Sales de una reunión, o de una cita con el médico. El teléfono vibra: «Has recibido 1 nuevo mensaje de voz. Escúchalo: [enlace]». Nada inquietante. Nadie te amenaza, nadie te reclama 2,99 €, ningún paquete retenido en aduanas. Solo alguien que ha intentado localizarte mientras no estabas disponible.
Y es exactamente por eso que funciona.
Desde hace dos años, la notificación de buzón de voz se ha instalado entre los cebos más rentables del smishing. No provoca ni miedo ni euforia: las dos emociones que hemos aprendido a detectar. Provoca algo mucho más difícil de combatir: la curiosidad más banal.
Por qué este mensaje concreto pasa desapercibido a todos los radares
Las campañas de concienciación, tanto las institucionales como las de los bancos, se apoyan en una lista de señales: urgencia, amenaza, faltas de ortografía, petición de dinero, remitente desconocido. El falso mensaje de voz no marca ninguna de esas casillas.
Fíjate en lo que propone realmente:
- Ninguna urgencia. Un mensaje de voz espera. Seguirá esperando mañana. No hay cuenta atrás, así que no se dispara la desconfianza.
- Ninguna transacción. No te piden tarjeta bancaria, ni transferencia, ni identidad. Al menos, no de inmediato.
- Un hecho plausible al 100 %. Seguro que has perdido alguna llamada esta semana. El mensaje ni siquiera necesita ser creíble: lo es mecánicamente.
- Un gesto habitual. Escuchar el buzón de voz forma parte de la rutina de cualquier usuario de teléfono desde hace treinta años.
Añade a esto que varios operadores envían notificaciones SMS de buzón de voz auténticas, a veces con un enlace a su servicio de «visual voicemail». El usuario ya no tiene ninguna referencia fiable para distinguir lo verdadero de lo falso. Le han enseñado a desconfiar de los enlaces, pero su propio operador se los envía.
La regla que sigue siendo válida: un mensaje de voz legítimo se escucha desde tu teléfono, llamando a tu buzón o a través de la aplicación oficial de tu operador. Nunca desde un enlace recibido por SMS.
Lo que ocurre después del clic: tres escenarios
El enlace no siempre lleva al mismo sitio. Los estafadores prueban, segmentan y adaptan según el sistema operativo que detecta la página de destino. Predominan tres familias de consecuencias.
1. La página de robo de credenciales
Es la versión más simple. El enlace abre una página que reproduce la interfaz de tu operador: logotipo, colores, avisos legales copiados y pegados. El mensaje es siempre el mismo: «Inicia sesión en tu área de cliente para escuchar tu mensaje.»
Introduces usuario y contraseña. Van directos al estafador. Y el área de cliente de un operador es una mina: contiene tu dirección, tus datos bancarios, tu facturación detallada y, sobre todo, la posibilidad de pedir una nueva tarjeta SIM o modificar opciones. Entramos entonces en el terreno del secuestro de línea (SIM swapping).
2. La aplicación que hay que instalar
Versión más agresiva, dirigida principalmente a Android. La página anuncia que «la escucha requiere la aplicación Buzón de Voz Visual» y ofrece un archivo para descargar fuera de la Play Store.
El archivo instalado es un troyano bancario. Las familias conocidas por los investigadores de seguridad —las variantes derivadas de FluBot, desmantelada en 2022 por Europol pero ampliamente copiada desde entonces, o las cepas tipo Anatsa señaladas por varios fabricantes de antivirus— funcionan todas bajo el mismo principio:
| Lo que pide la aplicación | Lo que hace realmente con ello |
|---|---|
| Acceso a los SMS | Intercepta los códigos de validación bancaria |
| Acceso a los contactos | Reenvía el mismo SMS trampa a toda tu agenda |
| Servicio de accesibilidad | Superpone falsas pantallas de acceso sobre tus apps reales |
| Mostrar sobre otras aplicaciones | Captura lo que escribes, incluidas las contraseñas |
Es este último punto el que da gravedad al asunto: la víctima no pierde dinero en el momento del clic, sino tres días después, cuando abre su aplicación bancaria e introduce sus claves en una pantalla falsa perfectamente imitada.
3. La redirección a un número de tarificación especial
Variante más discreta: el enlace muestra un botón «Llamar al buzón» que marca un número de tarificación adicional (en España, los que empiezan por 803, 806 o 807; en Francia, por 0899 o 0891). La llamada se factura a varios euros el minuto, con una voz grabada que te hace esperar el mayor tiempo posible. El perjuicio es modesto, unas pocas decenas de euros, pero masivo a escala de toda una campaña.
La señal de alerta que casi nadie mira: la dirección
Un mensaje de voz real nunca remite a un dominio exótico. Los estafadores usan direcciones cortas, creadas a menudo el día anterior, que toman prestadas palabras tranquilizadoras.
Ejemplos de patrones detectados en campañas recientes:
buzon-voz-areacliente.xyzcontestador-operador-es.infovoicemail-movistar.online- acortadores de enlaces genéricos que ocultan el destino real
El reflejo útil cabe en una frase: el nombre de dominio es lo que está escrito justo antes de la primera /. En operador.es-buzon.xyz/escuchar, el dominio no es operador.es, es es-buzon.xyz. Todo lo que va delante es decorado.
En la pantalla de un smartphone, esta lectura es incómoda: la barra de direcciones es corta, el texto diminuto y la mitad de la URL aparece truncada. Es una de las razones por las que el fraude móvil funciona mejor que el fraude por correo electrónico. Para quienes entornan los ojos frente a la pantalla, un soporte de móvil ajustable en altura colocado sobre el escritorio cambia realmente las cosas: se lee una dirección con calma en lugar de adivinarla con el brazo estirado.
Qué hacer, en la práctica, cuando llega ese SMS
No hacer nada ya es una acción válida
Si no estás seguro, ignora el mensaje y llama a tu buzón de voz de la forma habitual. En la mayoría de las líneas basta con marcar el número del buzón de tu operador —por ejemplo el 123 en varias compañías— o mantener pulsada la tecla 1. Si hay un mensaje real, ahí estará. Si no hay nada, acabas de cerrar tu investigación en ocho segundos.
Denúncialo
Reenvía el SMS sospechoso al servicio oficial de denuncia de tu país (en Francia, el 33700, plataforma gestionada por los operadores bajo tutela de las autoridades). El servicio te responde pidiendo el número del remitente: reenvíalo también. Es gratuito, y es lo que permite cerrar los números emisores.
En España puedes reportar el caso al INCIBE (línea 017) y, si hay perjuicio, a la Policía Nacional o la Guardia Civil. Los sitios fraudulentos también pueden denunciarse en plataformas como Phishing Initiative.
Bloquea y borra
Tanto en iPhone como en Android, bloquear a un remitente se hace en dos toques desde la conversación. Eso no detiene la campaña —los estafadores cambian de número cada hora—, pero limpia tu bandeja y evita que un familiar menos precavido, al que le prestas el aparato, pinche por accidente.
Si ya has pinchado
El clic por sí solo, sin introducir datos ni instalar nada, rara vez es dramático. El peligro empieza en el paso siguiente. Este es el orden de las operaciones.
- Corta la conexión. Modo avión inmediato, el tiempo necesario para recuperar el control. Eso interrumpe la exfiltración de datos en curso.
- Revisa la lista de aplicaciones instaladas. Ajustes → Aplicaciones, ordenadas por fecha de instalación. Cualquier aplicación desconocida aparecida en los minutos posteriores al clic debe desinstalarse. En Android, si la aplicación se resiste a la desinstalación, reinicia en modo seguro.
- Cambia las contraseñas afectadas, empezando por el área de cliente del operador, el correo electrónico y el banco, desde otro dispositivo, no desde el teléfono sospechoso. Un ordenador portátil de casa sirve perfectamente.
- Avisa a tu banco. Bloquea la tarjeta si has introducido datos bancarios. Conviene recordar que la normativa europea sobre servicios de pago obliga a reembolsar las operaciones no autorizadas, salvo negligencia grave demostrada por la entidad.
- Avisa a tus contactos. Estos programas se propagan a través de la agenda: un simple mensaje grupal «no pinchéis en lo que os he enviado» evita una decena de víctimas secundarias.
- Presenta denuncia en caso de perjuicio económico, adjuntando las capturas de pantalla del SMS y de las transacciones.
Para los casos más graves —aplicación maliciosa instalada desde hace varios días, comportamiento anormal persistente— el restablecimiento completo del teléfono sigue siendo la única garantía. De ahí el interés de tener los datos ya a salvo: un disco duro externo para smartphone o una simple copia de seguridad en la nube activa convierten una catástrofe en una tarde desagradable.
Proteger a un familiar que recibe muchos de estos mensajes
Las personas más expuestas no son las menos inteligentes, sino las más solicitadas y las más solas frente a la pantalla. Un padre o una madre mayor que recibe tres notificaciones al día acabará estadísticamente por abrir una.
Algunas palancas eficaces, por orden de rendimiento:
- Activar el filtro antispam integrado. En iPhone: Ajustes → Mensajes → Filtrar remitentes desconocidos. En Android, Google Messages ofrece desde 2025 una protección reforzada contra los enlaces peligrosos que conviene comprobar que está activa en los ajustes de seguridad.
- Desactivar la instalación de aplicaciones de origen desconocido en Android. Es el cerrojo que bloquea el 90 % de los troyanos descritos más arriba.
- Acordar un único reflejo: «si dudas, me mandas una foto del mensaje antes de tocar nada». Nada de reglas complejas, solo una.
- Simplificar el aparato cuando tenga sentido. Para un uso reducido a llamadas y SMS, un teléfono para mayores con teclas grandes elimina lisa y llanamente la superficie de ataque del navegador web.
- Poner el conocimiento en papel. Una guía práctica de seguridad digital dejada sobre la mesa del salón se consulta mucho más a menudo que un enlace enviado por mensajería, sobre todo por quienes ya desconfían de las pantallas.
Lo que esta estafa nos enseña sobre todas las demás
El falso mensaje de voz no es técnicamente sofisticado. Su fuerza está en otra parte: se inserta en una costumbre en lugar de perturbarla.
Ese es el gran desplazamiento del fraude móvil en los últimos dos o tres años. Las primeras oleadas de smishing gritaban: cuenta bloqueada, multa impagada, paquete retenido. Jugaban con el pánico, y el pánico acaba educando: uno se acostumbra, desarrolla anticuerpos. Las campañas actuales hacen lo contrario: susurran. Un mensaje de voz, una actualización de aplicación, una confirmación de cita, un reembolso de unos pocos euros. Nada alarmante, así que nada que examinar.
Frente a esto, la lista de señales de alerta ya no basta. Hay que sustituirla por una regla de circulación, mucho más fácil de recordar y de transmitir:
Nunca se llega a un servicio por el camino que un mensaje nos propone. Se llega por el camino que ya conocemos: el número del buzón de voz, la aplicación instalada, la dirección tecleada a mano, el teléfono del asesor.
Esta regla no exige ninguna competencia técnica. No depende de la calidad de la falsificación, de la ortografía, del logotipo ni del nombre de dominio. Funciona igual de bien contra el falso buzón de voz que contra el falso repartidor, el falso banco o la falsa Agencia Tributaria. Y tiene el mérito de caber en una frase que se puede repetir tanto a un adolescente como a un abuelo.
El próximo SMS anunciando un mensaje de voz llegará. Quizá mañana. La respuesta correcta no será adivinar si es verdadero: será llamar a tu buzón de voz, como se hacía antes de que a nadie se le ocurriera enviarte un enlace.
