« MUTUA: su nueva tarjeta de seguro médico 2027 ya está disponible. Descárguela antes del 31/10 para evitar cualquier interrupción de la cobertura: espace-adherent-tp[.]net »
Sylvie, 54 años, auxiliar administrativa en Chambéry, recibió este mensaje un martes por la mañana. Justo tres días antes le había llegado una carta auténtica de su mutua sobre la evolución de sus cuotas. El SMS caía en el momento oportuno, con el vocabulario adecuado, y no pedía nada más que «descargar una tarjeta». Facilitó su nombre, su fecha de nacimiento, su número de la Seguridad Social y su IBAN «para verificar el cobro de la cuota». Seis días más tarde, un cargo de 480 € salía hacia una entidad desconocida y su número de la Seguridad Social circulaba en un fichero revendido.
Lo que hace eficaz esta estafa no es el miedo. Es la burocracia ordinaria: en esta época del año, que una mutua te escriba no tiene nada de extraño. El SMS falso no crea un acontecimiento, se cuela en un acontecimiento que ya existe.
Por qué el otoño es la temporada ideal para suplantar a una mutua
El calendario de los seguros de salud es público y perfectamente previsible
En Francia, la gran mayoría de los contratos de seguro médico complementario funcionan por año natural: vencimiento el 31 de diciembre, subida de cuotas anunciada en otoño, nueva tarjeta de seguro médico enviada en diciembre o enero. La ley Chatel obliga además a las entidades a informar al asegurado de su fecha límite de cancelación antes del vencimiento, lo que concentra los envíos postales entre septiembre y noviembre.
Resultado: entre el 1 de octubre y el 31 de enero, millones de franceses reciben realmente mensajes de su mutua. Avisos de vencimiento, certificados de derechos, nueva tarjeta, renovación de la orden de domiciliación SEPA, «actualización de su área de cliente». El estafador no necesita adivinar cuál es tu entidad: le basta con escribir «MUTUA» o «SU SEGURO DE SALUD» y dejar que el destinatario rellene el hueco con el nombre de la suya.
Casi todo el mundo tiene cobertura, así que casi todo el mundo es un objetivo
El seguro médico complementario afecta a prácticamente toda la población: asalariados a través de pólizas colectivas obligatorias, jubilados con contrato individual, funcionarios, autónomos, beneficiarios de la Complémentaire santé solidaire. En otras palabras, un SMS de «mutua» enviado al azar alcanza a un objetivo pertinente en casi el 100 % de los casos, mientras que un SMS falso de una operadora o de un banco se equivoca a menudo de marca.
La tarjeta de seguro médico es un objeto que nadie sabe describir bien
Pregunta a la gente de tu entorno cómo es una tarjeta de seguro médico, quién la emite y qué pasa si no la tienes. Las respuestas son vagas. Sabemos que sirve en la farmacia, que tiene una fecha de validez, que lleva un número. Es exactamente el tipo de documento administrativo mal dominado que hace las delicias del smishing: el destinatario no puede detectar la incoherencia, porque no tiene ninguna referencia clara en la cabeza.
Qué busca realmente el SMS falso
A diferencia del SMS falso de paquetería, que quiere el número de tu tarjeta bancaria, el SMS falso de la mutua persigue un botín más amplio y, a menudo, más rentable en la reventa.
| Dato solicitado | Pretexto mostrado | Uso real |
|---|---|---|
| Nombre, fecha de nacimiento, dirección | «Identificación del asegurado» | Construcción de un perfil creíble para las estafas siguientes |
| Número de la Seguridad Social | «Verificación de sus derechos» | Fraude en prestaciones, usurpación de identidad médica |
| IBAN + firma de orden de domiciliación | «Confirmación del cobro de la cuota» | Cargos SEPA fraudulentos recurrentes |
| Credenciales del área de cliente | «Acceso a su tarjeta» | Desvío de los reembolsos, cambio de datos bancarios |
| Número de tarjeta bancaria | «Gastos de reedición de 1,90 €» | Suscripción encubierta o prueba de tarjeta |
El detalle más subestimado es la orden de domiciliación SEPA. Muchas víctimas creen que hace falta su tarjeta bancaria para poder cobrarles. Un IBAN, un nombre y una firma electrónica bastan para activar un cargo que pasará por la cuenta sin alerta particular, sobre todo si el concepto se parece al de una entidad sanitaria. El derecho al reembolso existe —volveremos sobre ello más abajo—, pero primero hay que detectar la línea en el extracto.
El número de la Seguridad Social, el dato que no se puede cambiar
Tu tarjeta bancaria se bloquea en diez minutos. Tu número de la Seguridad Social, en cambio, se asigna de por vida. Permite al estafador parecer legítimo en el siguiente SMS, intentar una usurpación ante organismos sociales o, simplemente, aumentar el valor de tu ficha en los mercados de datos robados. Por eso la Assurance Maladie recuerda en ameli.fr que nunca pide datos bancarios ni el número de la Seguridad Social por SMS o por correo electrónico.
Las siete señales que delatan un SMS falso de mutua
1. No se menciona la mutua, o se menciona mal
Tu entidad conoce su propio nombre y lo utiliza. Un mensaje que dice «su mutua», «su seguro de salud» o «servicio de atención al asegurado» sin citar nunca la marca es anómalo. A la inversa, desconfía también de los nombres casi correctos: «Harmonie Mutuelles», «MGEN Service», «Mutuelle Générale de France»: una letra, un plural, una palabra añadida.
2. Un plazo corto e inventado
«Antes del 31/10», «en 48 h», «de lo contrario se interrumpirá la cobertura». Ninguna mutua suspende tus derechos porque no hayas descargado un archivo. Los derechos dependen del pago de la cuota, no de un clic.
3. Un dominio que no es el de la entidad
Los enlaces falsos adoptan formas plausibles: espace-adherent-tp.net, mutuelle-carte2027.info, tierspayant-fr.top. Fíjate en lo que precede inmediatamente a la primera /: ese es el único dominio que cuenta. Si no es el sitio que conoces, el resto de la dirección no tiene ninguna importancia.
4. Gastos, aunque sean mínimos
«1,90 € de gastos de reedición», «2,50 € de participación en el envío». Una mutua no cobra por enviarte tu tarjeta mediante un enlace por SMS. El importe reducido nunca es el objetivo: sirve para obtener dieciséis dígitos.
5. Un formulario que pide más de lo necesario
Para descargar un documento, un área de cliente pide un usuario y una contraseña. No tu IBAN, ni tu número de la Seguridad Social, ni una foto de tu tarjeta sanitaria, ni un selfi con tu documento de identidad.
6. Un tono que habla de «cobertura interrumpida»
La amenaza es siempre la misma: dejarás de recibir reembolsos, el farmacéutico rechazará la tarjeta, tu expediente se cerrará. Este registro alarmista es un marcador casi sistemático.
7. Un remitente con un 06 / 07 o un número extranjero
Las entidades francesas utilizan números cortos o un nombre de remitente alfanumérico. Un mensaje «oficial» enviado desde un 07 o un +212 debe descartarse de inmediato. Ojo, sin embargo: la suplantación del nombre del remitente existe, así que un remitente creíble no prueba nada; es un indicio negativo, no una garantía positiva.
El único método de verificación que funciona
Se resume en una frase: nunca verifiques una información en el mismo canal que te la trae.
- Cierra el SMS sin hacer clic.
- Coge tu tarjeta de seguro médico actual, o tu último aviso de vencimiento en papel.
- Llama al número que figura en él, o abre la aplicación oficial de tu mutua que tú mismo hayas instalado.
- Pregunta simplemente: «¿tengo alguna gestión pendiente en mi contrato?».
Esta comprobación lleva tres minutos y neutraliza por completo la estafa, por refinada que sea. Para quienes no soportan buscar sus papeles, un archivador con separadores dedicado a los documentos de salud y guardado cerca del teléfono marca una diferencia concreta: se verifica con mucha más facilidad cuando la información está al alcance de la mano.
Dos hábitos que reducen la superficie de ataque
- Guardar el número real de tu mutua en tus contactos, con un nombre claro. Una llamada entrante identificada tranquiliza; una llamada desconocida hace dudar.
- Apuntar la fecha de vencimiento de tu contrato en un sitio estable. Un calendario familiar de pared o una simple libreta de tapa dura bastan: cuando sabes que tu vencimiento es el 31 de diciembre, un SMS que habla de una suspensión el 15 de octubre pierde al instante toda credibilidad.
Has rellenado el formulario: qué hacer
El tiempo cuenta enormemente. Este es el orden de prioridades.
En la primera hora
- Si has facilitado un IBAN: llama a tu banco, pide vigilancia de la cuenta y el registro de una lista negra de beneficiarios en tus domiciliaciones SEPA. Especifica que no debe aceptarse ninguna orden nueva.
- Si has facilitado un número de tarjeta bancaria: bloquéala de inmediato desde la aplicación de tu banco o a través del servicio interbancario de bloqueo (0 892 705 705).
- Si has introducido credenciales: cambia la contraseña del área de cliente afectada y de cualquier otra cuenta en la que usaras la misma. Es el momento en el que un gestor de contraseñas deja de ser un capricho y resulta útil: permite saber exactamente dónde se reutilizaba la contraseña comprometida.
- Comprueba tus datos bancarios en el área de cliente: la maniobra clásica consiste en sustituir allí tu IBAN por el del estafador para desviar tus reembolsos.
En las 48 horas siguientes
- Denuncia el mensaje reenviándolo al 33700, la plataforma oficial de denuncia de SMS fraudulentos gestionada junto con las operadoras francesas.
- Denuncia el sitio de recogida de datos en Phishing Initiative y los hechos en cybermalveillance.gouv.fr, que ofrece un itinerario de asistencia paso a paso.
- Avisa a tu mutua: las entidades mantienen listas de campañas en curso y alertan a sus asegurados.
- Presenta una denuncia, en línea o en comisaría. De ella depende parte de las reclamaciones posteriores.
En las semanas siguientes
- Revisa tus extractos bancarios línea por línea durante tres meses. En materia de cargos SEPA no autorizados, el Código monetario y financiero francés te reconoce un derecho al reembolso previa reclamación en un plazo de 13 meses (8 semanas sin justificación especial para un cargo impugnado). Cuanto más rápido actúes, más sencillo será el trámite.
- Si se ha transmitido tu número de la Seguridad Social, vigila los desgloses en tu cuenta ameli y comunica cualquier consulta o dispensación que no reconozcas.
- Prepárate para una segunda oleada: a las víctimas las vuelven a llamar falsos «servicios antifraude» o falsos asesores. Esa llamada es la continuación lógica de la estafa, no una casualidad.
El caso particular de las pólizas colectivas de empresa
Si tu mutua es la de tu empresa, estás doblemente expuesto. Primero, porque a menudo no conoces ni el nombre exacto de la entidad ni las condiciones del contrato: lo gestiona el departamento de RR. HH. Y segundo, porque los estafadores aprovechan esa distancia: «Su empresa ha modificado su seguro de salud, confirme sus datos».
La regla sigue siendo la misma, pasando por otro canal: ningún cambio en una póliza colectiva se confirma por SMS. Hay que comprobarlo con el departamento de RR. HH. o con el gestor indicado en la nota informativa entregada al incorporarse. Muchos empleados nunca la han leído; sacarla una vez al año lleva diez minutos y evita muchas dudas.
Proteger a un familiar que no maneja bien estos mensajes
Las personas más afectadas son las que reciben mucha correspondencia sanitaria: jubilados con contrato individual, personas con enfermedades de larga duración, cuidadores que gestionan el expediente de un progenitor. Para ellas, suelen bastar tres gestos sencillos:
- Instalar la aplicación oficial de la mutua por ellas y acordar que nunca se abrirá ningún enlace recibido por SMS.
- Establecer una regla de «doble voz»: cualquier mensaje que pida un dato personal da lugar a una llamada a una persona de confianza antes de hacer nada.
- Facilitar un soporte de lectura cómodo: un soporte de teléfono ajustable o una lupa con luz ayudan realmente a leer una dirección web completa, que es la condición para detectar un dominio falso.
Para recordar
- La temporada de renovación de los seguros de salud (octubre → enero) es un pico estructural de SMS falsos de mutuas.
- La estafa no busca en primer lugar tu tarjeta bancaria, sino un conjunto de datos: número de la Seguridad Social, IBAN, credenciales.
- Ninguna entidad sanitaria pide esta información por SMS, ni cobra por el envío de una tarjeta de seguro médico.
- La verificación se hace siempre fuera del SMS: el número que figura en tu tarjeta, la aplicación que has instalado tú.
- Si has hecho clic: bloqueo de la tarjeta o de las domiciliaciones en la primera hora, denuncia al 33700, denuncia policial y, después, vigilancia de los extractos durante tres meses.
Un SMS falso de mutua no se reconoce por su torpeza: las campañas de 2026 están cuidadas, bien escritas y bien encajadas en el calendario. Se reconoce por una sola cosa: te pide actuar dentro de su propio enlace. En el momento en que sales de ese enlace, la estafa pierde todo su poder.
