Todo el mundo conoce el reflejo: llega un SMS sospechoso, se reenvía al 33700, se borra y a otra cosa. El gesto es útil, pero deja en el aire una pregunta que nadie se hace nunca: ¿y después? ¿Adónde va esa denuncia? ¿Quién la lee? ¿Desemboca en algo concreto o acaba en un pozo sin fondo?
Este artículo no trata de cómo reconocer un SMS fraudulento, un tema ya ampliamente abordado. Se ocupa de lo que viene después: la arquitectura administrativa francesa de la denuncia, las ventanillas que existen realmente, qué hacen y, sobre todo, la parte que las víctimas descubren demasiado tarde: el procedimiento de reembolso bancario, sus plazos legales y los recursos cuando la entidad se hace la remolona. Porque en derecho francés, una víctima de fraude en los pagos dispone de muchas más palancas de las que imagina.
El 33700: qué ocurre de verdad con tu reenvío
El 33700 es un dispositivo impulsado por los operadores franceses (Orange, SFR, Bouygues Telecom, Free) bajo el paraguas de la Fédération française des télécoms, con el respaldo de los poderes públicos. Es gratuito, incluso desde una tarifa con consumo bloqueado.
El procedimiento oficial consta de dos pasos, y es el segundo el que muchos olvidan:
- Reenviar el SMS sospechoso al 33700.
- Esperar el SMS de respuesta automática y luego enviar el número del remitente (el que aparecía como emisor del mensaje fraudulento).
Sin este segundo paso, la denuncia resulta prácticamente inservible: la plataforma recibe un texto, pero no la fuente. Es el error más frecuente y explica en parte la sensación de inutilidad que perciben los usuarios.
Una vez recibido el par mensaje + número, los datos se agregan. Los operadores pueden entonces:
- cortar la línea emisora cuando pertenece a la red francesa;
- bloquear previamente, a nivel de red, los mensajes que contienen determinadas URL identificadas;
- transmitir los elementos a las autoridades judiciales en el marco de investigaciones.
El 33700 es una herramienta de defensa colectiva, no de reparación individual. Protege a los próximos destinatarios, no a ti. Precisamente por eso nunca exime de los demás trámites.
Una nota sobre la realidad técnica: una parte creciente de las campañas de smishing detectadas desde 2025 por equipos como la Unit 42 de Palo Alto Networks ya no utiliza en absoluto tarjetas SIM francesas. Los envíos pasan por pasarelas internacionales, números virtuales rotatorios o equipos de emisión desplazados en coche. Cortar una línea se convierte entonces en un juego del topo. Esto no vuelve inútil la denuncia, pero explica por qué no basta.
Las demás ventanillas oficiales y cuál elegir
Francia ha multiplicado las plataformas hasta el punto de que las víctimas ya no saben a cuál acudir. Este es el reparto real de competencias.
| Plataforma | De qué se ocupa | Qué no hace |
|---|---|---|
| 33700 | SMS y llamadas no deseadas, spam telefónico | No te reembolsa ni recoge denuncias penales |
| Cybermalveillance.gouv.fr | Diagnóstico, contacto con un proveedor, fichas prácticas | No investiga ni persigue |
| PHAROS (internet-signalement.gouv.fr) | Contenidos ilícitos en línea, sitios fraudulentos | No trata el perjuicio económico individual |
| Perceval (service-public.fr) | Uso fraudulento de tarjeta bancaria, sin denuncia penal | No sustituye la gestión ante el banco |
| THESEE | Denuncia en línea por estafas en internet | No cubre todos los tipos de infracción |
| Signal Conso | Litigios con un profesional, prácticas comerciales abusivas | No trata el fraude penal |
El reflejo correcto depende de lo que hayas perdido.
Si no has introducido nada
Reenvío al 33700, borrado del mensaje y punto. No tiene sentido denunciar por un SMS recibido: no hay perjuicio constituido. En cambio, si los mensajes se repiten de forma masiva, guarda algunas capturas: pueden alimentar un expediente posterior.
Si has introducido credenciales
Cambio inmediato de las contraseñas afectadas, activación de la doble autenticación allí donde sea posible y, después, denuncia en Cybermalveillance.gouv.fr, que ofrece un itinerario de asistencia personalizado. Para quienes gestionan una decena de cuentas sensibles, una libreta de contraseñas en papel guardada fuera de la vista sigue siendo, paradójicamente, una solución más robusta que un archivo de texto en el escritorio, siempre que nunca salga de casa.
Si has facilitado datos bancarios
Aquí el orden de las operaciones importa, y cada hora cuenta.
El procedimiento bancario: lo que dice realmente la ley
Es el punto peor conocido y el más favorable a las víctimas. El principio lo establece el código monetario y financiero, en sus artículos L.133-18 y siguientes, transposición de la directiva europea sobre servicios de pago (DSP2).
La regla básica es clara: en caso de operación de pago no autorizada, el banco reembolsa de inmediato al pagador y, como muy tarde, al final del primer día hábil siguiente a la notificación. No es un gesto comercial, es una obligación legal.
Los matices que conviene conocer:
- La franquicia de 50 € prevista en caso de pérdida o robo no se aplica cuando los datos han sido sustraídos a distancia sin que la tarjeta haya salido de tu poder.
- El banco solo puede negarse demostrando una negligencia grave por tu parte. La carga de la prueba le corresponde a él, y la Cour de cassation ha recordado en varias ocasiones que la mera comunicación de un código recibido por SMS, obtenida mediante una maniobra fraudulenta sofisticada, no configura automáticamente esa negligencia.
- El plazo para reclamar es de 13 meses desde el cargo (70 días si el proveedor está situado fuera del Espacio Económico Europeo).
En la práctica, los pasos a seguir:
- Bloquear la tarjeta sin demora (aplicación bancaria, servidor interbancario de bloqueo en el 0 892 705 705).
- Reclamar por escrito, mediante carta certificada con acuse de recibo, detallando las operaciones, fechas e importes. El escrito es lo que activa los plazos legales; una llamada telefónica no deja ninguna huella oponible.
- Declarar en Perceval si la tarjeta se ha utilizado sin haber sido sustraída físicamente. El resguardo es un elemento del expediente.
- Interponer denuncia en comisaría, gendarmería o a través de THESEE cuando los hechos constituyan una estafa en línea.
Cuando el banco se niega: los recursos que funcionan
La negativa es frecuente y suele justificarse con la fórmula comodín: «usted validó la operación con su dispositivo de autenticación reforzada». En sí misma, no es una respuesta desestimatoria válida.
Paso 1 — El servicio de reclamaciones
Cada entidad cuenta con un servicio de reclamaciones distinto de la oficina. Escríbele directamente, invocando el artículo L.133-18 y solicitando la aportación de los elementos técnicos que justifiquen la autenticación impugnada. Plazo de respuesta regulado: quince días hábiles en principio, dos meses como máximo en casos complejos.
Paso 2 — El defensor del cliente bancario
Gratuito, independiente y accesible en línea. Sus dictámenes no son vinculantes, pero se siguen en la gran mayoría de los casos. Es necesario haber agotado previamente el recurso interno. Sus datos de contacto figuran obligatoriamente en los extractos de cuenta y en las condiciones generales.
Paso 3 — Las autoridades de supervisión
La ACPR (Autorité de contrôle prudentiel et de résolution), vinculada al Banco de Francia, no resuelve litigios individuales, pero recoge las denuncias y sanciona las prácticas irregulares de las entidades. Un volumen elevado de denuncias sobre un mismo comportamiento produce efectos: varios bancos han endurecido sus procedimientos de reembolso tras campañas de reclamación coordinadas y difundidas por las asociaciones de consumidores (UFC-Que Choisir, CLCV).
Paso 4 — El juez
Ante el tribunal judicial, el procedimiento para pequeños litigios sigue siendo accesible sin abogado por debajo de determinados umbrales. Las resoluciones publicadas en los últimos años son mayoritariamente favorables a las víctimas de spoofing bancario, siempre que la maniobra fuera creíble y el banco no demuestre una falta grave.
Un expediente ganador es un expediente fechado. Capturas de pantalla con marca horaria, cartas certificadas, resguardos de denuncia, extractos anotados. La calidad del archivo pesa más que la elocuencia de la carta.
Construir un expediente sólido
Muchos recursos fracasan no por falta de derecho, sino por falta de pruebas utilizables. Algunos principios concretos.
No borres nada antes de haberlo archivado. El propio SMS fraudulento es una prueba: muestra el remitente mostrado, la hora y el contenido. Fotografía la pantalla en lugar de limitarte a una captura, porque la foto incorpora a veces metadatos útiles.
Documenta la cronología. Una simple tabla de tres columnas —hora, hecho, prueba asociada— vale más que un relato. Los servicios de reclamaciones tramitan cientos de expedientes; el que se lee en dos minutos es el que avanza.
Conserva los originales fuera del dispositivo. Si el teléfono ha sido comprometido, puede ser restablecido, incautado o simplemente averiarse. Una memoria USB cifrada guardada aparte, o un disco duro externo dedicado a los documentos sensibles, evita perderlo todo en el peor momento. La nube no es mala idea, siempre que la cuenta asociada no se haya visto afectada por el fraude.
Haz constatar el estado del dispositivo si se ha instalado una aplicación. Un proveedor homologado por Cybermalveillance.gouv.fr puede elaborar un informe técnico. Es un elemento de peso frente a una aseguradora o un juez.
El apartado del seguro, a menudo ignorado
Muchos contratos bancarios de gama alta, así como algunos seguros de hogar multirriesgo o garantías de «protección jurídica», incluyen un apartado de ciberprotección. Las coberturas abarcan, según los casos, la asistencia para recuperar cuentas, la vigilancia de la usurpación de identidad e incluso la asunción de gastos de procedimiento.
Relee tus condiciones generales antes de pagar nada a un proveedor privado. El plazo de declaración a la aseguradora suele ser corto —cinco días hábiles en muchos contratos— y empieza a contar desde el descubrimiento de los hechos, no desde el fraude en sí.
Lo que hay que hacer antes para que todo sea más sencillo
El mejor expediente es el que no hay que preparar. Tres hábitos cambian las cosas.
Compartimentar los usos. Una tarjeta bancaria virtual con límite reducido para las compras en línea limita mecánicamente el perjuicio. La mayoría de los bancos la ofrecen gratis, basta con activarla.
Filtrar de antemano. Los sistemas recientes ofrecen una clasificación automática de los remitentes desconocidos. En dispositivos más antiguos o para personas menos habituadas, una aplicación de filtrado de SMS no deseados instalada desde la tienda oficial reduce sensiblemente el volumen que llega realmente al usuario.
Asegurar el acceso físico. Un teléfono con la pantalla agrietada acaba a menudo en manos de un reparador con sus datos intactos, y un aparato que se apaga por falta de batería no permite bloquear la tarjeta a tiempo. Un cristal templado de protección y una batería externa compacta son menos un gadget que una garantía de continuidad operativa el día en que hay que actuar rápido.
Por último, en los hogares donde se acompaña a una persona mayor, la experiencia demuestra que conocer los trámites vale más que el miedo. Una guía práctica de ciberseguridad para particulares dejada al alcance y consultada con calma genera reflejos más duraderos que una advertencia repetida con urgencia.
En resumen
| Situación | Trámite prioritario | Plazo a respetar |
|---|---|---|
| SMS recibido, sin hacer clic | 33700 (mensaje + número) | Inmediato |
| Credenciales introducidas | Cambio de contraseñas, Cybermalveillance.gouv.fr | En una hora |
| Datos bancarios facilitados | Bloqueo, reclamación escrita, Perceval, denuncia | 13 meses como máximo para reclamar |
| Banco que se niega | Servicio de reclamaciones → defensor del cliente → ACPR → juez | De 15 días a 2 meses por etapa |
| Aplicación instalada | Aislamiento del dispositivo, peritaje, denuncia | Inmediato |
Denunciar un SMS fraudulento es participar en un esfuerzo colectivo. Hacer valer los propios derechos es otra cosa: un trámite individual, escrito, documentado y mucho más eficaz de lo que se cree. La legislación francesa y europea protege a las víctimas de fraude en los pagos bastante mejor de lo que dan a entender las primeras negativas de los servicios de atención al cliente. Eso sí, hay que saber dónde llamar a la puerta y en qué orden.
Y cuando necesites avisar rápidamente a un allegado de que circula una campaña de SMS falsos en nombre de una empresa de transporte o de un banco, un mensaje breve enviado desde un navegador, sin instalar nada, sigue siendo la forma más directa de hacer llegar la información, sobre todo si el dispositivo afectado es precisamente aquel del que se duda.
