campañas de 2026 explotan esa zona gris con una eficacia temible, porque no atacan sistemas, sino hábitos. La buena noticia es que los hábitos cambian más rápido que una infraestructura: decidir de forma colectiva que ninguna petición financiera se tramita por SMS basta para dejar inoperante toda una familia de estafas.
Y si el mensaje ya te ha hecho dudar, quédate con esta regla: un directivo real, un proveedor real, un servicio informático real siempre entenderán que te hayas tomado cinco minutos para comprobarlo. Un estafador, nunca.
Recursos útiles: notificación de SMS fraudulentos al 33700; plataforma Cybermalveillance.gouv.fr para diagnóstico y asistencia; sistema Perceval (service-public.fr) para usos fraudulentos de tarjeta bancaria; Info Escroqueries en el 0 805 805 817 (llamada gratuita).
