«Hola, es para la colecta de Sophie, la del equipo de contabilidad; su despedida es el viernes. Solo faltan 200 € de los 600. Tu parte: 15 € → cagnotte-solidaire-participation.fr»
Karim trabaja efectivamente con una Sophie. El importe es irrisorio. El tono es el de un compañero con prisa. Hace clic, introduce su tarjeta, confirma. Dos días más tarde, un cargo de 349 € sale hacia un proveedor extranjero, y otro de 349 € al mes siguiente.
No había ninguna colecta. Había un número de móvil alquilado durante dos horas, un mensaje enviado a cuatro mil personas y un formulario de pago recurrente disfrazado de aportación única.
La estafa de la donación no es nueva —ya existía con las falsas cuestaciones en la vía pública—. Lo que ha cambiado en 2026 es que ahora circula por el canal más íntimo y creíble que existe: tu hilo de SMS.
Por qué la generosidad es una brecha de seguridad
Todas las campañas de smishing explotan una emoción. El falso paquete juega con la espera; el falso asesor bancario, con el miedo; la falsa multa, con la culpa. El falso llamamiento a donar, en cambio, juega con algo mucho más difícil de neutralizar: las ganas de hacer el bien y la vergüenza de negarse.
Se superponen tres mecanismos.
1. El importe es deliberadamente minúsculo. 10 €, 15 €, 20 €. Por debajo del umbral en el que uno se toma el tiempo de comprobar. Ese es el principio mismo de la estafa: no se roba la cantidad que aparece en pantalla, se captura el número de tarjeta —y a veces la autorización de domiciliación recurrente deslizada en letra pálida bajo el botón de validación.
2. Negarse tiene un coste social. Ante un falso mensaje del banco, decir que no no cuesta nada. Ante «la colecta para el funeral del hijo de Martine», dudar da la impresión de ser tacaño. Los estafadores lo saben y calibran sus textos para que verificar parezca una falta de tacto.
3. La urgencia es plausible. Una colecta tiene una fecha de cierre natural. Una recaudación tras una catástrofe tiene una utilidad inmediata. A diferencia de «su cuenta será suspendida en 24 h», la cuenta atrás no suena falsa.
Un llamamiento a donar legítimo nunca te reprochará que te tomes veinticuatro horas para comprobarlo. Un estafador, sí.
Los cuatro escenarios dominantes en 2026
La colecta entre compañeros o entre padres de alumnos
Es el formato más eficaz, porque está microsegmentado. Los estafadores obtienen listas procedentes de filtraciones de datos: directorios internos de empresas, listas de distribución de clubes deportivos, grupos de padres de alumnos. Basta un nombre de pila creíble para hacer caer la guardia. Ningún logotipo, ninguna marca: solo un tono familiar.
Señal típica: el mensaje nunca dice quién escribe. «Es para la colecta de…» sin firma. Un compañero te diría su nombre.
El falso llamamiento a donar de una gran asociación
Croix-Rouge française, Restos du Cœur, Secours populaire, Fondation pour la recherche médicale, SPA: todas estas marcas son imitadas, generalmente unos días después de un acontecimiento mediático: temporal, incendio, crisis humanitaria. El remitente alfanumérico puede mostrar el nombre de una asociación, ya que ese campo no está autenticado de extremo a extremo y sigue siendo suplantable.
El Comité de la Charte / Don en Confiance otorga en Francia un sello a las organizaciones que aceptan un control externo de sus prácticas de recaudación. Comprobar que una asociación figura efectivamente en la lista publicada en el sitio de Don en Confiance lleva treinta segundos y elimina la inmensa mayoría de los falsos.
El SMS de «solidaridad local»
«Recaudación para las familias damnificadas del municipio, aportación libre». Este formato prolifera tras una inundación o un incendio local. Es temible porque el destinatario conoce el suceso: ha visto las imágenes, sabe que es real. No se le pasa por la cabeza que lo único falso sea el llamamiento a donar.
Un ayuntamiento, una prefectura o un centro municipal de acción social no organiza colectas de donaciones por SMS con pago con tarjeta en un sitio desconocido. Las recaudaciones reales pasan por el ayuntamiento, por una asociación identificada o por una plataforma oficial anunciada en la web del municipio.
La donación «en nombre de un allegado»
La variante más cruel: un mensaje que menciona una enfermedad, una hospitalización o un fallecimiento en tu entorno, a veces alimentado con información realmente publicada en las redes sociales. El enlace conduce a una página de colecta que imita la interfaz de una plataforma conocida.
Cómo distinguir una colecta real de una falsa
Las plataformas francesas legítimas de colectas (Leetchi, Le Pot Commun, HelloAsso para el sector asociativo, o las páginas de donación alojadas por las propias asociaciones) comparten características que las copias reproducen mal.
| Elemento | Colecta legítima | Colecta falsa |
|---|---|---|
| Dominio del enlace | Dominio de la plataforma, sin palabras añadidas | Nombre de la plataforma + guiones + palabras («-participation», «-solidaire», «-fr») |
| Organizador | Identidad visible, a menudo con foto e historial | Solo un nombre de pila o anónimo |
| Importe | Libre, introducido por el donante | Importe impuesto, botón único |
| Medios de pago | Tarjeta + a veces transferencia, mediante proveedor conocido | Solo tarjeta, formulario rudimentario |
| Recibo fiscal | Ofrecido si la entidad da derecho a ello | Ausente o «se enviará más tarde» |
| Condiciones | Condiciones de uso accesibles, aviso legal completo | Enlaces rotos o páginas vacías |
La prueba más fiable sigue siendo la más sencilla: no entrar nunca por el enlace del SMS. Abre tu navegador, escribe tú mismo el nombre de la plataforma o de la asociación y busca la recaudación desde su buscador interno. Una colecta pública real se puede encontrar; una falsa solo existe en el mensaje.
En un ordenador portátil, pasar el cursor sobre un enlace para leer la dirección real es instantáneo. En el móvil ocurre lo contrario: la URL aparece truncada y el dedo va más rápido que el ojo. Esa es una de las razones por las que el smishing resulta más rentable que el phishing por correo electrónico. Un soporte para teléfono colocado sobre el escritorio, que te obliga a leer la pantalla a cierta distancia en lugar de deslizar mecánicamente, cambia más comportamientos de lo que se imagina.
Las tres trampas de pago que conviene conocer
La domiciliación recurrente encubierta
Es el núcleo del modelo de negocio. Crees pagar 15 € una vez; en realidad autorizas una suscripción. La mención legal existe: está escrita en gris claro, en cuerpo 8, bajo el botón. Jurídicamente, eso permite al operador defenderse; en la práctica, nadie la lee.
Reflejo: antes de cualquier validación, busca las palabras «mensual», «recurrente», «renovación», «hasta su cancelación». Si aparecen en algún sitio, no se trata de una donación puntual.
El pago con tarjeta regalo o criptomonedas
Ninguna asociación registrada pedirá jamás una donación en forma de tarjetas prepago, cupones Neosurf/PCS o transferencia en criptomonedas. Es el indicador más binario que existe: en cuanto aparece, caso cerrado, es una estafa.
La transferencia inmediata
Desde la generalización de la transferencia inmediata, los estafadores empujan hacia este medio de pago porque es irrevocable en la práctica. Un pago con tarjeta deja alguna posibilidad de reclamación; una transferencia inmediata a una cuenta extranjera, casi ninguna. Si un interlocutor insiste en una transferencia en lugar de una tarjeta, nunca es por tu comodidad.
Lo que puedes hacer en dos minutos antes de donar
- Identifica al remitente real. Si es un allegado, llámale al número que ya tienes guardado, nunca al del SMS. Treinta segundos bastan.
- Verifica la asociación. Consulta la web oficial, el Journal officiel des associations o la lista de Don en Confiance. Una asociación declarada de utilidad pública es fácil de comprobar.
- Examina el dominio con lupa. Los dominios falsos son casi siempre recientes. Un nombre de dominio creado hace tres días para una «colecta nacional» no tiene ningún sentido.
- Busca el recibo fiscal. Una donación a una entidad de interés general da derecho a una reducción fiscal (66 % del importe con el límite del 20 % de la renta imponible, 75 % para las entidades de ayuda a personas en dificultad, según las normas recordadas por la Direction générale des finances publiques). Una entidad legítima lo menciona. Un estafador lo evita.
- Paga desde una fuente que hayas elegido tú, no desde un enlace que te hayan enviado.
Para quienes donan con regularidad, dejar constancia por escrito lo cambia todo tanto a la hora de la declaración de la renta como en caso de litigio: un cuaderno de cuentas personales o una simple carpeta con separadores donde guardar recibos y confirmaciones permite detectar de inmediato un cargo que no corresponde a ninguna donación consentida.
Si el pago ya se ha efectuado
El tiempo es el único factor que cuenta.
De inmediato:
- Llama a tu banco y solicita el bloqueo de la tarjeta. Utiliza el número que figura en el reverso de la tarjeta o en tu aplicación bancaria, nunca un número recibido por mensaje.
- Pide explícitamente el bloqueo de cualquier orden de domiciliación recurrente asociada a la operación. Bloquear la tarjeta no siempre basta para detener una suscripción ya autorizada.
- Conserva el SMS: no lo borres. Haz una captura de pantalla en la que se vean el número del remitente y la fecha.
En un plazo de 24 a 48 horas:
- Reclama la operación. El code monétaire et financier prevé un derecho al reembolso de las operaciones de pago no autorizadas; la Banque de France y la Fédération bancaire française recuerdan periódicamente que el plazo de reclamación es de 13 meses para una operación dentro del Espacio Económico Europeo. Cuanto antes actúes, más sólido será el expediente.
- Denuncia el mensaje al 33700, el número nacional de notificación de SMS fraudulentos: reenvía el SMS al 33700 y después envía el número del remitente cuando te lo pidan.
- Presenta una notificación en cybermalveillance.gouv.fr, que orienta hacia los trámites adecuados, y en la plataforma PHAROS (internet-signalement.gouv.fr) para el contenido en línea.
- Presenta denuncia: comisaría, gendarmería o denuncia en línea a través del servicio THESEE, dedicado a las estafas digitales.
En las semanas siguientes:
Vigila tus extractos durante al menos tres meses. Los cargos fraudulentos suelen comenzar con un desfase deliberado, para que la víctima no establezca la relación. Un cuaderno de seguimiento de gastos llevado a mano, colocado junto al correo, sigue siendo para muchos más eficaz que una aplicación abierta una vez por trimestre.
Espera también recibir, unas semanas más tarde, un mensaje que te proponga «recuperar los fondos perdidos». Es la segunda fase del cohete, y va dirigida específicamente a las víctimas ya identificadas.
Proteger a las personas más expuestas
Las campañas de falsas donaciones se dirigen prioritariamente a dos perfiles: las personas mayores, estadísticamente más generosas y más a menudo donantes habituales, y las personas implicadas en redes asociativas, cuyos datos de contacto circulan más.
Algunas medidas concretas, sin infantilizar a nadie:
- Acordar una regla familiar sencilla: ninguna donación por SMS, nunca, sea cual sea la causa. Las donaciones se hacen por un canal elegido de antemano (domiciliación anual, cheque, web oficial).
- Limitar el tope de la tarjeta de pago que se usa a diario. La mayoría de los bancos permiten rebajar el límite en línea con tres clics.
- Activar el filtrado de remitentes desconocidos en el teléfono, disponible tanto en iOS como en Android: los mensajes de emisores no registrados van a una pestaña aparte, lo que rompe el automatismo del clic.
- Documentar los compromisos reales. Una lista escrita de las asociaciones que realmente se apoyan, guardada en un portadocumentos con compartimentos junto con los recibos fiscales, permite responder en un segundo a «¿dono yo a esta entidad?».
Para los allegados que prefieren el papel, una guía práctica sobre las estafas digitales, hojeada con calma, suele sentar mejor que una demostración en pantalla. La lectura da tiempo para asimilar; la demostración coloca a quien la recibe en posición de alumno.
Lo esencial que hay que recordar
La generosidad no es una debilidad, y desconfiar de un SMS no hace a nadie menos solidario. Las asociaciones francesas reales recaudan mayoritariamente por correo postal, por domiciliación, a través de su web o mediante campañas claramente identificadas, no con un mensaje anónimo que contiene un enlace para pulsar en el acto.
Tres frases bastan para resumir la defensa:
- Una donación nunca se realiza desde un enlace recibido por SMS.
- Un importe impuesto y un pago irreversible son dos señales de alarma, no detalles.
- Verificar antes de donar no ofende a nadie, y lleva menos tiempo que reclamar un cargo.
Si un mensaje te incomoda sin que sepas decir por qué, esa incomodidad suele ser la información más fiable del mensaje. Reenvíalo al 33700, bórralo y dona de otra manera.
