Existe una categoría de víctimas de la que se habla mucho menos que de las demás: los vendedores. Desde hace años se repite a los compradores que desconfíen de los anuncios demasiado buenos, de los anticipos exigidos por adelantado, de los vendedores con prisa. Pero cuando eres tú quien vende su vieja bicicleta, una videoconsola o un abrigo que se ha quedado pequeño, bajas la guardia. Al fin y al cabo, ¿qué te pueden quitar? No tienes nada que pagar.
Es precisamente ese razonamiento el que explotan los estafadores. Desde hace varios años, Cybermalveillance.gouv.fr y la DGCCRF alertan sobre un fraude dirigido específicamente a los particulares que han publicado un anuncio: el falso comprador. Casi siempre empieza con un SMS y termina, en los peores casos, con una cuenta bancaria vaciada o un crédito al consumo contratado a tu nombre.
Por qué el vendedor se ha convertido en el objetivo ideal
Este vuelco se explica por tres evoluciones muy concretas.
Las plataformas han asegurado la compra, no la salida de la conversación. Vinted, Leboncoin, Rakuten y las demás han implantado pagos integrados, sistemas de depósito en garantía, devoluciones reguladas. Mientras el intercambio permanece dentro de la aplicación, el fraude resulta difícil. Al estafador solo le queda, por tanto, un objetivo: sacarte de la mensajería interna. El SMS es su herramienta de salida.
Tu número suele estar visible o resultar fácil de conseguir. En muchos anuncios, el vendedor todavía muestra su número para «ir más rápido». Cuando no lo muestra, basta a menudo con un primer mensaje en la mensajería de la plataforma: «¿Me puede dar su número? Respondo antes por SMS». Nueve de cada diez vendedores aceptan, porque quieren vender.
La motivación juega en tu contra. Un comprador potencial es dinero que llega. Un anuncio publicado hace tres semanas sin respuesta y, de pronto, un mensaje entusiasta: el cerebro registra «buena noticia» antes de registrar «prudencia». Aquí la ingeniería social no busca darte miedo, busca darte una alegría. Es mucho más eficaz.
La mecánica, paso a paso
El guion está notablemente estandarizado. Una vez que lo has visto desarrollarse una vez, ya no vuelves a caer.
1. El contacto fuera de la plataforma
El primer SMS llega desde un número móvil francés corriente (06 o 07), a veces desde un número extranjero. El tono es cordial, algo torpe, a menudo con una fórmula ligeramente extraña:
«Hola, estoy interesado en su artículo, ¿sigue disponible? Puedo pagar ahora mismo, tengo prisa porque me voy de viaje.»
Ya hay tres señales presentes: la urgencia, la ausencia de preguntas sobre el objeto en sí (estado, dimensiones, defectos) y la salida de la plataforma.
2. El precio aceptado sin discutir
El estafador nunca negocia. Un verdadero comprador particular casi siempre intenta conseguir diez o veinte euros menos. El falso comprador, en cambio, acepta el precio publicado; a veces incluso ofrece más «para reservarlo». No tiene ninguna intención de pagar, el importe le da igual.
3. El pretexto del envío
Llega entonces el elemento central del montaje: no puede desplazarse. Militar en misión, enfermera de guardia, expatriado que compra para su madre, persona con movilidad reducida. El pretexto varía, la consecuencia es siempre la misma: hay que recurrir a un envío y, por tanto, a un «servicio de pago seguro».
Ahí es donde el estafador se ofrece a gestionar él mismo el envío, mediante un transportista que conoce bien, y te anuncia que vas a recibir un enlace.
4. El enlace trampa
El SMS siguiente contiene una dirección. Imita el nombre de un servicio conocido: una plataforma de anuncios clasificados, un operador de pagos, un transportista. Los nombres de dominio están improvisados, pero resultan creíbles a primera vista: un guion de más, una extensión exótica, una palabra añadida («-secure», «-pago», «-envio»).
La página que se abre es una copia cuidada. Logotipo, colores, aviso legal, a veces incluso un falso chat de asistencia. Y un mensaje tranquilizador: «El pago del comprador ha sido validado. Introduzca sus datos bancarios para recibir los fondos.»
5. El formulario que se lo lleva todo
El formulario pide el número completo de la tarjeta bancaria, la fecha de caducidad y el código de tres cifras. A veces pide también las credenciales de banca en línea, la fecha de nacimiento, un documento de identidad «para la verificación antiblanqueo».
Fíjate bien en este punto, porque es el núcleo del razonamiento que hay que recordar: nunca se recibe dinero facilitando el código de seguridad de la tarjeta. Las tres cifras del reverso sirven exclusivamente para autorizar un cargo. Para recibir una transferencia basta con un IBAN, y un IBAN por sí solo no permite vaciar una cuenta.
6. La llamada de confirmación
Unos minutos después, suena tu teléfono. A veces aparece en pantalla el nombre de tu banco, gracias a la suplantación del número de llamada. Una voz tranquila, profesional, te explica que se ha detectado una operación sospechosa y que hay que validar —o, al contrario, anular— la operación en tu aplicación bancaria.
En realidad, el estafador está pagando con tu tarjeta, o añadiéndola a un monedero móvil en su propio teléfono, y necesita que valides la autenticación reforzada. Sin tu clic en la aplicación, nada sale adelante. Con tu clic, el banco considera que la operación fue autorizada por ti, lo que complica notablemente el reembolso.
Las variantes que circulan en 2026
El fraude del falso comprador no es algo fijo. Se han asentado varias versiones.
| Variante | Pretexto del SMS | Lo que busca el estafador |
|---|---|---|
| Pago en exceso | «Me he equivocado, he enviado 800 € en vez de 80, devuélvame la diferencia» | Una transferencia real por tu parte, a cambio de un justificante falso |
| Gastos de envío por adelantado | «El transportista pide 45 € que le serán reembolsados» | Un pequeño pago inmediato, repetido con decenas de vendedores |
| Verificación de identidad | «La plataforma exige un documento de identidad para liberar los fondos» | Tus documentos, revendidos o usados para abrir un crédito |
| Falso servicio de atención al cliente | «Su anuncio ha sido denunciado, regularícelo en 24 h» | Las credenciales de tu cuenta, para publicar anuncios fraudulentos a tu nombre |
| Código de confirmación | «Le envío un código, reenvíemelo para demostrar que es usted» | El código de un solo uso recibido por SMS, la llave de tu cuenta |
La última línea merece especial atención. El código recibido por SMS de un servicio que tú no has solicitado no se transmite jamás, a nadie, bajo ningún pretexto. Es la regla más simple y más universal de la seguridad móvil.
Las señales que deben detenerte en seco
Esta es la lista que puedes releer antes de cada venta. Un solo elemento basta para justificar que cortes la conversación.
- El comprador quiere salir de la mensajería de la plataforma desde los primeros intercambios.
- No hace ninguna pregunta concreta sobre el objeto.
- Acepta el precio sin negociar, o propone más.
- No puede desplazarse, por una razón enternecedora.
- Envía un enlace para «recibir» o «liberar» tu dinero.
- El formulario reclama el código de seguridad, una contraseña o un código recibido por SMS.
- El idioma es correcto pero ligeramente forzado, con giros propios de una traducción automática.
- La presión temporal es constante: «rápidamente», «antes de esta noche», «me voy mañana».
Estos elementos no son pruebas aisladas, pero su acumulación no deja lugar a dudas. Un comprador honesto nunca marca cuatro casillas de ocho.
Vender sin exponerse: las buenas prácticas
Mantén la conversación donde empezó
Mientras el intercambio permanezca en la aplicación, la plataforma conserva un rastro, puede suspender una cuenta y a veces intervenir en caso de litigio. En cuanto la conversación pasa al SMS o a una mensajería externa, pierdes esa red de seguridad.
Si realmente quieres comunicarte por SMS —para concertar una cita, por ejemplo—, evita difundir tu número principal en el cuerpo del anuncio, donde lo recopilan los robots. Un servicio de envío de SMS en línea puede sacarte del apuro para confirmar la hora de una cita sin exponer tu línea personal.
Da preferencia a la entrega en mano
Para los objetos de cierto valor, la entrega en mano sigue siendo el método más seguro. Elige un lugar público y concurrido, a plena luz del día. Algunas comisarías y cuarteles de la gendarmería ofrecen puntos de encuentro para transacciones entre particulares; infórmate en tu zona.
Cuenta los billetes o, mejor aún, utiliza una transferencia inmediata que compruebes en tu aplicación bancaria antes de entregar el objeto. Un SMS de confirmación, una captura de pantalla o un correo electrónico no prueban absolutamente nada: esos elementos se falsifican en tres minutos.
Documenta lo que vendes
Antes del envío, fotografía el objeto desde todos los ángulos, el paquete cerrado y la etiqueta de envío. En caso de litigio sobre el estado o sobre la realidad del envío, ese expediente marca la diferencia. Para los objetos frágiles o de valor, el papel de burbujas y unas cajas de envío resistentes cuestan unos pocos euros y evitan semanas de discusiones. Una báscula de cocina o un pesa-equipajes electrónico también te permite declarar el peso correcto y evitar sobrecostes del transportista.
Compartimenta tu dinero
Es la medida más eficaz y la menos practicada. Hoy en día, la mayoría de bancos y neobancos ofrecen una tarjeta virtual de un solo uso o un límite de pago ajustable en dos clics. Reducir el límite de tu tarjeta principal a unos cientos de euros, aunque tengas que subirlo puntualmente, limita mecánicamente el alcance de un fraude.
En el mismo sentido, no conserves todos tus ahorros en la cuenta vinculada a tu tarjeta. Una cuenta de ahorro separada, sin tarjeta asociada, es una barrera sencilla y gratuita.
Protege el propio dispositivo
Una parte de estos fraudes triunfa porque el teléfono está mal protegido: bloqueo desactivado, actualizaciones aplazadas desde hace meses, aplicaciones instaladas fuera de las tiendas oficiales. Activa las actualizaciones automáticas, bloquea el dispositivo con código o biometría y desconfía de las aplicaciones de seguimiento de paquetes descargadas fuera de Play Store o App Store.
Para las entregas en mano, cuando sacas el teléfono en plena calle, un soporte antirrobo o simplemente una funda con correa reduce el riesgo de robo al tirón: un escenario más habitual que el fraude bancario, e igual de costoso cuando toda tu vida digital cabe en el aparato. Una funda antigolpes reforzada protege además la pantalla durante los desplazamientos y manipulaciones.
Qué hacer si ya has facilitado tus datos
El orden importa. Los primeros minutos determinan gran parte de lo que lograrás recuperar.
- Bloquea la tarjeta de inmediato. Desde tu aplicación bancaria si existe la función, y si no, por teléfono. El servicio interbancario de bloqueo de tarjetas está disponible en el 0 892 705 705.
- Cambia las contraseñas afectadas. Cuenta de la plataforma, correo asociado, banca en línea. Utiliza credenciales únicas; un gestor de contraseñas evita tener que memorizarlas.
- Revisa las operaciones recientes y comunica por escrito a tu banco cada cargo no autorizado.
- Presenta denuncia, en comisaría, en la gendarmería o a través de la plataforma de predenuncia en línea del Ministerio del Interior. El resguardo es imprescindible para los trámites posteriores.
- Denuncia el SMS al 33700 reenviando el mensaje y, después, enviando el número del remitente cuando el servicio te lo pida. El servicio es gratuito y alimenta los bloqueos que realizan los operadores.
- Denuncia la dirección fraudulenta en Phishing Initiative y el perfil en la plataforma correspondiente.
- En caso de uso fraudulento de tu identidad, acude a la plataforma Perceval (service-public.fr) para los fraudes con tarjeta bancaria, y comprueba en la Banque de France si se ha abierto algún crédito a tu nombre.
En el plano jurídico, el código monetario y financiero prevé el reembolso de las operaciones no autorizadas. El banco puede negarse alegando negligencia grave, pero la Cour de cassation ha recordado en varias ocasiones que la sofisticación del fraude —en particular la suplantación del número de teléfono del banco— pesa en la valoración. Nunca consideres definitiva una primera negativa: recurrir al mediador bancario es gratuito.
Tres frases para tener siempre presentes
Si solo tuvieras que quedarte con tres ideas de este artículo:
- Nunca se facilita el código de seguridad de la tarjeta para recibir dinero. Un IBAN basta para cobrar una transferencia.
- Un código recibido por SMS no se transmite a nadie, ni siquiera a alguien que se presente como tu banco o como la plataforma.
- Un enlace enviado por un comprador nunca es una forma de cobrar. El pago, cuando existe, llega a tu cuenta sin que tengas que hacer clic en ninguna parte.
El resto —los pretextos enternecedores, los militares en misión, las enfermeras de guardia— no es más que decoración alrededor de estos tres mecanismos. Una vez que los has entendido, la estafa se vuelve casi transparente. Y vender tu vieja bicicleta vuelve a ser lo que debería ser: una transacción corriente entre dos personas.
Para profundizar, las fichas prácticas de Cybermalveillance.gouv.fr sobre el phishing y las guías de la DGCCRF sobre las compras entre particulares son gratuitas, se actualizan con regularidad y están redactadas en un lenguaje accesible. Para los allegados menos familiarizados con lo digital, una guía en papel de iniciación al smartphone suele ser más eficaz que una larga explicación por teléfono.
