Hay un momento del año en el que los estafadores ni siquiera necesitan ser buenos: les basta con estar ahí en el momento oportuno. Ese momento es la salida de vacaciones, el fin de semana del regreso, el puente de noviembre, la semana del gran cruce de tráfico. No porque los veraneantes sean más ingenuos, sino porque están en un estado mental muy particular: esperan mensajes, muchos mensajes, de gente a la que no conocen.
Una confirmación de alquiler. Un código de acceso a una caja de llaves. Un aviso de una aerolínea. Un SMS de la empresa de alquiler de coches. Un enlace de seguimiento de la lanzadera. En la vida normal, un mensaje de un número desconocido que te pide hacer clic activa una alarma. De viaje, se ha vuelto rutina. Es exactamente esa normalización la que explota el smishing —la suplantación de identidad por SMS, tal como lo define Cybermalveillance.gouv.fr— durante los periodos vacacionales.
Por qué el viaje desarma la vigilancia
Las campañas de SMS fraudulentos funcionan según un principio simple: enviar un escenario verosímil a cientos de miles de números y esperar a que el azar haga coincidir el mensaje con la situación real del destinatario. En periodo de vacaciones, ese azar se convierte en una cuasi certeza.
Se acumulan cuatro factores.
Realmente estás esperando mensajes de desconocidos. Un propietario de Airbnb, una agencia inmobiliaria, un camping, un aparcamiento de aeropuerto: todos ellos son interlocutores legítimos que te escriben desde números que nunca has visto. El filtro mental de «no conozco este número» deja de funcionar.
El tiempo apremia. Un SMS que anuncia un problema con la reserva tres días antes de la salida no deja margen para esperar. La urgencia ni siquiera necesita fabricarse: ya está en tu calendario.
Las condiciones de lectura son malas. De pie en la cola de embarque, en un área de servicio, con el sol dando en la pantalla y un niño tirándote de la manga. Nadie comprueba la ortografía de un nombre de dominio en esas condiciones.
El teléfono está debilitado. Batería baja, cobertura inestable en zona rural, wifi de hotel compartido. Un móvil al 8 % empuja a actuar deprisa, a hacer clic en lugar de comprobar, a decirse «ya lo miraré mejor luego».
Por eso también una batería externa de viaje no es un capricho de comodidad, sino una auténtica herramienta de seguridad: un teléfono cargado es un teléfono con el que puedes tomarte el tiempo de llamar al número real del hotel en lugar de pinchar en el enlace recibido.
Los cinco escenarios estacionales más habituales
1. La reserva que «no se ha validado»
El mensaje llega unos días antes de la llegada: «Su reserva del 12/08 no ha podido confirmarse, el pago ha sido rechazado. Regularícelo en 24 h para evitar la cancelación.» El enlace lleva a una página que imita fielmente una conocida plataforma de reservas.
La trampa es doble. Primero, el miedo a perder el alojamiento, reservado a veces con meses de antelación. Después, la cantidad pequeña: no te piden 800 €, te piden «revalidar» la tarjeta o pagar una fianza de 50 €. La DGCCRF y las propias plataformas recuerdan periódicamente una regla inamovible: ningún pago legítimo se realiza fuera de la plataforma de reserva. Un propietario que insiste en una transferencia directa, un enlace de pago enviado por SMS o un abono con tarjeta regalo es, en la práctica totalidad de los casos, un estafador.
2. El falso aviso de peaje impagado
El escenario se disparó con la generalización del peaje de flujo libre, ese sistema sin barreras en el que se paga a posteriori en un sitio oficial. El mensaje es breve: «Paso no abonado el 09/08 en la A79. Importe: 4,20 €. Regularización en 72 h antes del recargo.»
Todo está calibrado: el importe es realista, la autopista existe, el plazo es plausible. Muchos conductores sencillamente no saben si han pagado o no su paso. La regla: nunca se paga un peaje de flujo libre desde un enlace recibido por SMS. Se teclea uno mismo la dirección del sitio oficial de la concesionaria de autopistas correspondiente, o se usa la aplicación del telepeaje. Lo mismo para los falsos avisos de multa: el sitio oficial de la Agencia nacional de tratamiento automatizado de las infracciones es el único punto de entrada, y nunca te enviará un SMS con un enlace de pago.
3. El vuelo modificado y la falsa tarjeta de embarque
«Su vuelo AF1234 ha sido modificado. Consulte su nueva tarjeta de embarque.» El enlace pide tu localizador, tu nombre, a veces tu pasaporte y tu tarjeta bancaria para «los gastos de reemisión».
Aquí el objetivo no es solo el dinero, son los datos de identidad. Un expediente de viaje completo —nombre, fecha de nacimiento, número de pasaporte, dirección— se revende y sirve después para abrir cuentas o contratar créditos. El reflejo: abrir la aplicación oficial de la compañía o consultar el panel de información. Una modificación de vuelo real aparece siempre en tu reserva, nunca únicamente en un SMS.
4. La caja de llaves y el código de acceso
Más discreto, más retorcido. La víspera de la llegada recibes un mensaje: «Hola, cambio de última hora para la entrega de llaves, confirme su identidad aquí, por favor.» El enlace recoge un documento de identidad escaneado y, a veces, un número de cuenta «para la devolución de la fianza».
La señal que debe alertarte: un cambio de canal. Si toda la conversación se ha desarrollado en la mensajería de la plataforma y de pronto salta a un SMS, es una bandera roja. Los estafadores recopilan los anuncios públicos y contactan a ciegas con los viajeros, esperando dar con alguien que efectivamente haya reservado.
5. La asistencia bancaria durante el viaje
Es la variante más costosa. Tras un primer SMS de alerta («intento de pago en el extranjero de 749 €»), llega enseguida una llamada, a menudo desde un número que aparece como el de tu banco gracias al spoofing. Un interlocutor tranquilo te pide «bloquear la operación» dictando tus códigos o validando una notificación en tu aplicación.
La regla que recuerdan la Fédération bancaire française y los propios bancos es absoluta: un asesor nunca te pedirá validar una operación, comunicar un código recibido por SMS ni instalar un programa de control remoto. Se cuelga y se llama al número que figura en el reverso de la tarjeta.
La tabla para decidir en diez segundos
Cuando llega un mensaje y no tienes ni el tiempo ni la calma para investigar, este filtro basta en la inmensa mayoría de los casos.
| Lo que dice el mensaje | Reacción legítima | Reacción arriesgada |
|---|---|---|
| Un pago ha fallado | Abrir uno mismo la aplicación implicada | Hacer clic en el enlace facilitado |
| Se debe un importe en 24-72 h | Teclear la dirección oficial a mano | Pagar desde el enlace |
| Te piden un documento de identidad | Pasar por la mensajería de la plataforma | Enviar un escaneo por SMS |
| Un asesor te llama después de un SMS | Colgar y llamar al número de la tarjeta | Seguir en línea y validar |
| El enlace contiene un nombre de marca extraño | Ignorar y borrar | «Solo echar un vistazo» a la página |
Un punto técnico a menudo mal entendido: la dirección que se muestra en un enlace acortado no significa nada. Las campañas usan masivamente acortadores y nombres de dominio que incluyen la marca legítima como subdominio. Una dirección del tipo secure-colissimo.paiement-xyz.top no tiene nada que ver con el servicio que imita: lo que cuenta es lo que precede inmediatamente a la extensión, no lo que aparece al principio.
Preparar el teléfono antes de salir
La mejor protección durante el viaje se organiza la víspera de la salida, con calma, en casa.
Haz balance de los canales oficiales. Guarda en tus contactos el número de tu banco, el de tu seguro y el del alojamiento. Un número ya memorizado aparece con un nombre: si una llamada supuestamente bancaria llega desde un número no identificado, la duda es inmediata.
Bloquea la vista previa de las notificaciones. Los códigos de validación de un solo uso se muestran en la pantalla bloqueada por defecto. En un tren, en una cola o en una habitación compartida, eso basta para comprometer una cuenta. El ajuste está en los parámetros de notificaciones, en «Vistas previas» o «Mostrar contenido». En la misma línea, un filtro de privacidad para pantalla de smartphone vuelve la pantalla ilegible de lado: útil tanto en el avión como en una terraza.
Lleva con qué aguantar sin puntos de carga públicos. Los puertos USB abiertos de aeropuertos y estaciones plantean un problema real: un puerto de datos no controlado puede, en ciertas configuraciones, ser manipulado. Un simple cargador USB con su enchufe de pared, o un cable de carga sin transferencia de datos, elimina la cuestión. No es paranoia, es la misma lógica que no conectar una memoria USB encontrada en el suelo.
Haz una copia de seguridad antes de salir. Un teléfono perdido o robado durante las vacaciones es un acceso potencial a la mensajería, al correo y a las aplicaciones bancarias. Una copia actualizada y la activación de la localización a distancia cambian por completo el desenlace. Prevé también cómo proteger físicamente el aparato: la arena, el agua salada y los bolsos de playa causan más daños de lo que se cree, y una funda estanca para smartphone cuesta menos que cambiar una pantalla.
Wifi de hotel, redes públicas y portales falsos
El wifi gratuito del camping o del hall del hotel merece mención aparte. Hoy el riesgo principal ya no es tanto la interceptación de datos —la mayoría de los sitios y aplicaciones cifran sus intercambios— como el falso portal cautivo: esa página que se abre para pedirte que «te identifiques» antes de acceder a la red y que a veces reclama un correo electrónico, una contraseña o incluso una tarjeta bancaria «para verificación».
Bastan tres reglas:
- Un portal cautivo legítimo nunca pide tu contraseña de correo ni tu número de tarjeta.
- Verifica el nombre exacto de la red en recepción. Una red llamada «Hotel_Wifi_Free» junto a la auténtica «Hotel-Wifi» es una trampa clásica.
- Para las operaciones sensibles —banca, impuestos, compras— usa mejor tu conexión móvil. Compartir conexión desde tu propia tarifa es más seguro que una red abierta, y una tarjeta SIM prepago local sigue siendo una buena opción para estancias largas fuera de Europa.
Si ya has abierto el mensaje
Abrir un SMS fraudulento no entraña peligro en sí mismo. El riesgo empieza con el clic y se vuelve serio al introducir información.
- Solo has hecho clic sin escribir nada. Cierra la página, no vuelvas a ella, no rellenes nada. Comprueba que no se haya instalado ninguna aplicación sin que te dieras cuenta, sobre todo en Android, donde una instalación desde una fuente externa sigue siendo posible.
- Has introducido datos bancarios. Bloquea la tarjeta de inmediato desde la aplicación de tu banco o el número del reverso. Desde el extranjero, ese número sigue siendo accesible. Guarda las capturas de pantalla.
- Has enviado un documento de identidad. Denúncialo y vigila cualquier apertura de cuenta a tu nombre. Presentar una denuncia, incluso a distancia, constituye una prueba útil.
- Denuncia el mensaje. En Francia, el número 33700 recibe las denuncias de SMS fraudulentos: reenvía el mensaje al 33700 y después envía el número del remitente cuando te lo pidan. El servicio es gratuito. También puedes presentar una denuncia en la plataforma oficial Cybermalveillance.gouv.fr, que orienta hacia los trámites adecuados, y en internet-signalement.gouv.fr (PHAROS) para los contenidos ilícitos.
- Avisa a tu entorno. Las campañas apuntan a rangos enteros de números. Si tú lo has recibido, tus allegados que han salido al mismo tiempo probablemente también.
El caso particular de los viajeros mayores
Las personas mayores suelen viajar con referencias digitales menos sólidas y, sobre todo, con el miedo a «meter la pata», que las empuja a obedecer en lugar de comprobar. Tres ajustes sencillos ayudan mucho.
Acordar antes de la salida un interlocutor de confianza localizable en caso de duda: una llamada de treinta segundos a un hijo o a un vecino desactiva cualquier estafa. Apuntar en un papel guardado en la cartera los números reales del banco y del seguro, porque en situación de estrés nadie se pone a rebuscar en el teléfono. Y, para quienes no necesitan un smartphone en viaje, un teléfono móvil de teclas grandes limita mecánicamente la superficie de ataque: sin navegador, sin enlaces en los que pinchar, sin aplicación bancaria.
Una regla cabe en una frase y cubre el 95 % de las situaciones: nunca se paga ni se identifica uno desde un enlace recibido, sea cual sea el remitente que aparezca. Siempre se vuelve al canal que uno mismo ha elegido.
Lo que hay que recordar
Las estafas por SMS de vacaciones no son más sofisticadas que las demás. Simplemente están mejor sincronizadas con tu vida. El remedio no consiste en convertirse en experto en seguridad informática, sino en reintroducir un pequeñísimo retraso entre la lectura y la acción: abrir uno mismo la aplicación, teclear uno mismo la dirección, llamar uno mismo al número oficial.
Ese retraso cuesta treinta segundos. Y es exactamente lo que los estafadores no pueden permitirse dejarte.
