Principios de septiembre. Los niños han vuelto al colegio, el contrato de salud complementaria de la empresa ha cambiado de aseguradora el día 1 del mes y tienes tres recetas que renovar antes del fin de semana. El teléfono vibra: «Seguridad Social: tu tarjeta sanitaria está a punto de caducar. Solicita tu nueva tarjeta antes del 15/09 para evitar la suspensión de tus reembolsos: [enlace]».
No tienes ningún motivo para que te parezca raro. Sabes que algo está cambiando en tu cobertura sanitaria, simplemente no sabes exactamente qué. Es precisamente esa zona gris la que explotan los estafadores.
La estafa del falso SMS sanitario no es nueva, pero tiene una estacionalidad temible: se dispara en septiembre y en enero, los dos momentos en los que la gente recibe efectivamente cartas de su mutua, de su empresa o de su centro de gestión sanitaria. El mensaje falso no se cuela en el silencio: se cuela en el ruido.
Por qué la salud es un coto de caza ideal
La mayoría de campañas de smishing se apoyan en tres pilares: un organismo que todo el mundo conoce, una cantidad de dinero modesta y una consecuencia desagradable si no se actúa. El sector sanitario cumple los tres con una facilidad incómoda.
Afecta a todo el mundo. A diferencia de un SMS falso de un banco —que falla el tiro nueve de cada diez veces porque no eres cliente de la entidad citada—, un mensaje que menciona a la Seguridad Social alcanza al 100 % de los destinatarios. Los estafadores ni siquiera necesitan conocer tu perfil.
El vocabulario administrativo es opaco. Tarjeta sanitaria, pago delegado, transmisión telemática, mutua obligatoria, aportación fija, enfermedad de larga duración… Poca gente domina realmente estos mecanismos. Ante un mensaje que utiliza esas palabras correctamente, el reflejo natural no es la duda, sino la deferencia.
La consecuencia da miedo sin ser dramática. «Tus reembolsos quedarán suspendidos» no es una amenaza de embargo. Es lo bastante molesto como para querer resolverlo de inmediato, y no lo bastante grave como para llamar a tu pareja o a tu gestor antes de hacer clic.
Añade a eso que la Seguridad Social, a través de sus plataformas oficiales, envía SMS auténticos: recordatorios de cribado, avisos de vacunación o la puesta a disposición de un documento. El usuario no dispone, por tanto, de una regla sencilla del tipo «la Administración nunca envía SMS». La frontera es difusa, y lo difuso siempre beneficia al atacante.
Los cuatro escenarios que te vas a encontrar este año
1. La «nueva tarjeta sanitaria» que hay que pedir
Es el escenario dominante desde que se anunció el despliegue de la tarjeta sanitaria digital en la aplicación oficial. El mensaje anuncia la caducidad de tu tarjeta física, o la obligación de «migrar» a la versión digital, y te ofrece un formulario.
Lo que el formulario reclama, por orden: nombre, apellidos, fecha de nacimiento, número de la Seguridad Social, dirección postal y después —al cabo de tres pantallas, cuando ya te has implicado— un pago de «gastos de tramitación» de entre 1,50 € y 4,90 €. La cantidad es irrisoria, y ahí está todo el interés: sirve únicamente para capturar el número de tu tarjeta bancaria, su fecha de caducidad y su código de seguridad.
Para recordar: la tarjeta sanitaria no tiene fecha de caducidad y su emisión es totalmente gratuita. Cualquier petición de pago vinculada a una tarjeta sanitaria es, por definición, una estafa.
2. El falso reembolso de la mutua
«Tu seguro de salud complementario: hay un reembolso de 47,82 € pendiente. Introduce tu número de cuenta para percibirlo.» El importe con dos decimales es un detalle de puesta en escena notablemente eficaz: da la impresión de un cálculo real, salido de una liquidación auténtica.
Aquí el estafador no pide dinero: lo promete. Esa inversión desactiva buena parte de la vigilancia. Los datos bancarios recogidos sirven después o bien para domiciliaciones fraudulentas, o bien para alimentar expedientes de suplantación de identidad, o bien para ser revendidos.
3. La «actualización del pago delegado»
Variante más técnica, enviada a menudo al inicio del curso escolar, cuando cambian los contratos colectivos. El SMS te invita a «reactivar la transmisión telemática entre tu mutua y tu entidad gestora». El sitio de destino imita un área de cliente y pide tus credenciales de acceso al espacio de la mutua.
Esas credenciales tienen un valor especial: un área de cliente contiene tu historial de atención sanitaria, tus beneficiarios, tu cuenta bancaria y, a veces, los datos de tu empresa. Es un expediente de identidad completo, mucho más rico que un simple número de tarjeta bancaria.
4. El falso cribado o la falsa citación
Más raro, pero en aumento: un SMS que anuncia un cribado organizado (cáncer colorrectal, cáncer de mama) con un enlace para «confirmar tu participación». Explota el hecho de que las autoridades sanitarias llevan a cabo realmente campañas de este tipo. La finalidad es idéntica: recopilar datos personales de salud, para revenderlos o utilizarlos en estafas posteriores mucho más dirigidas.
Cómo detectar el fraude en diez segundos
Existen algunos marcadores fiables, siempre que sepas dónde mirar. El primer reflejo nunca es leer el texto: es mirar adónde lleva el enlace.
| Lo que ves | Lo que significa |
|---|---|
| Un enlace acortado (bit.ly, tinyurl, cutt.ly) | Un organismo público nunca usa un acortador |
Un dominio del tipo seguridadsocial-reembolso.info | El dominio real es el oficial, y punto |
.seg-social.es.seguridad-xyz.com | El nombre de dominio real es lo que precede al último punto: aquí seguridad-xyz.com |
| Un remitente con un número de móvil particular | Los organismos oficiales usan un nombre de remitente o un número corto |
| Una petición de pago, aunque sea de 1 € | Ningún trámite administrativo sanitario se abona por SMS |
El tercer punto de la tabla es el más importante y el menos conocido. Los estafadores construyen direcciones que contienen el nombre real del organismo para engañar al ojo. La regla mecánica: lee el nombre de dominio de derecha a izquierda, empezando por el .es o el .com. Lo que aparece justo antes es el verdadero propietario del sitio.
En una pantalla pequeña, esa lectura es incómoda, y es algo buscado. Muchos usuarios que reciben a diario mensajes administrativos acaban consultando ese correo desde una tableta de pantalla grande, donde la dirección completa se lee sin forzar la vista: un detalle trivial que evita buena parte de los despistes.
La trampa específica para mayores y cuidadores
Las personas mayores acumulan tres factores de vulnerabilidad en este asunto concreto: hacen realmente un uso intensivo del sistema sanitario, reciben efectivamente muchas cartas de su entidad gestora y de su mutua, y han sido educadas para responder a la Administración.
El problema no es la ingenuidad. Un jubilado que recibe tres liquidaciones de reembolso al mes no tiene ningún motivo estructural para considerar sospechoso un cuarto mensaje. Aplica una rutina legítima a un mensaje ilegítimo.
Algunos ajustes concretos para un familiar mayor:
- Establecer una regla única y absoluta: «no se hace clic en ningún enlace recibido por SMS, nunca, sea quien sea el remitente». Una regla sin excepciones es infinitamente más eficaz que una lista de criterios que hay que evaluar.
- Instalar juntos la aplicación oficial de la tarjeta sanitaria o la app oficial de la Seguridad Social, desde la tienda de aplicaciones, y explicar que a partir de ahora todo pasa por ahí.
- Anotar el teléfono de su entidad gestora en un soporte físico, junto al teléfono. Una libreta de notas con letra grande colocada cerca del aparato resuelve la mitad de las situaciones: en lugar de hacer clic, la persona llama.
- Comprobar la legibilidad del equipo. Muchos errores de lectura vienen de una pantalla demasiado oscura o de un tamaño de letra demasiado pequeño. Unas gafas de lectura con aumento junto al teléfono son a veces más útiles que un antivirus.
- Acordar una «segunda opinión» sistemática: todo mensaje que hable de dinero o de salud implica una llamada al cuidador antes de actuar. Sin reproches, sin juicios, como un reflejo compartido.
El objetivo no es convertir a un familiar en experto en ciberseguridad. Es reducir el número de decisiones que debe tomar solo, con prisa, en una pantalla de seis pulgadas.
Lo que valen realmente esos datos
Se subestima enormemente el valor de un número de la Seguridad Social. A diferencia de una contraseña, no se puede cambiar. A diferencia de una tarjeta bancaria, no se puede cancelar. Te acompaña de por vida y codifica datos como tu sexo, tu año y mes de nacimiento o tu lugar de nacimiento.
Combinado con tu nombre, tu dirección y tu fecha de nacimiento, permite:
- abrir expedientes ante organismos que verifican mal la identidad;
- dar credibilidad a un ataque posterior: un estafador que te vuelve a llamar citando tu número de la Seguridad Social se vuelve instantáneamente «oficial» a tus ojos;
- alimentar campañas de fraude mucho más dirigidas, en las que el mensaje ya no dice «estimado cliente», sino tu nombre, tu ciudad y tu entidad de afiliación.
Es el punto ciego de muchas víctimas: creen que «no han perdido nada» porque no se ha cargado ningún pago. En realidad, han entregado la materia prima de la estafa siguiente, la que llegará dentro de tres o seis meses y que, esa sí, será perfectamente creíble.
Los canales correctos, de una vez por todas
La mejor defensa frente a un mensaje falso no es detectarlo mejor: es conocerse de memoria el camino auténtico, para no tener que evaluar nunca más un SMS.
Para todo lo relacionado con la Seguridad Social, un único punto de entrada: la web oficial o su aplicación, abiertas desde tus favoritos o desde la tienda de aplicaciones de tu teléfono. Nunca desde un enlace recibido. El teléfono de atención al usuario permite hablar con un asesor para salir de dudas.
Para tu seguro de salud complementario, el número figura en tu tarjeta de pago delegado, la que llevas en la cartera. Es la única fuente de información que nadie puede falsificar a distancia.
Sobre la tarjeta sanitaria, quédate con tres hechos que bastan para descartar el 100 % de estafas de este tipo:
- No caduca.
- Es gratuita.
- Se solicita desde tu área personal oficial o en el centro correspondiente, no a través de un enlace.
Para denunciar, reenvía el SMS al servicio oficial de comunicación de mensajes fraudulentos operado por las operadoras en colaboración con las autoridades. Recibirás una respuesta automática pidiéndote el número del remitente: transmítelo. La notificación es gratuita y alimenta las listas de bloqueo. Los organismos públicos de ciberseguridad ofrecen además un itinerario de asistencia si ya has facilitado información.
Si ya has rellenado el formulario
Sin pánico, pero con método, en este orden.
Si has dado tus datos bancarios: llama de inmediato a tu banco para bloquear la tarjeta, o utiliza la función de bloqueo en tu aplicación bancaria; suele ser más rápido que una llamada. Vigila después los micropagos de unos céntimos, a menudo pruebas previas a una operación mayor.
Si has dado tus credenciales de la mutua o del área oficial: cambia la contraseña desde el sitio oficial, y cámbiala en todas partes donde la hubieras reutilizado. Si no tienes ni idea de esa lista, es el momento de adoptar un gestor de contraseñas, o como mínimo una libreta de claves guardada en un cajón: una solución anticuada, pero infinitamente superior a tres contraseñas idénticas.
Si solo has dado tus datos de identidad: no hay nada que «reparar» técnicamente, pero tenlo en cuenta durante los meses siguientes. Considera sospechosa cualquier llamada o mensaje que te cite con precisión y te pida realizar una acción. Un estafador bien informado no es un interlocutor legítimo.
En todos los casos: presenta denuncia, en línea o en comisaría. Aunque el expediente no prospere individualmente, alimenta las estadísticas que desencadenan las investigaciones agrupadas. Y tu banco te la pedirá para cualquier reembolso.
El verdadero reflejo, el que no cuesta nada
Cabe en una frase: nunca se gestiona un asunto de salud desde un SMS.
No es una cuestión de vigilancia ni de conocimientos técnicos. Es una cuestión de canal. Un mensaje recibido en tu teléfono no es una fuente de información, es una notificación; en el mejor de los casos, un recordatorio para comprobarlo en otro sitio. El día en que ese reflejo esté interiorizado, la calidad del mensaje falso deja de tener importancia: sea burdo o esté perfectamente imitado, acaba en el mismo lugar, reenviado al servicio de denuncia y luego borrado.
Lo demás —las faltas de ortografía, los logotipos, las expresiones raras— son indicios útiles, pero indicios que los estafadores corrigen cada año. El canal, en cambio, no va a cambiar.
