«Mamá, soy yo, se me ha roto el teléfono y te escribo desde otro número. ¿Puedes ayudarme? Tengo un pago urgente y no consigo entrar en mi cuenta.»
Jacqueline, de 78 años, tiene una hija que vive en otra ciudad. Sabe que va desbordada, que cambia de teléfono a menudo, que no siempre llama. Así que responde. La conversación dura veinte minutos, solo por SMS: «no puedo llamarte, estoy en una reunión». Al final, ha enviado 1.900 € a un IBAN que no había visto en su vida.
Su hija nunca perdió el teléfono. Se enteró del asunto tres días después, cuando su madre le preguntó, incómoda, si «el dinero había llegado bien».
Este guion tiene nombre en los informes policiales: la estafa del falso familiar, o hi mum scam en los países anglosajones. Se propaga casi exclusivamente por SMS y aplicaciones de mensajería. Y es solo una de las tres o cuatro familias de ataques dirigidas específicamente a las personas mayores.
Por qué los mayores son un objetivo calibrado, no un objetivo fácil
Conviene descartar de entrada un prejuicio cómodo: no, las personas mayores no caen porque sean «un desastre con la informática». Muchas víctimas llevan diez años usando un smartphone, gestionan sus cuentas en línea y detectan perfectamente un correo falso mal redactado.
Lo que las hace interesantes para los estafadores se explica por cuatro factores objetivos.
El ahorro disponible. Una cuenta de ahorro bien provista hace que la operación sea rentable ya con la primera víctima. Los estafadores lo saben y calibran sus peticiones en consecuencia: donde un falso aviso de paquetería reclama 2,90 €, el falso familiar pide directamente entre 1.500 y 3.000 €.
El aislamiento relativo. El reflejo de «llamo a mi hijo para comprobarlo» presupone que el hijo coge el teléfono. Por la noche, el fin de semana o en vacaciones, esa comprobación no llega a producirse. De hecho, las campañas de falso familiar se envían mayoritariamente a última hora del día.
La relación con la autoridad. Un mensaje que se presenta como procedente de la Seguridad Social, de la entidad gestora de las pensiones o de Hacienda desencadena un reflejo de obediencia más marcado en las generaciones que crecieron con la carta administrativa como documento incontestable.
La vergüenza, por último, que hace que una parte importante de las víctimas no denuncie nada. Minimizan, pagan y callan. Es el factor que alimenta la repetición: un número que ha «funcionado» una vez se revende y se vuelve a atacar.
Los bancos centrales y supervisores han subrayado en 2026 que las estafas llamadas «por manipulación» —aquellas en las que la propia víctima valida la operación— crecen más rápido que el fraude clásico con tarjeta. Es exactamente esta categoría.
Los cuatro escenarios más frecuentes
1. El falso familiar en apuros
Siempre la misma estructura: un número desconocido, un cambio de teléfono como pretexto, una negativa a hablar por voz y una urgencia económica. El estafador no siempre conoce el nombre del hijo: empieza con «¿Mamá?» o «¿Papá?» y deja que la víctima se lo facilite ella misma.
Bastan tres señales para salir de dudas:
- la negativa sistemática a hacer una llamada de voz;
- la petición de una transferencia a un IBAN que no está a nombre del familiar;
- la insistencia en el secreto («no le digas nada a papá, se va a preocupar»).
2. La falsa entidad de pensiones u otro falso organismo social
Estas campañas se han disparado en 2026, sobre todo en torno a los organismos de pensiones y de sanidad pública. El mensaje anuncia un «cobro indebido que hay que devolver», un «expediente incompleto» o una «revalorización pendiente de confirmar», con un enlace a un formulario que reclama nombre, número de la seguridad social, datos bancarios y a veces copia del documento de identidad.
El detalle que desarma a cualquiera: estos SMS aparecen a veces dentro del mismo hilo de conversación que los mensajes auténticos del organismo, gracias a la suplantación del remitente alfanumérico. Visualmente, nada los distingue.
La regla que siempre se cumple: ningún organismo público reclama datos bancarios, un número de tarjeta o un documento de identidad mediante un enlace recibido por SMS. La devolución de un cobro indebido se tramita en la sede electrónica del organismo o por carta, nunca desde un enlace.
3. El falso servicio de ayuda a domicilio o de teleasistencia
Más discreto y más reciente. Un SMS propone la «actualización del expediente de dependencia», la «renovación de la deducción fiscal por servicios a domicilio» o un «nuevo terminal de teleasistencia que hay que activar». El enlace conduce a una suscripción recurrente o a una recogida de datos bancarios. Las personas que realmente reciben ayuda a domicilio son las más vulnerables: el mensaje encaja justo con su situación.
4. El falso asesor bancario, en dos tiempos
Un SMS de alerta («operación sospechosa de 799 € — si no la reconoce, responda NO») y, minutos después, una llamada. La voz es tranquila, profesional, conoce el nombre y a veces los últimos dígitos de la tarjeta. Pide «asegurar» la cuenta validando operaciones en la aplicación. Cada validación es, en realidad, una transferencia de salida.
La conversación que hay que tener, y la que hay que evitar
El primer error de quien cuida es convertir la prevención en una lección. «Tú no entiendes nada de estas cosas, déjame a mí» produce exactamente el efecto contrario al buscado: el padre esconde sus mensajes, deja de preguntar y se queda solo ante el siguiente SMS.
Lo que funciona, según la experiencia de las asociaciones de prevención y de los servicios policiales que imparten estos talleres:
Contar, no sermonear. Un caso concreto y preciso, ocurrido a otra persona, cala infinitamente más que una lista de instrucciones. «¿Sabes que a la vecina de Cristina le llegó esto?» vale más que «ten cuidado con los SMS».
Establecer una contraseña familiar. Una palabra acordada entre vosotros, sencilla, que no se escriba nunca en un SMS. Toda petición de dinero inesperada debe ir acompañada de esa palabra, por teléfono. Es el cortafuegos más eficaz, y el más barato, contra la estafa del falso familiar.
Conceder un derecho explícito a dudar. La frase que hay que repetir: «tienes derecho a no responder, a colgar y a llamarme a cualquier hora para comprobarlo, aunque sea para nada». La vergüenza de molestar es la aliada más fiel de los estafadores.
No prometer que no te vas a enfadar: demostrarlo. Si una víctima anticipa reproches, esperará días antes de hablar. Y en materia de transferencias fraudulentas, las primeras 24 horas son decisivas.
Para quienes prefieren leer a su ritmo en lugar de escuchar, una guía en papel sobre seguridad digital para mayores, en letra grande, suele resultar más útil que una demostración en la pantalla: se relee, se anota y se guarda cerca del teléfono.
Los ajustes que conviene hacer juntos en el teléfono
Ninguno de estos ajustes priva a la persona de su autonomía. Llevan veinte minutos y se hacen codo con codo, en su dispositivo y con ella.
| Ajuste | Dónde | Qué evita |
|---|---|---|
| Filtrado de remitentes desconocidos | Ajustes > Mensajes (iOS) / Mensajes > Protección antispam (Android) | Los SMS de números desconocidos van a una pestaña aparte |
| Código PIN de la tarjeta SIM activado | Ajustes > Seguridad | Una SIM robada deja de recibir los códigos bancarios |
| Bloqueo de compras a través del operador | Área de cliente del operador | Las suscripciones de tarificación especial «de 49 €/mes» |
| Límite de transferencia reducido | Aplicación bancaria | Limita la pérdida en caso de manipulación |
| Aviso por SMS o notificación en cada cargo | Aplicación bancaria | Detección en minutos, no en tres semanas |
| Actualización automática del sistema | Ajustes > General | Corrige los fallos que explotan las páginas trampa |
Dos precisiones importantes.
El límite de transferencia reducido es probablemente la medida más rentable de toda la lista. Una víctima manipulada no puede enviar 3.000 € si su límite diario está fijado en 500 €. Eso no impide las transferencias legítimas: basta con pedir una ampliación puntual, lo que impone un saludable plazo de reflexión.
El filtrado de remitentes desconocidos debe explicarse: si no, la persona se inquieta al dejar de recibir el SMS del médico. Muéstrale la pestaña secundaria y enséñale a consultarla una vez por semana.
Si el dispositivo actual se ha vuelto ilegible o genera ansiedad, existen teléfonos móviles para mayores con teclas grandes cuya agenda limitada y ausencia de navegador eliminan mecánicamente buena parte de la superficie de ataque. No es una regresión: para alguien que solo usa llamadas y SMS, es una elección racional. A la inversa, para un padre o una madre que no quiere renunciar a su smartphone, un soporte de teléfono regulable junto al sillón, con la pantalla legible a buena distancia, reduce los errores de lectura: muchos clics desafortunados vienen simplemente de un texto mal descifrado.
Cuando un familiar ya ha hecho clic: la secuencia de las 24 horas
La urgencia no es entender, es actuar. En este orden.
1. Llamar al banco de inmediato, al número que figura en el reverso de la tarjeta o en un extracto en papel, nunca a un número recibido por SMS. Pedir el bloqueo de la tarjeta y la paralización de las transferencias en curso. Una transferencia SEPA a veces puede recuperarse si aún no se ha ejecutado.
2. Bloquear la tarjeta a través del servicio de cancelación de tarjetas de la entidad o del servicio interbancario correspondiente, si el banco no está disponible.
3. Cambiar las contraseñas de las cuentas afectadas desde otro dispositivo: correo electrónico, banca, cuentas administrativas.
4. Denunciar el SMS al servicio oficial de comunicación de spam y SMS fraudulentos: reenviar el mensaje al número habilitado y después facilitar el número del remitente cuando el servicio lo solicite.
5. Presentar denuncia, en comisaría o cuartel de la Guardia Civil, con las capturas de pantalla. La denuncia en línea existe, pero la presencial sigue siendo preferible en una estafa con perjuicio económico.
6. Notificarlo en las plataformas oficiales: los organismos públicos de ciberseguridad para recibir orientación, y los canales específicos previstos para el fraude con tarjeta bancaria y para la estafa en línea.
7. Vigilar las semanas siguientes. A una víctima identificada se la vuelve a contactar. Los SMS de «recuperación de fondos» que prometen devolver las cantidades perdidas son una segunda estafa, montada sobre los ficheros de la primera.
Sobre el reembolso, conviene recordar: la normativa europea de servicios de pago obliga al banco a reembolsar una operación no autorizada. Pero si la víctima validó ella misma la transferencia, la entidad suele alegar «negligencia grave». La jurisprudencia reciente ha precisado, sin embargo, que la suplantación creíble del número o del nombre del banco (spoofing) excluye la negligencia grave. Este punto debe mencionarse de forma explícita en la reclamación escrita.
El papel del cuidador, sin caer en la vigilancia
Existe una tentación legítima: instalar una aplicación de control, leer los mensajes a distancia, bloquear los pagos. Es eficaz, y está muy limitado jurídicamente. Leer los SMS de una persona adulta sin su consentimiento constituye una vulneración del secreto de las comunicaciones, castigada por el Código Penal, también entre padres e hijos adultos.
El enfoque correcto es contractual, no clandestino:
- proponer una autorización bancaria o una cuenta conjunta para las operaciones importantes, con acuerdo explícito;
- activar alertas compartidas sobre los movimientos que superen un umbral, a petición del titular;
- para situaciones de vulnerabilidad acreditada, plantear una medida de apoyo familiar o una medida de protección jurídica, acordada por el juez competente.
Entre esos mecanismos y el dejar hacer hay mucho espacio para un acompañamiento sencillo: llamar con regularidad, repasar juntos los mensajes del mes, mantener el hábito de verificar. Un cuaderno de notas para contraseñas, guardado en un cajón cerrado y nunca en el teléfono, vale más que un post-it pegado a la pantalla o que una contraseña única reutilizada en todas partes.
Y si la persona vive sola, un detector de caídas o un reloj inteligente para mayores responde a otro riesgo, pero elige un modelo sin suscripciones opacas: los falsos SMS de «renovación de teleasistencia» explotan precisamente esos contratos mal entendidos.
Lo que hay que recordar
Los SMS fraudulentos dirigidos a las personas mayores no se apoyan en una debilidad técnica, sino en una mecánica emocional: la preocupación por un hijo, el respeto a la administración, el miedo a hacerlo mal. Ninguna aplicación neutraliza eso.
Lo que funciona se resume en cinco puntos:
- una contraseña familiar acordada de antemano para cualquier petición de dinero;
- un límite de transferencia deliberadamente bajo;
- la llamada sistemática al número oficial en lugar del recibido por mensaje;
- un derecho a dudar concedido con claridad y sin juicios;
- una reacción inmediata en caso de clic, sin esperar a entender qué ha pasado.
El mejor dispositivo de seguridad para una persona mayor sigue siendo un familiar localizable que nunca se ríe de la pregunta que le hacen. Lo demás son ajustes.
