«Papá, he hecho una tontería.»
Théo tiene 14 años. Recibió un SMS que le anunciaba que había sido seleccionado en un sorteo para recibir 5.000 unidades de moneda virtual en su juego favorito. Un enlace, un formulario, su nombre de usuario, su contraseña y, después, un código de seis dígitos recibido por SMS que le pedían «confirmar». Cuarenta minutos más tarde, su cuenta —tres años de progreso y 400 € en compras acumuladas— se revendía en un foro. Y como usaba la misma contraseña para su correo electrónico, el estafador siguió tirando del hilo.
Sus padres se enteraron porque acabó contándolo. Muchos adolescentes no lo hacen. Es precisamente en ese silencio donde se apoyan la mayoría de las estafas dirigidas a ellos.
Por qué los adolescentes son un objetivo aparte
Solemos imaginar que los jóvenes, «nacidos con un móvil en la mano», estarían inmunizados por naturaleza. La observación de las denuncias en la plataforma 33700 y de los casos tratados por Cybermalveillance.gouv.fr cuenta lo contrario: su soltura técnica no los protege, los expone de otra manera.
Intervienen cuatro factores.
La velocidad de respuesta. Un adulto deja reposar un SMS sospechoso durante una hora. Un adolescente responde en menos de dos minutos, a menudo sin salir de la aplicación que estaba usando. El tiempo de reflexión, que es la mejor defensa contra el smishing, desaparece.
El valor real de las cuentas de juego. Una cuenta de Fortnite, Roblox o Steam bien surtida se revende entre 50 y varios cientos de euros en mercados paralelos. El estafador no necesita una tarjeta bancaria: la cuenta es la mercancía.
La vergüenza. Es la palanca decisiva. Un adolescente atrapado en una estafa con fotos íntimas, o que ha perdido la cuenta que le pagaron sus padres, calcula ante todo el riesgo de que le confisquen el móvil. Paga, negocia, calla.
Una baja exposición a las campañas de prevención. Los mensajes institucionales sobre estafas bancarias o falsos SMS de Hacienda no van con ellos. Nadie les ha explicado qué aspecto tiene un smishing calibrado para ellos.
Los seis escenarios más frecuentes
1. El falso regalo de moneda virtual
El gran clásico. «Enhorabuena, tu cuenta ha sido seleccionada», «generador gratuito», «código de creador de regalo». El enlace lleva a una copia bastante lograda de la página de inicio de sesión oficial. La víctima introduce sus credenciales; el sitio pide después el código de verificación de un solo uso recibido por SMS, supuestamente para «validar la entrega». En realidad es el código de doble autenticación que el sitio oficial acaba de enviar porque el estafador está intentando conectarse.
La señal que hay que retener: ningún editor de videojuegos regala moneda virtual por SMS, y ninguno pide jamás un código recibido por SMS en un sitio que no sea el suyo.
2. El falso trabajillo
«Hola, buscamos perfiles para probar aplicaciones, 40 € por tarea, 15 minutos al día.» Estas campañas se dirigen sobre todo a los jóvenes de 16 a 22 años, con frecuencia en periodo de vacaciones escolares. Dos variantes:
- El task scam: las primeras «misiones» reportan realmente 5 o 10 €, abonados con rapidez. Luego se pide un depósito para «desbloquear las tareas premium». El dinero nunca vuelve.
- La mula bancaria: se le propone al joven recibir una transferencia en su cuenta, quedarse con un 10 % y devolver el resto en efectivo o en criptomonedas. Eso es blanqueo de capitales. El menor o el joven mayor de edad es jurídicamente responsable y se arriesga a una prohibición bancaria, a un proceso penal y al cierre de su cuenta. La Fédération bancaire française alerta con regularidad sobre esta deriva en los institutos.
3. La sextorsión
El guion es brutal. Un contacto inicial cálido en una red social, un traslado rápido al SMS o a una mensajería, un intercambio de imágenes y, después, el chantaje: «envía 200 € en tarjeta regalo o lo difundo todo a tu lista de contactos». Los estafadores muestran a veces capturas de la lista de amigos para demostrar su capacidad de hacer daño.
La regla absoluta, repetida sin descanso por la asociación e-Enfance y su número 3018: no pagar nunca, no borrar nada, capturarlo todo y hablar con un adulto. Pagar solo abre un segundo ciclo de peticiones. El 3018 dispone de un procedimiento de denuncia acelerado ante las plataformas para obtener la retirada rápida de los contenidos.
4. La cuenta de mensajería hackeada
«Hola, soy yo, estoy participando en un concurso, ¿puedes votarme?» El mensaje procede realmente de la cuenta de un amigo, porque ese amigo cayó antes. El enlace recupera las credenciales y el ciclo vuelve a empezar con su propia lista de contactos. Es la mecánica de propagación más eficaz: la confianza viene preinstalada.
5. La falsa suscripción de streaming o la falsa multa de plataforma
Más rara, pero al alza: «Tu suscripción ha sido suspendida, regulariza 1,99 €». La cantidad irrisoria desactiva la desconfianza. El objetivo no son los 1,99 €, sino el número de la tarjeta bancaria —a menudo la de un padre, guardada en el móvil.
6. El SMS «te has equivocado de número»
Un mensaje anodino, una conversación que se prolonga durante varios días y, después, una propuesta de inversión en criptomonedas. Este escenario, conocido como pig butchering, solo apuntaba en un principio a los adultos. Ahora desciende hacia la franja de 17 a 20 años, con promesas de rentabilidad adaptadas a importes pequeños.
¿De dónde sacan los estafadores el número de un chaval de instituto?
La pregunta surge sistemáticamente entre los padres. Las fuentes son de lo más banal.
| Origen | Mecanismo |
|---|---|
| Filtraciones de datos de plataformas de juego o de apps | Números revendidos por lotes en foros |
| Inscripciones a concursos, cuestionarios, «tests de personalidad» | Consentimiento diluido en las condiciones generales |
| Listas de difusión revendidas | Compra conjunta a intermediarios de datos |
| Numeración aleatoria | Generación automática de rangos de números móviles franceses |
| Contactos extraídos de una cuenta hackeada | La agenda de un compañero |
Dicho de otro modo: recibir un SMS fraudulento no significa que el adolescente haya «hecho una tontería». Es un punto importante que conviene decir en casa, porque la culpabilidad anticipada es exactamente lo que impide venir a contarlo.
Lo que protege de verdad, por orden de eficacia
La doble autenticación mediante aplicación, no por SMS
Es la medida más rentable. En las cuentas de juego, las redes sociales y el correo electrónico, activar una autenticación de dos factores mediante una aplicación dedicada (Google Authenticator, Authy o la aplicación de la propia plataforma) en lugar de por SMS. Un código enviado por SMS puede sonsacarse mediante ingeniería social o mediante intercambio de tarjeta SIM; un código generado localmente, mucho más difícilmente.
Para las cuentas más sensibles de un joven mayor de edad —correo principal, banco—, una llave de seguridad física tipo FIDO2 vuelve el phishing prácticamente inoperante: la llave se niega a autenticarse en un dominio falso, aunque el usuario sí se lo crea.
Contraseñas que no se reciclan
El verdadero daño en la historia de Théo no es la pérdida de la cuenta de juego: es la contraseña reutilizada en el correo electrónico. Instalar un gestor de contraseñas en el móvil del adolescente, y configurarlo juntos, lleva veinte minutos y elimina toda una categoría de riesgos. La CNIL y la ANSSI recomiendan ambas este enfoque en sus guías para el gran público.
El filtrado nativo del teléfono
Android e iOS ya saben clasificar a los remitentes desconocidos y señalar los mensajes sospechosos: Google amplió además en 2026 su detección de estafas por SMS al mercado francés. En iPhone: Ajustes → Mensajes → Filtrar remitentes desconocidos. En Android Mensajes: la protección antispam en los ajustes. No es infalible, pero retira de la vista buena parte del ruido.
El reflejo 33700
Reenviar gratuitamente el SMS sospechoso al 33700 (servicio oficial de denuncia de spam por SMS, gestionado por la Association française du multimédia mobile junto con los operadores). El servicio responde pidiendo el número del remitente, que basta con reenviar. Hacer la operación una vez con tu hijo, juntos, vale más que todos los discursos: convierte un mensaje angustiante en un gesto concreto.
Para los contenidos que implican a un menor: 3018 (e-Enfance, gratuito, los 7 días de la semana) y la plataforma PHAROS del Ministerio del Interior para los contenidos ilícitos.
El material, cuando tiene sentido
Algunos equipamientos cambian las cosas sin convertir la casa en un puesto de control. Un router con control parental integrado permite establecer franjas horarias y un filtrado DNS para toda la casa, sin aplicación espía en el móvil del niño. Para los más pequeños, un teléfono móvil simplificado sin navegador de internet sigue siendo una transición razonable antes del smartphone completo. Y para las familias que quieren abordar el tema de otra forma que no sea una lista de prohibiciones, un libro de prevención sobre los usos digitales de los adolescentes abre a menudo conversaciones que las recomendaciones orales no desencadenan.
Cómo hablarlo sin provocar el silencio
Es la parte más difícil y la más determinante.
Anunciar la regla antes del incidente. La frase que hay que enunciar, con calma, una vez: «pase lo que pase, si caes en una trampa, no perderás tu móvil porque hayas venido a contármelo». Esa garantía explícita es lo que marca la diferencia entre una víctima que habla al cabo de una hora y una víctima que paga durante tres semanas.
Contar casos, no reglas. «No hagas clic en los enlaces» no produce nada. «Un chico de tu clase perdió su cuenta porque dio el código de seis dígitos que recibió por SMS» genera un reflejo.
Dar un criterio único, memorizable. El que mejor funciona: un código recibido por SMS no se da nunca, a nadie, jamás, ni siquiera a quien dice ser el soporte oficial. Un solo criterio bien anclado vale más que diez consejos olvidados.
No monopolizar la verificación. Enseñar al adolescente a abrir él mismo la aplicación oficial en lugar de hacer clic en el enlace. Es una competencia, no una vigilancia.
Qué hacer en la hora siguiente a caer en la trampa
Tres acciones por orden, sin discusión: cortar el acceso, documentar, denunciar.
- Cambiar la contraseña de la cuenta afectada —y de todas las cuentas que compartían la misma contraseña. Desde otro dispositivo si es posible.
- Cerrar todas las sesiones activas en los ajustes de seguridad de la cuenta.
- Capturar las conversaciones, el número del remitente, la URL del enlace, antes de borrar nada. Son las piezas de una futura denuncia.
- Avisar al banco de inmediato si han circulado datos bancarios: cancelar la tarjeta y solicitar el bloqueo. El derecho al reembolso por operación no autorizada está previsto en el código monetario y financiero francés (artículos L133-18 y siguientes), pero hay que avisar rápido.
- Denunciar: 33700 para el SMS, 3018 si hay un menor implicado, PHAROS para el contenido ilícito, y presentar denuncia en comisaría o mediante la predenuncia en línea.
- Avisar a los contactos si la cuenta servía para propagar el mensaje: un simple «me han hackeado la cuenta, no hagáis clic» corta la cadena.
El punto ciego: las cuentas abiertas antes de los 15 años
Desde la ley del 7 de julio de 2023 que instaura una mayoría de edad digital en Francia, la inscripción de un menor de 15 años en una red social requiere en principio el acuerdo de los titulares de la patria potestad. En la práctica, la verificación sigue siendo en gran medida declarativa. Resultado: muchos adolescentes tienen cuentas cuya existencia sus padres desconocen, asociadas a un número de móvil y a una dirección de correo electrónico creada a veces para la ocasión.
Esto no se resuelve con un registro. Se resuelve con un inventario hecho juntos, una vez al año, listando simplemente: qué cuentas existen, qué correo está asociado, cuál tiene la doble autenticación activa. El ejercicio dura media hora y casi siempre saca a la luz dos o tres cuentas olvidadas, todavía activas, con una contraseña antigua.
Lo que hay que recordar
Los SMS fraudulentos dirigidos a los adolescentes no son versiones atenuadas de los que apuntan a los adultos. Explotan otros resortes: el valor de una cuenta de juego, las ganas de dinero rápido, el miedo al juicio ajeno, la velocidad de reacción.
La protección técnica cuenta —doble autenticación fuera del SMS, contraseñas únicas, filtrado de remitentes desconocidos—. Pero solo sirve si el canal de comunicación permanece abierto. Un adolescente que sabe que puede llegar diciendo «he hecho una tontería» sin perder su móvil avisa en una hora de lo que la vergüenza habría prolongado durante un mes.
Es, con diferencia, la medida de seguridad más eficaz del hogar.
