«No lo entiendo. Tengo cuidado, nunca hago clic, y aun así recibo cuatro SMS fraudulentos por semana.»
Esta frase se repite constantemente. Y es perfectamente lógica: la prudencia protege de las consecuencias de un SMS fraudulento, no de su recepción. Mientras tu número circule por bases de datos, seguirá siendo bombardeado. El problema no es tu comportamiento ante los mensajes, sino la exposición del identificador en sí.
Desde hace unos quince años, el número de móvil ha sustituido discretamente a la dirección postal y al correo electrónico como clave de identificación principal. Sirve para recibir un código de validación bancaria, seguir un paquete, crear una cuenta, acumular puntos de fidelización, publicar un anuncio o reservar mesa. Un único y mismo número, compartido con centenares de interlocutores de fiabilidad muy variable. Es un punto único de fallo, y los estafadores lo saben.
El método que se describe aquí no tiene nada de espectacular: consiste en dejar de usar un número único. Un número para las personas que importan y los servicios críticos, y un segundo para todo lo demás. No es un truco de informático, es compartimentación, exactamente el mismo principio que ya aplicamos a las contraseñas.
Por qué un número único siempre acaba filtrándose
Las filtraciones no vienen de ti
Un número de móvil no acaba en una lista de estafadores porque hayas cometido una torpeza. Llega ahí por acumulación:
- Las violaciones de datos. La CNIL ha registrado en los últimos años notificaciones masivas que afectan a operadores, plataformas de venta de entradas, mutuas y cadenas de distribución. El número de teléfono forma parte casi siempre de los campos expuestos, porque se considera «menos sensible» que la contraseña, cuando precisamente es permanente y no se puede cambiar sin coste.
- La reventa de ficheros. La captación comercial, perfectamente legal cuando existe consentimiento, alimenta una economía gris en la que las bases se revenden, se cruzan y se enriquecen. Una vez que un número entra en ese circuito, rara vez sale.
- El cruce de datos. Tu número dejado en un anuncio, en un formulario de concurso o en una web de reservas se convierte en un punto de unión que permite conectar varios conjuntos de datos entre sí. Eso explica esos SMS que «saben» tu nombre, tu ciudad o tu pedido.
La consecuencia: un perfil de víctima
Cuando un número está asociado a información contextual, el estafador deja de enviar un mensaje genérico. Envía un mensaje verosímil. Y la verosimilitud es, con diferencia, el primer factor de éxito del smishing. El Banco de Francia, en los trabajos de su Observatorio de la seguridad de los medios de pago, subraya el avance de los fraudes llamados «por manipulación», en los que la propia víctima actúa, convencida por un escenario creíble.
Compartimentar es romper ese cruce de datos. Si tu número «público» nunca está asociado a tu banco, una filtración que lo afecte ya no permite fabricar un mensaje bancario creíble.
Las tres formas de conseguir un segundo número
1. La segunda SIM física o la eSIM
Es la solución más robusta. Prácticamente todos los smartphones vendidos desde 2021 admiten doble SIM, y a menudo la combinación SIM física + eSIM. Una eSIM se activa en unos minutos desde un código QR, sin ir a una tienda.
Las tarifas de apoyo de 2 o 3 € al mes son más que suficientes: solo necesitas recibir SMS y hacer llamadas ocasionales. Algunos operadores incluso ofrecen tarifas bloqueadas por menos de 2 € que cumplen perfectamente esta función.
En un teléfono más antiguo que no admita eSIM, la solución del segundo dispositivo sigue siendo válida: un teléfono móvil doble SIM de gama básica, guardado en un cajón y encendido una vez por semana, cumple muy bien la función de «buzón» para los registros secundarios.
2. El número virtual de aplicación
Varios servicios ofrecen un número asignado por software, utilizable desde una aplicación. Es práctico, pero cuidado con dos límites: algunos servicios bancarios y administrativos rechazan los números no vinculados a un operador móvil clásico para el envío de códigos de validación, y la continuidad del número depende de la supervivencia del servicio. Un número virtual que caduca es una cuenta potencialmente irrecuperable.
3. La línea fija o el número de una tarifa antigua
Solución de andar por casa, pero eficaz: muchos formularios aceptan un número fijo. Si tienes uno con tu router, puede absorber una parte de los registros no críticos. El inconveniente: no recibe SMS, lo que bloquea cualquier doble autenticación.
Cómo repartir tus usos: la regla de las dos columnas
El principio es sencillo: el número privado nunca debe escribirse en un formulario en línea, salvo las excepciones indicadas.
| Uso | Número privado | Número público |
|---|---|---|
| Familia, amigos, compañeros | ✅ | ❌ |
| Banco, seguros, Hacienda, sanidad | ✅ | ❌ |
| Médico, farmacia, laboratorio | ✅ | ❌ |
| Colegio, guardería, empleador | ✅ | ❌ |
| Entregas, comercio electrónico | ❌ | ✅ |
| Tarjetas de fidelización, concursos | ❌ | ✅ |
| Anuncios clasificados, Vinted, Leboncoin | ❌ | ✅ |
| Reservas (restaurantes, peluquería, alquileres) | ❌ | ✅ |
| Registros en webs poco conocidas | ❌ | ✅ |
| Wi-Fi público que pide un número | ❌ | ✅ |
Esta tabla no es una restricción permanente. Exige un esfuerzo durante las dos primeras semanas, el tiempo de instalar el reflejo, y después se vuelve automática.
El caso particular de la doble autenticación
Este es el punto en el que hay que ser riguroso. Los códigos recibidos por SMS para validar un pago o una conexión deben llegar al número privado, nunca al público. La razón: el número público es el que figura en las bases filtradas, así que es el que será objetivo de un intento de secuestro de línea (fraude de portabilidad o de sustitución de SIM).
Y ya puestos, aprovecha la ocasión para abandonar el SMS cuando sea posible. La ANSSI recomienda desde hace tiempo las aplicaciones de autenticación en lugar de los códigos por SMS, ya que el SMS no está cifrado de extremo a extremo. Para las cuentas más sensibles, una llave de seguridad física FIDO2 constituye el nivel superior: hace que el phishing sea estructuralmente inoperante, puesto que no hay ningún código que pueda transmitirse a un tercero.
Lo que la compartimentación resuelve de verdad, y lo que no
Lo que resuelve
- El volumen. Las experiencias coinciden: al cabo de seis a doce meses, el número privado recibe una cantidad residual de spam, a menudo cercana a cero, mientras que el número público lo concentra todo.
- La credibilidad de los ataques. Un SMS de «tu paquete está retenido» recibido en un número que sabes que está reservado a las entregas y a los registros dudosos pierde de inmediato su poder de persuasión. Ya no tienes que preguntarte si es cierto: el contexto te responde.
- La detección de filtraciones. Al reservar ciertos usos a ciertos números, sabes de dónde viene una filtración. Es el principio de la dirección de correo desechable, aplicado al móvil.
Lo que no resuelve
Seamos honestos con los límites.
La suplantación del remitente sigue siendo posible: un estafador puede mostrar el nombre de tu banco sea cual sea el número al que apunte. La compartimentación reduce la probabilidad de que recibas ese mensaje, no la capacidad técnica del atacante.
Los SMS Blasters, esos maletines que simulan una antena de telefonía y bombardean todos los móviles en un radio de unos cientos de metros, se desentienden por completo de tu número: no utilizan la red del operador y no necesitan conocer tu línea. Ninguna compartimentación protege de este vector.
Por último, la compartimentación no te protege de tus allegados. Si el teléfono de un amigo se ve comprometido y se aspira su agenda de contactos, tu número privado sale de esa caja.
Hacer el cambio sin romperlo todo
Paso 1: inventariar antes de actuar
Antes de activar nada, haz una lista de los servicios en los que está registrado tu número actual. Abre tu bandeja de SMS y recorre los últimos seis meses: verás aparecer a los remitentes legítimos (banco, mutua, médico, operador, empresas de reparto). Ese es tu inventario de partida.
Una libreta de notas de papel sirve perfectamente para esta etapa, y tiene una ventaja real: nunca acabará en una filtración de datos. Muchas personas que estructuran su seguridad digital llevan este tipo de registro fuera de línea para la información de recuperación de cuentas.
Paso 2: decidir qué número se convierte en el «público»
Hay dos escuelas.
Opción A: el número de siempre pasa a ser el número público. Contratas una línea nueva para el uso privado. Ventaja: ningún trámite de actualización, todos los servicios existentes siguen funcionando. Inconveniente: tu flamante número privado hay que comunicárselo a tus allegados, y conviene acordarse de migrar allí los servicios críticos.
Opción B: el número de siempre sigue siendo privado. Contratas una línea nueva para el uso público. Ventaja: tus allegados no cambian nada. Inconveniente: hay que actualizar, uno por uno, todos los servicios no críticos ya registrados, o simplemente dejar que pase el tiempo y reservar el número público solo para los nuevos registros.
En la práctica, la opción B es más suave, y es la que recomiendo a quien no quiera meterse en obras. El número privado se «limpia» progresivamente.
Paso 3: gestionar dos líneas sin confusión
Tanto en Android como en iOS puedes ponerle nombre a cada línea («Personal», «Público»), asignarle un color de burbuja y definir una línea predeterminada para el envío. Dedícale cinco minutos: es lo que evita enviar un mensaje profesional desde el número desechable.
Un tono de llamada distinto por línea también resulta muy útil. El número público no necesita interrumpirte: ponlo en silencio permanente y consúltalo una vez al día. En los teléfonos que gestionan mal los perfiles de sonido por SIM, un reloj conectado con notificaciones filtradas permite dejar pasar únicamente la línea privada.
Paso 4: no dejar que el número público hable demasiado
Un número público sigue siendo un número que te pertenece. Evita asociarlo a tu nombre completo en los directorios, no lo uses como identificador de mensajería instantánea con foto de perfil personal y rechaza la sincronización de la agenda de contactos para las aplicaciones instaladas en ese contexto.
El reflejo que debe mantenerse pase lo que pase: denunciar
La compartimentación no sustituye a la denuncia. Cada SMS fraudulento recibido —en una línea o en la otra— debe reenviarse al 33700, servicio oficial francés de denuncia de spam telefónico y por SMS gestionado por la Association française du multimédia mobile en colaboración con los operadores. Es gratuito, lleva diez segundos y es lo que alimenta los bloqueos de los números emisores.
En caso de perjuicio económico, la denuncia ante las autoridades y las plataformas Perceval (para el uso fraudulento de tarjeta bancaria) y Cybermalveillance.gouv.fr (para el acompañamiento) siguen siendo los puntos de entrada oficiales.
Un número público saturado de spam no es un fracaso del sistema: es la prueba de que funciona. El spam se ha ido allí donde ya no hace daño.
¿Hay que llegar hasta los dos teléfonos?
Para la mayoría de la gente, no: la doble SIM basta. Aun así, hay dos situaciones que justifican un segundo dispositivo.
El caso profesional. Si eres autónomo o comerciante, el número que aparece en tus soportes comerciales es por definición público, expuesto y aspirado. Separarlo físicamente del teléfono personal tiene sentido, sobre todo para desconectar por las tardes y los fines de semana. Una batería externa compacta se convierte entonces en un accesorio indispensable, ya que dos dispositivos significan dos autonomías que gestionar.
El caso de los viajes. Para un viaje, un teléfono secundario con únicamente el número público limita la magnitud de los daños en caso de robo o pérdida, puesto que ni el banco ni los códigos de validación pasan por él. Se complementa muy bien con un localizador Bluetooth deslizado en el bolso, que al menos permite saber si el aparato se ha olvidado en algún sitio o se lo han llevado.
Lo que hay que recordar
No puedes impedir las filtraciones de datos: no dependen de ti. Lo que sí puedes decidir es qué se llevan consigo. Un número único es una llave que abre todas las puertas de tu vida digital; dos números son dos llaveros separados, de los cuales solo uno puede perderse sin consecuencias.
La puesta en marcha exige una hora de reflexión, unos pocos euros al mes y dos semanas de costumbre. A cambio, la pregunta «¿este SMS será verdadero?» aparece mucho menos a menudo, y ese es exactamente el objetivo. El mejor SMS fraudulento es el que llega a una línea de la que ya sabes, incluso antes de abrirlo, que nunca recibe nada importante.
