«Publiqué la bici a las 14:00. A las 14:40 ya tenía un SMS de un comprador. Me pareció estupendo.»
No era un comprador. Era un bot o, más exactamente, un pequeño equipo con herramientas que vigilan los nuevos anuncios de forma continua. La venta entre particulares se ha convertido en uno de los terrenos más rentables del smishing, porque reúne tres ingredientes que los estafadores adoran: una persona que espera un contacto, una transacción de dinero prevista y un número de móvil a menudo visible o fácil de conseguir.
La particularidad de estas estafas es que no se parecen a un SMS fraudulento clásico. No hay faltas de ortografía groseras ni amenazas sobre una cuenta bloqueada. Hay un mensaje educado, creíble, que llega exactamente en el momento en que lo esperas. Ese momento lo hace todo.
Cómo acaba tu número en sus manos
Lo has mostrado tú mismo
En Leboncoin, mostrar el número sigue siendo una opción muy utilizada, sobre todo en las ventas locales (muebles, electrodomésticos, coches). Muchos vendedores la activan pensando que así «filtran a los curiosos». En la práctica, eso deja el número a la vista de cualquier visitante, humano o automático. Hay scripts que recorren los anuncios recientes de una categoría y una zona, extraen los números publicados y los guardan en una lista fresca y ultracualificada: esa gente está vendiendo algo, ahora mismo.
Lo has escrito en el texto o en una foto
El clásico: «Contáctame al 6XX XX XX XX para ir más rápido». Algunos incluso lo cuelan en la foto, pensando que así escapan de los bots. Las herramientas de reconocimiento de texto en imágenes se han vuelto triviales; esa precaución dejó de proteger hace mucho tiempo.
Lo has dado en la mensajería interna
Es el punto de inflexión más frecuente. La conversación empieza correctamente en la mensajería de la plataforma y luego el interlocutor propone «seguir por SMS, que es más cómodo». Das tu número y sales del único entorno donde la plataforma puede detectar mensajes sospechosos, conservar pruebas y suspender una cuenta.
Salir de la mensajería interna es exactamente el objetivo del estafador. Todo lo demás viene después.
Los cuatro escenarios más habituales en 2026
1. El falso pago «bloqueado a la espera de validación»
Recibes un SMS que anuncia que se ha realizado un pago y que no se desbloqueará hasta que hagas algo: confirmar una cuenta, validar una dirección de entrega, pagar unos «gastos de protección». Un enlace acompaña al mensaje y lleva a una página que imita fielmente la interfaz de la plataforma o de un servicio de pago.
La página pide o bien tus credenciales o bien —más grave— el número de tu tarjeta bancaria «para recibir los fondos». Un vendedor nunca necesita introducir su tarjeta para cobrar. Esa sola regla neutraliza la mayoría de los intentos.
2. El enlace de «entrega a domicilio» enviado por el supuesto comprador
El comprador explica que está lejos, que recurre a un transportista, y te envía por SMS un enlace para «organizar la recogida». El sitio reproduce la apariencia de un transportista conocido y reclama tus datos bancarios para «reembolsarte los gastos de envío». Estos falsos sitios de transportistas se han vuelto extremadamente cuidados desde que los estafadores usan generadores de páginas automatizados.
3. El exceso de pago que hay que devolver
Escenario más artesanal pero temiblemente eficaz: el comprador asegura haber transferido 800 € en lugar de 80 €, con captura de pantalla de la transferencia como prueba, y te pide que le devuelvas la diferencia «rápido, que es el dinero del alquiler». La captura está fabricada, la transferencia no existe y el dinero que devuelves sí es real. Los avisos de este tipo aparecen con regularidad en Cybermalveillance.gouv.fr entre los fraudes clásicos de la venta entre particulares.
4. El código de verificación pedido «para demostrar que no eres un robot»
El interlocutor anuncia que va a enviarte un código de seis cifras y te pide que se lo comuniques. En realidad, está creando una cuenta (mensajería, servicio de pago, plataforma de anuncios clasificados) usando tu número como número de verificación. El código que llega a tu teléfono no tiene nada que ver con el comprador: es la llave de una cuenta abierta a tu nombre.
Ningún comprador legítimo, en ninguna plataforma, necesita un código recibido en tu teléfono. Ninguno. Es la señal de alarma más fiable de toda la venta en línea.
Por qué funcionan estos SMS cuando otros fracasan
El smishing bancario clásico juega con el miedo. El fraude en la venta juega con otra cosa: la espera y la cortesía.
Cuando vendes un objeto, estás en posición de demandante. Esperas un contacto, temes que el anuncio no se mueva nunca, quieres mostrarte receptivo y flexible. Un comprador que escribe «Hola, ¿sigue disponible el artículo? Vivo en Lille, puedo pedir que lo envíen, pago ahora mismo» marca todas las casillas del alivio.
A eso se suma que el canal SMS no muestra ningún indicador de confianza. Ni dirección de remitente completa, ni perfil, ni historial, ni valoraciones. Un simple número de móvil, o un nombre de remitente alfanumérico cuando el estafador usa una pasarela de envío profesional, lo que le permite mostrar «ENTREGA» o el nombre de una plataforma en lugar de un número.
La tabla de las señales de alerta
| Lo que dice el mensaje | Lo que significa |
|---|---|
| «Seguimos por SMS / WhatsApp, es más práctico» | Salida de la mensajería con registro |
| «El pago está pendiente, valídelo en este enlace» | Página de phishing |
| «Facilite su tarjeta para recibir los fondos» | Recopilación de datos bancarios |
| «Te he enviado demasiado dinero, devuélvemelo» | Transferencia falsa, pérdida real |
| «Dame el código que acabas de recibir» | Secuestro de cuenta |
| «Mi transportista necesita tus datos» | Falso sitio de entrega |
| «Tengo prisa, me voy de viaje mañana» | Presión temporal artificial |
Vender sin exponer el número: el método
Mantener la conversación donde nació
Mientras el intercambio se quede en la mensajería de la plataforma, conservas un historial que puede alegarse y la plataforma puede intervenir. Un comprador serio que vive a 15 km no tiene ninguna razón para negarse a seguir allí hasta el momento de fijar la cita.
No mostrar el número en el anuncio
Si la venta es local, una cita se concreta perfectamente por mensajería. El número solo se transmite en el último momento, a una persona identificada, para la logística del día señalado.
Usar un número secundario para las ventas
Para quienes venden con regularidad, un segundo número dedicado resuelve el problema de raíz. Una tarjeta SIM prepago sin permanencia basta de sobra: funciona como una dirección desechable y, el día en que quede sepultada bajo los SMS fraudulentos, se reemplaza sin tocar el número principal. Los teléfonos con doble SIM hacen la maniobra indolora.
Fotografiar sin revelar la dirección
Una foto de un objeto tomada en el salón con una ventana que da a una placa de calle, una carta sobre la mesa, una llave de coche legible: esos detalles alimentan el rastreo. Un fondo neutro lo cambia todo, y un pequeño fondo fotográfico plegable para objetos —o simplemente una sábana tensada— basta para conseguir anuncios limpios, que además se venden mejor.
Verificar los pagos en la fuente, nunca por SMS
La única verificación que vale es la que inicias tú: abrir tu aplicación bancaria o la aplicación de la plataforma, por tus propios medios, sin hacer clic en nada. Un pago real aparece en la aplicación. Un pago ficticio solo existe en un SMS.
El momento de la entrega en mano
La venta local tiene sus propios riesgos, distintos del smishing pero a menudo desencadenados por los mismos intercambios.
- Elegir un lugar público y concurrido. Aparcamiento de supermercado de día, vestíbulo de estación, comisaría para objetos de valor: varias comisarías y cuarteles ofrecen oficialmente sus inmediaciones como puntos de intercambio.
- No hacer venir a un desconocido a casa por un objeto transportable. Si el objeto es un mueble, estar acompañado.
- Comprobar los billetes en importes elevados. Un bolígrafo detector de billetes falsos cuesta unos pocos euros y evita una noche muy mala; para un coche o material profesional, la transferencia inmediata verificada en el propio teléfono sigue siendo el único método fiable.
- Rechazar el cheque bancario sin verificar. Los cheques bancarios falsos siguen circulando; la verificación se hace ante la oficina emisora, llamando a un número que uno mismo haya buscado.
El envío: el segundo punto ciego
Cuando el objeto sale por paquetería, aparecen dos riesgos.
El primero es el litigio fabricado: el comprador declara haber recibido una caja vacía o un objeto roto. El único cortafuegos eficaz es la prueba. Fotografiar el objeto, su número de serie, el embalaje abierto y luego cerrado, y conservar el resguardo de envío. Una báscula de cocina digital permite además anotar el peso exacto del paquete antes de enviarlo: una diferencia entre el peso declarado en el depósito y el impugnado es un argumento demoledor en caso de reclamación.
El segundo es el falso SMS de seguimiento. Una vez enviado el paquete, tanto el vendedor como el comprador reciben mensajes de seguimiento auténticos, lo que crea el terreno perfecto para colar uno falso. Las campañas de falsos SMS de entrega siguen siendo, año tras año, la primera categoría de smishing denunciada en Francia. La regla no cambia: ningún enlace en un SMS de seguimiento; se abre la aplicación del transportista o se pega el número de seguimiento en el sitio oficial.
Qué hacer cuando ya ha ocurrido
Si has introducido tus datos bancarios
- Llamar de inmediato al número de bloqueo de tu banco o al servicio interbancario de declaración de pérdida y robo, el 0 892 705 705.
- Bloquear la tarjeta y vigilar los movimientos.
- Presentar denuncia, conservando las capturas de pantalla de los SMS y de las páginas visitadas.
- Impugnar las operaciones no autorizadas: el código monetario y financiero prevé el reembolso de los pagos no autorizados, salvo negligencia grave demostrada por tu parte. Razón de más para no haber validado nunca una notificación de autenticación en la aplicación bancaria.
Si has comunicado un código de verificación
Hay que recuperar el control de la cuenta asociada sin esperar: cambio de contraseña, cierre de todas las sesiones, revisión de los números y direcciones de recuperación registrados. Si el código afectaba a una plataforma de pago, contactar con su soporte para denunciar la apertura fraudulenta.
En todos los casos
- Denunciar el número emisor reenviándolo al 33700 (servicio gratuito de los operadores).
- Denunciar el anuncio y el perfil en la plataforma correspondiente.
- Declarar el phishing en la plataforma Phishing Initiative o a través de Cybermalveillance.gouv.fr, que también orienta sobre los trámites adecuados.
- En caso de fraude bancario consumado, la plataforma Perceval permite denunciar en línea los usos fraudulentos de tarjeta.
Cinco minutos de preparación antes de publicar
Antes de poner un anuncio en línea, una breve rutina reduce considerablemente la exposición:
- Ocultar el número de teléfono en las opciones del anuncio.
- Releer el texto y las fotos para comprobar que no se ve ningún número, ninguna dirección, ninguna matrícula, ningún documento.
- Decidir de antemano el método de pago aceptado y mantenerlo sean cuales sean las propuestas recibidas.
- Recordar que una venta que se alarga cuesta tiempo, nunca dinero, mientras que una venta precipitada puede costar las dos cosas.
Para quienes venden mucho, un cuaderno de seguimiento de ventas —aunque sea una simple libreta— ayuda a dejar constancia de fechas, importes y números de seguimiento. Parece anticuado en la era de las aplicaciones, pero es exactamente el documento que se busca cuando surge un litigio seis semanas después.
Vender entre particulares sigue siendo una práctica sana, útil y masivamente extendida. El único cambio es que el canal SMS se ha convertido en una puerta de entrada para el fraude más que en una simple herramienta de contacto. La defensa no exige ni competencias técnicas ni desconfianza permanente: se resume en un único principio, mantener la transacción en el espacio donde puede verificarse y considerar sospechoso por definición cualquier mensaje que te invite a salir de él.
