«Hice clic. Metí los datos de mi tarjeta. Y después me quedé esperando a ver qué pasaba.»
Es la frase que más se repite en los relatos de las víctimas, y es exactamente lo que no hay que hacer. En una estafa por SMS, el clic casi nunca es el momento decisivo. El momento decisivo son las horas siguientes: aquellas en las que el dinero todavía está en movimiento, en las que aún existen los rastros, en las que el banco todavía no ha recibido una orden de bloqueo y en las que las capturas de pantalla que marcarán la diferencia ante la ventanilla de una comisaría siguen estando en el teléfono.
Pasados tres días, todo se vuelve más difícil. La operación ya está cargada en cuenta, la URL fraudulenta ha sido desactivada, el número emisor se ha reciclado y la víctima debe demostrar lo que, cuarenta y ocho horas antes, simplemente se mostraba en la pantalla.
Esta es la cronología real de las 72 horas posteriores a un SMS fraudulento, con lo que está en juego en cada etapa.
Hora 0 a 1: cerrar el grifo antes de entender nada
El primer reflejo no es comprender, es detener el flujo. Comprender lleva horas; una transferencia fraudulenta, en cambio, a veces tarda menos de diez minutos en salir.
Si se han introducido datos bancarios, hay que bloquear la tarjeta de inmediato: desde la aplicación del banco (la mayoría permite ya bloquearla en dos toques) y después por teléfono, llamando al servicio de bloqueo de la entidad, disponible 24 horas al día. Como último recurso, en Francia el servicio interbancario de bloqueo de tarjetas en el 0 892 705 705 funciona para todos los bancos.
Si se ha comunicado un código recibido por SMS, la situación es más grave que una simple filtración del número de tarjeta: el código de un solo uso es precisamente lo que valida una operación ante el banco. Hay que indicárselo expresamente al asesor, porque eso cambia la calificación del incidente.
Si se han introducido las credenciales de la banca online, hay que cambiar la contraseña desde otro dispositivo y solicitar el bloqueo temporal del acceso online.
Si no se ha introducido nada pero se ha abierto el enlace, el riesgo existe, pero es menor: en un smartphone actualizado, la simple visita a una página no basta para comprometer el dispositivo. El peligro viene de las instalaciones de aplicaciones fuera de la tienda oficial; si se ha aceptado alguna instalación, hay que desinstalarla sin esperar y revisar el dispositivo.
Regla sencilla: primero se bloquea, después se piensa. Ningún banco reprochará un bloqueo hecho por exceso de prudencia.
Hora 1 a 3: construir el expediente de pruebas mientras todavía existe
Es la etapa que casi todo el mundo se salta, y es la que decide el reembolso. Una víctima que llega a la comisaría con una frase («he recibido un SMS de mi banco») no tiene expediente. Una víctima que llega con siete capturas de pantalla con fecha y hora, sí.
Lo que hay que capturar, en este orden:
| Elemento | Por qué es útil |
|---|---|
| El SMS completo, con el remitente que aparece en pantalla | Demuestra el spoofing o el número utilizado |
| El hilo de conversación completo, desplazándose hacia atrás | Muestra si el mensaje falso se ha insertado entre mensajes reales |
| La URL exacta del enlace (pulsación larga → copiar) | Identifica el dominio fraudulento antes de su desactivación |
| La página web fraudulenta, si todavía es accesible | Prueba de la suplantación de marca |
| Las notificaciones bancarias recibidas | Fecha y hora de las operaciones impugnadas |
| El extracto de cuenta que muestra el cargo | Base de la solicitud de reembolso |
| El historial de llamadas, si ha telefoneado un falso asesor | Establece el escenario completo |
Dos precisiones técnicas que cuentan.
No borres el SMS. Es el reflejo emocional más frecuente: eliminar el rastro de la propia vergüenza. Sin embargo, el mensaje original, todavía presente en la aplicación de mensajería, sigue siendo la pieza más sólida del expediente. Se captura y se deja donde está.
Guarda copias fuera del teléfono. Un dispositivo que se estropea, se pierde o hay que restablecer se lleva consigo todo el expediente. Exportar las capturas a un espacio de almacenamiento distinto, o a una memoria USB segura que se guarde en casa, pone el expediente a salvo. Los asesores de Cybermalveillance.gouv.fr recomiendan siempre conservar una copia fuera del dispositivo afectado.
Hora 3 a 12: las tres denuncias que no sirven para lo mismo
A menudo se confunde «denunciar el mensaje» con «presentar una denuncia penal». Son tres gestiones distintas, que producen efectos diferentes. Hacerlas todas lleva menos de treinta minutos.
El 33700: tumbar la campaña
El 33700 es la plataforma oficial francesa para denunciar spam y fraudes por SMS, gestionada por la Association Française du Multimédia Mobile por cuenta de los operadores del país. El procedimiento: reenviar el SMS fraudulento al 33700 y después responder al mensaje automático indicando el número del remitente.
Esta notificación no pone en marcha ninguna investigación sobre tu caso personal. En cambio, alimenta la detección colectiva: a partir de cierto volumen de avisos, el operador puede bloquear el número emisor y conseguir que se retire el nombre de dominio utilizado en el enlace. Es un gesto en favor de los demás, y lleva treinta segundos.
Perceval: impugnar el uso fraudulento de la tarjeta
Perceval es el servicio telemático de la Gendarmería Nacional francesa dedicado a los fraudes con tarjeta bancaria, accesible a través de FranceConnect. Está dirigido a las víctimas que siguen en posesión de su tarjeta, es decir, a la inmensa mayoría de los casos de smishing, en los que solo se han robado los datos.
La notificación en Perceval genera un justificante. Ese documento tiene un valor concreto: respalda la solicitud de reembolso ante el banco y alimenta las estadísticas nacionales de fraude. No sustituye a una denuncia penal, pero tampoco la exige.
Cybermalveillance.gouv.fr: orientación y documentación
El dispositivo nacional de asistencia a víctimas de actos de ciberdelincuencia ofrece un itinerario en línea que plantea las preguntas adecuadas y facilita fichas con las pautas a seguir. Resulta útil sobre todo cuando la situación es confusa: varias cuentas afectadas, dudas sobre qué se ha visto comprometido, un dispositivo profesional implicado.
Hora 12 a 48: denunciar, y hacerlo bien
Presentar denuncia no es opcional cuando se han producido cargos: el banco la pedirá casi siempre.
Dónde. En cualquier comisaría o cuartel de la gendarmería, sin condición de domicilio. Negarse a recoger una denuncia es ilegal. Si hay obstáculos, la denuncia puede dirigirse directamente al fiscal del tribunal competente, por correo certificado con acuse de recibo.
La predenuncia en línea. El servicio de predenuncia en línea permite rellenar el formulario por adelantado y reducir el paso por la ventanilla a una simple firma. Es práctico, pero ojo: no equivale a una denuncia mientras no se haya firmado.
Qué llevar. Documento de identidad, extracto bancario con las operaciones impugnadas, impresiones de las capturas de pantalla, justificante de Perceval si ya se ha obtenido, y una cronología escrita de los hechos: basta con una página, con fechas y horas. Los agentes tramitan a diario expedientes de este tipo; un expediente ordenado se registra más rápido y de forma más completa. Una simple carpeta de fuelle evita llegar con hojas sueltas y extractos arrugados.
Sobre la calificación. El smishing constituye estafa (artículo 313-1 del código penal francés), a menudo combinada con la obtención fraudulenta de datos personales y la usurpación de identidad (artículo 226-4-1). No corresponde a la víctima calificar los hechos, pero mencionar que el mensaje suplantaba a un organismo concreto (banco, seguridad social, fondo de pensiones, empresa de reparto) ayuda a vincular el caso con campañas ya identificadas.
Hora 48 a 72: la solicitud de reembolso y la ley que la respalda
Es el punto que las víctimas menos conocen, y el que más pesa desde el punto de vista económico.
El código monetario y financiero francés es claro: en caso de operación de pago no autorizada comunicada por el usuario, el banco debe reembolsar de inmediato, y a más tardar al final del primer día hábil siguiente a la comunicación (artículo L133-18). Solo puede negarse si demuestra una negligencia grave por parte del cliente, y es la entidad quien debe probarlo, no el cliente quien deba demostrar su inocencia.
Este punto se ha visto reforzado por la jurisprudencia del Tribunal de Casación, que ha resuelto en varias ocasiones que el mero hecho de haber comunicado un código recibido por SMS no basta para caracterizar la negligencia grave, sobre todo cuando la víctima ha sido inducida a confiar por un mensaje o una llamada que imitaba a su banco de forma convincente.
En la práctica:
- Reclamación por escrito, dirigida al banco por carta certificada con acuse de recibo, recogiendo la cronología, las referencias de las operaciones y los documentos adjuntos. El plazo legal para reclamar es de trece meses.
- En caso de negativa, acudir al defensor del cliente bancario: un servicio gratuito cuyos datos de contacto figuran en los extractos de cuenta y en la web del banco.
- Si la mediación fracasa, acudir a los tribunales, con el eventual apoyo de una asociación de consumidores. Los casos publicados por Que Choisir muestran que un número significativo de negativas iniciales se revierte en esta fase.
Un consejo práctico que suele pasarse por alto: conserva una copia en papel de cada carta enviada, junto con su acuse de recibo. Una caja archivadora con solapa basta para mantener un expediente completo durante los meses que puede durar el procedimiento.
Los errores que hacen perder un expediente sólido
Algunos comportamientos, todos comprensibles, arruinan con regularidad expedientes que deberían haber prosperado.
Devolver la llamada al número que envió el SMS. En el mejor de los casos, no sirve de nada. En el peor, reactiva el guion: el estafador se presenta entonces como el «servicio antifraude» y consigue lo que todavía no tenía.
Esperar a ver si el dinero vuelve solo. No vuelve. Y cada día que pasa debilita el argumento de la reacción rápida.
Restablecer el teléfono presa del pánico. Un gesto a veces útil tras una instalación sospechosa, pero desastroso si se hace antes de guardar las pruebas.
Pagar para «recuperar» el dinero perdido. Las listas de víctimas circulan, y unas semanas después suele llegar una segunda oleada de contactos, bajo la apariencia de recobro de deudas o de asistencia jurídica. Ningún organismo legítimo pide un pago previo para devolver fondos robados.
No contárselo a nadie del entorno. La vergüenza es la mejor aliada del estafador. Los avisos del Banco de Francia apuntan a un aumento continuado de las estafas llamadas «por manipulación», precisamente porque juegan con el aislamiento de la víctima.
Después: cerrar las puertas que quedaron abiertas
Una vez atendida la parte urgente, queda la limpieza. Lleva una tarde.
- Cambiar las contraseñas de las cuentas vinculadas a la dirección de correo utilizada, empezando por el propio correo electrónico. Un gestor de contraseñas evita repetir el error de la contraseña única; para quienes prefieren el papel, una libreta de contraseñas guardada fuera de la vista sigue siendo infinitamente más segura que usar la misma contraseña en todas partes.
- Activar la autenticación en dos pasos allí donde sea posible, preferiblemente mediante una aplicación dedicada y no por SMS. Para las cuentas sensibles, una llave de seguridad física FIDO2 elimina toda la categoría de ataques por código interceptado.
- Revisar los cargos recurrentes en los tres últimos extractos: algunos fraudes se instalan en forma de suscripciones discretas de unos pocos euros.
- Vigilar el propio historial bancario: en caso de usurpación de identidad más amplia, el derecho de acceso al fichero central de cheques y al FICP se solicita directamente al Banco de Francia.
- Explicar a tu alrededor lo que ha pasado. Es la medida de prevención más eficaz que se conoce, y la menos costosa. Los libros de divulgación sobre ciberseguridad doméstica ayudan a hacer llegar el mensaje a las personas cercanas que no van a leerse una ficha administrativa.
Lo que hay que recordar
Una estafa por SMS no es una fatalidad financiera. La ley francesa protege a las víctimas de operaciones no autorizadas, los dispositivos de denuncia existen y son gratuitos, y los bancos ceden a menudo ante un expediente bien documentado. Pero todo depende de un bien perecedero: el rastro.
Bloquear en la primera hora, capturar en las tres primeras horas, denunciar el mensaje en el mismo día, presentar denuncia en un plazo de dos días, reclamar por escrito en tres. Esta secuencia, respetada en orden, convierte a una víctima en un expediente. Y un expediente, a diferencia de un relato, obtiene respuestas.
Números y servicios útiles: 33700 (denuncia de SMS fraudulentos), 0 892 705 705 (bloqueo interbancario de tarjetas), 17 (policía de emergencias en Francia), Perceval a través de FranceConnect, Cybermalveillance.gouv.fr, servicio de predenuncia en línea del Ministerio del Interior.
