Tres semanas después de perder 2.400 € en una falsa transferencia bancaria, Claire recibe este SMS:
«Sra. MOREAU, su expediente n.º RF-2026-8841 ha sido seleccionado por nuestra unidad de recuperación de víctimas de fraude bancario. Importe identificable: 2.380 €. Llame al 01 84 XX XX XX o consulte: recouv-victimes-fr.net»
El importe casi coincide. El nombre es correcto. La palabra «expediente» evoca el número de denuncia que efectivamente presentó. Y, sobre todo: Claire quiere creer desesperadamente que ese dinero no está perdido.
Llamará. Pagará 380 € de «gastos de apertura de expediente». Después, 750 € de «fianza de desbloqueo». No volverá a ver ni los 2.400 € iniciales ni los 1.130 € adicionales.
Este mecanismo tiene un nombre en el vocabulario policial internacional: la recovery room, o estafa de recuperación de fondos. En Francia, la Autorité des marchés financiers (AMF) alerta sobre este esquema desde hace varios años, inicialmente en el ámbito de las inversiones fraudulentas. En 2026 ha basculado masivamente hacia el SMS y ahora apunta a todas las víctimas de estafas, no solo a los inversores engañados.
Por qué los estafadores vuelven a las mismas víctimas
Es lo más duro de escuchar y, sin embargo, es el punto central: haber sido víctima una vez aumenta estadísticamente la probabilidad de volver a ser objetivo.
Se combinan tres razones.
1. Las listas de víctimas circulan. Cuando una campaña de smishing tiene éxito —formulario rellenado, tarjeta introducida, llamada atendida—, el operador anota el resultado. Esos ficheros, llamados «sucker lists» en la jerga anglosajona, tienen un valor de mercado superior al de una lista de números en bruto, porque identifican a personas que ya han dado el paso. Se revenden entre grupos criminales, exactamente igual que cualquier fichero comercial de prospección.
2. El perfil psicológico es conocido. El estafador no sabe solo que tienes un número de móvil: sabe qué guion funcionó contigo, qué importe aceptaste pagar y a qué hora respondes. Es segmentación por comportamiento aplicada al fraude.
3. La víctima está en un estado emocional explotable. Vergüenza, rabia, sensación de injusticia, necesidad de reparación. La perspectiva de «recuperar» actúa como una palanca mucho más potente que el miedo a una multa o el cebo de un regalo. Cybermalveillance.gouv.fr y la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) insisten con regularidad en este punto: las campañas secundarias explotan la angustia creada por la primera.
En otras palabras: la primera estafa produce la materia prima de la segunda.
Anatomía del SMS de falsa recuperación
Estos mensajes no se parecen a los SMS de paquetes o de multas. Son más sobrios, más administrativos, a menudo más largos. Algunos marcadores recurrentes observados en 2026:
| Elemento | Lo que dice el SMS | Lo que vale en realidad |
|---|---|---|
| Número de expediente | «Expediente n.º RF-2026-8841» | Generado aleatoriamente, sin ninguna base |
| Importe | Cercano pero no idéntico al importe perdido | Estimación a partir de datos revendidos o de una horquilla plausible |
| Entidad citada | «unidad de recuperación», «mediador», «despacho autorizado» | Ninguna existencia legal con ese nombre |
| Urgencia | «en menos de 72 h antes del cierre» | Impide reflexionar y verificar |
| Canal de contacto | Número con prefijo 01/09 o enlace web | Centro de llamadas offshore, web desechable |
Algunos mensajes van más lejos y usurpan nombres reales: Banque de France, AMF, Tracfin, «servicio nacional de lucha contra el fraude», incluso un despacho de abogados existente cuyo nombre ha sido copiado. La usurpación de identidad de organismos públicos sigue siendo uno de los resortes más eficaces del smishing: el mismo mecanismo que el spoofing de remitente, pero aplicado a una promesa de reparación en lugar de a una amenaza.
Las variantes más frecuentes
- El falso abogado especializado. Propone una «acción colectiva» contra la plataforma fraudulenta, a cambio de honorarios pagados por adelantado.
- La falsa autoridad de regulación. Anuncia que tus fondos han sido «congelados en una cuenta de garantía» y que se debe abonar una tasa de desbloqueo.
- El falso servicio bancario. Afirma haber «identificado al beneficiario» de la transferencia y pide tus credenciales para lanzar la devolución de los fondos.
- La falsa bolsa de indemnización. Menciona un fondo de garantía europeo y pide justificantes —documento de identidad, datos bancarios, factura— que en realidad alimentan una usurpación de identidad completa.
- El falso «cazador de criptos». Asegura poder rastrear tus criptoactivos en la blockchain, un servicio técnicamente plausible pero comercialmente falso en el 99 % de los casos.
La señal que nunca engaña: te piden pagar
Recuerda esta frase, resume todo el artículo:
Ningún organismo legítimo en Francia te pide pagar, por adelantado y por medios no rastreables, para devolverte un dinero que te pertenece.
Ni la Banque de France, ni la AMF, ni la policía, ni la gendarmería, ni tu banco. Presentar una denuncia es gratuito. Recurrir al mediador bancario es gratuito. El procedimiento de reclamación de un pago ante tu banco, previsto en el Code monétaire et financier, es gratuito.
Cuando aparecen gastos —«gastos de tramitación», «tasa de desbloqueo», «fianza», «IVA sobre la recuperación», «comisión de éxito pagadera por adelantado»—, la pregunta ya no es ¿será verdad?, sino ¿cómo corto esta conversación?
Segunda señal, igual de fiable: el medio de pago solicitado. Tarjetas regalo (PCS, Transcash, Neosurf), transferencias al extranjero, criptoactivos, envío de efectivo por mensajería. Son canales elegidos precisamente porque son irreversibles. Una organización legítima nunca funciona así.
Qué hacer concretamente al recibir el mensaje
1. No llames al número indicado
Ni por curiosidad. Una llamada confirma que la línea está activa y que responde una persona: información que tiene valor. Los centros de llamadas que operan estas campañas están entrenados: tienen un guion para la persona desconfiada, otro para la persona enfadada y otro para quien «solo quiere entender».
2. Verifica por un canal que elijas tú mismo
El principio fundamental de toda verificación: nunca uses un contacto facilitado por el mensaje sospechoso. Escribe tú mismo la dirección oficial, o marca el número que figura en el reverso de tu tarjeta bancaria.
- AMF: lista negra pública de actores no autorizados, consultable en la web oficial
- Assurance Banque Épargne Info Service (ABE IS), servicio público conjunto de AMF / ACPR / Banque de France: 34 14 (llamada sin sobrecoste)
- Cybermalveillance.gouv.fr para un diagnóstico y para que te pongan en contacto con profesionales
3. Denuncia el mensaje
El número 33700 sigue siendo el dispositivo nacional de notificación de SMS fraudulentos: reenvía el SMS al 33700 y, después, envía el número del remitente cuando te lo pidan. Paralelamente, la plataforma PHAROS (internet-signalement.gouv.fr) recoge las notificaciones de contenidos ilícitos en línea.
4. Documenta todo
Aquí es donde se pierden la mayoría de los expedientes. Las capturas de pantalla, los extractos, las marcas de fecha y hora: todo debe conservarse de forma legible y ordenada. Muchas víctimas me escriben con una decena de fotos borrosas de una pantalla tomadas con otro teléfono. Una simple carpeta de archivo con fundas, en la que se guardan las impresiones fechadas, los extractos bancarios anotados y el justificante de la denuncia, aporta a menudo más a un expediente que una hora de búsquedas en internet. Numera los documentos. Féchalos. Te servirá ante el banco, el seguro y, si llega el caso, el tribunal.
5. Bloquea, pero sin ilusiones
Bloquear el número es útil, pero las campañas rotan sobre miles de líneas desechables. El bloqueo te protege de ese número, no de la campaña.
Las vías de recurso reales en Francia
Puesto que la estafa se apoya en el desconocimiento de los procedimientos reales, conviene dejarlos claros.
Para un pago con tarjeta bancaria no autorizado: tienes derecho a reclamar ante tu banco. El artículo L133-18 del Code monétaire et financier prevé el reembolso inmediato de las operaciones no autorizadas, salvo negligencia grave por tu parte, y es precisamente ese punto el que genera debate cuando la víctima ha introducido ella misma sus códigos. El plazo de reclamación es de 13 meses (70 días para determinadas operaciones fuera de la Unión Europea).
Para una transferencia realizada por ti bajo manipulación: la situación es más difícil, pero está evolucionando. La Banque de France y el Observatoire de la sécurité des moyens de paiement siguen de cerca el aumento de las «estafas por manipulación», en las que la propia víctima ejecuta la operación. Pide a tu banco que intente una devolución de fondos (recall) lo antes posible: las primeras horas son decisivas.
En caso de negativa del banco: recurso gratuito al mediador bancario de la entidad y, después, eventualmente, al ABE IS.
Denuncia: en comisaría, en la gendarmería o en línea en la plataforma de predenuncia. Presentar una denuncia es un derecho; ningún servicio puede negarse a recibirla.
Usurpación de identidad: si has facilitado un documento de identidad, comunícalo, vigila tu situación bancaria y considera el derecho de acceso previsto por el RGPD para saber qué datos se guardan sobre ti. Una guía práctica sobre la protección de datos personales escrita para el público general ayuda a entender qué palancas existen realmente, más allá de los consejos genéricos.
Reducir la superficie de ataque tras un primer fraude
No se puede borrar tu número de las listas que circulan. Lo que sí se puede es hacer que los siguientes intentos sean menos eficaces.
Separar los usos. Muchas víctimas reincidentes usan el mismo número para todo: banco, anuncios clasificados, registros comerciales, entregas. Una segunda línea —mediante una tarjeta SIM de prepago sin compromiso— reservada a los anuncios y a los registros no esenciales limita la contaminación de tu línea principal.
Blindar el segundo factor. Si tus códigos de validación llegan por SMS, son vulnerables al secuestro de la línea. Pasar las cuentas sensibles a una aplicación de autenticación, o incluso a una llave de seguridad física FIDO2, elimina lisa y llanamente ese vector.
Asegurar el propio dispositivo. Después de un fraude, la pregunta «¿está comprometido mi teléfono?» aparece siempre. Actualiza el sistema, elimina las aplicaciones instaladas fuera de la tienda oficial y revisa los permisos de accesibilidad: es por ahí por donde entra el malware de Android que lee los SMS.
Frenar a propósito. La estafa de recuperación se basa en la idea de que hay que actuar rápido. Adopta la regla inversa: ninguna decisión financiera en las 24 horas siguientes a un mensaje no solicitado. Una libreta de notas de bolsillo, en la que escribas la fecha, la hora, el contenido y tu reacción antes de decidir cualquier cosa, convierte un impulso en un expediente.
La parte psicológica de la que nunca se habla lo suficiente
Hay que decirlo con franqueza: la vergüenza es la mejor aliada de los estafadores. Una víctima que no se lo cuenta a nadie es una víctima que decide sola, bajo presión, con un profesional de la manipulación enfrente.
Las asociaciones de ayuda a las víctimas —France Victimes y su número nacional 116 006, gratuito y disponible los siete días de la semana— existen precisamente para eso. No juzgan, orientan. Hablar con un tercero antes de pagar cualquier cosa sigue siendo la medida de protección más eficaz, y la menos técnica, de toda esta lista.
A algunas personas también les resulta útil comprender los mecanismos en lugar de limitarse a sufrirlos: un libro sobre la manipulación y la ingeniería social explica cómo se construyen estos guiones, y leerlo una vez vacuna de forma duradera. Se reconoce mucho mejor una técnica cuando se ha visto descrita en frío.
Para recordar
- Recibir una propuesta de recuperación de fondos después de un fraude no es una suerte: es la señal de que figuras en una lista de víctimas revendida.
- Ningún organismo legítimo pide un pago por adelantado para devolverte tu dinero. Los «gastos de tramitación» son la estafa en sí misma.
- Tarjetas regalo, cripto, transferencia al extranjero: tres medios de pago que delatan el fraude.
- Verifica siempre por un canal que hayas elegido tú, nunca el número facilitado en el mensaje.
- Notifica al 33700, presenta denuncia y recurre gratuitamente al mediador bancario si tu banco se niega.
- El 116 006 (France Victimes) y el 34 14 (ABE IS) son gratuitos. Los estafadores, no.
Si ya has perdido dinero, la buena noticia es modesta pero real: los recursos existen, son gratuitos y pasan por instituciones que puedes contactar tú mismo. Todo lo que te llegue espontáneamente por SMS con una promesa de devolución merece, en 2026, exactamente el mismo tratamiento que un falso SMS de paquetería: eliminarlo.
