«Correos — Tu paquete no ha podido ser entregado.» El mensaje aparece en pantalla, pero algo ha cambiado. Junto al nombre del remitente, un pequeño logotipo redondo con los colores de la empresa. Debajo, una etiqueta azul: «Verificado». Y tres botones disponibles: «Seguir mi paquete», «Reprogramar», «Contactar con atención al cliente».
Ya no es un SMS. Es un mensaje RCS, y se parece mucho más a una conversación de WhatsApp que al texto plano de 160 caracteres que conocemos desde hace treinta años. Desde que Apple integró el estándar en iOS a finales de 2024 y Google lo generalizó en Android, la mensajería nativa de tu teléfono ha cambiado discretamente de naturaleza. La mayoría de los usuarios ni siquiera se ha dado cuenta.
Este cambio es una buena noticia para la seguridad. Pero también crea una situación peligrosa: un público que aprende a confiar en los pequeños logotipos y en las etiquetas de «verificado» sin saber qué garantizan realmente y, sobre todo, qué es lo que no garantizan.
RCS: ¿de qué estamos hablando exactamente?
Las siglas significan Rich Communication Services, «servicios de comunicación enriquecidos». Es un estándar impulsado por la GSMA, la asociación mundial de operadores móviles, concebido ya en 2008 para sustituir al SMS y al MMS, técnicamente obsoletos frente a las mensajerías de internet.
En la práctica, el RCS aporta cuatro cosas que el SMS nunca supo hacer:
- Mensajes sin límite de tamaño, con fotos, vídeos y archivos en máxima resolución;
- Confirmaciones de lectura e indicador de «escribiendo», como en las aplicaciones de mensajería;
- El uso de internet (wifi o datos móviles) en lugar del canal de señalización de la red telefónica;
- Remitentes profesionales identificados, con logotipo, nombre completo, color de marca e insignia de verificación.
Es este último punto el que nos interesa aquí. En el ecosistema RCS, una empresa que quiera enviarte mensajes ya no puede limitarse a pagar una pasarela y escribir «SFR» o «CPAM» en el campo del remitente. Debe pasar por un proceso de registro: verificación de identidad jurídica, validación del logotipo, control por parte del operador o de Google. Es el componente llamado RCS Business Messaging.
Sobre el papel, esto resuelve el problema histórico del SMS: la ausencia total de autenticación del remitente.
El pecado original del SMS y por qué el RCS lo corrige
Hay que entender hasta qué punto el SMS es un protocolo ingenuo. Creado a finales de los años ochenta para el uso entre abonados de una misma red, nunca previó un mecanismo de verificación del emisor. Cuando una empresa envía un mensaje, rellena un campo de texto libre llamado sender ID. Ese campo no lo verifica nadie en la cadena técnica.
Es justamente lo que hace posible el spoofing: la suplantación del nombre del remitente. Un estafador que escriba «AMELI» en ese campo verá cómo su mensaje aterriza en el hilo de conversación existente de la Seguridad Social en tu teléfono, justo debajo de los mensajes auténticos. Cybermalveillance.gouv.fr, el dispositivo nacional francés de asistencia a las víctimas de actos de ciberdelincuencia, documenta este mecanismo desde hace años en sus fichas sobre el smishing.
Ante esta situación, Francia puso en marcha en octubre de 2023 el registro de nombres de remitentes SMS, gestionado por la Association Française du Multimédia Mobile (AF2M) bajo la supervisión de la Arcep. Toda empresa que quiera utilizar un nombre alfanumérico debe declararlo, y los operadores bloquean los envíos cuyo remitente no esté registrado. Es un avance real, pero sigue siendo nacional: los envíos que transitan por pasarelas extranjeras o por falsas antenas repetidoras (los famosos SMS Blasters) esquivan en parte el dispositivo.
El RCS va más lejos, porque la verificación no es declarativa sino criptográfica y visual: el logotipo y la insignia los inserta la plataforma, no el emisor del mensaje. Un estafador no puede fabricarlos dentro del texto de su mensaje.
Lo que la insignia de «verificado» garantiza y lo que no
Este es el meollo del asunto y el origen de la mayoría de los malentendidos.
Lo que la insignia garantiza:
La entidad que te escribe ha aportado documentos de identidad empresarial y ha sido validada por la plataforma. El logotipo mostrado le pertenece. El mensaje no ha sido fabricado por un tercero que se hace pasar por ella.
Lo que la insignia no garantiza en absoluto:
- Que el contenido del mensaje sea honesto. Una sociedad comercial realmente registrada puede perfectamente enviarte una oferta engañosa, una suscripción trampa o una solicitud agresiva. La verificación afecta a la identidad, no a la intención.
- Que el enlace incluido en el mensaje sea seguro. Nada impide que un mensaje legítimo apunte a una página comprometida.
- Que todos los mensajes no verificados sean fraudulentos. Muchas pequeñas estructuras, asociaciones, consultas médicas o talleres mecánicos siguen enviando simples SMS. La ausencia de insignia no es una señal de fraude.
Este matiz es esencial y hay que transmitirlo, sobre todo a los públicos más expuestos. Hemos pasado diez años enseñando a los mayores que «el candado verde del navegador no significa que el sitio sea honesto». La insignia RCS se está convirtiendo en el nuevo candado verde: un indicio útil, transformado en prueba absoluta por quienes no saben qué mide.
Las nuevas superficies de ataque que abre el RCS
Pasar del texto plano a una mensajería enriquecida desplaza mecánicamente el terreno de juego. Tres evoluciones merecen atención.
1. El mensaje que ya no parece un mensaje
Un SMS fraudulento se detectaba por su fealdad: faltas de ortografía, URL extraña a la vista, maquetación inexistente. Un mensaje RCS puede mostrar un carrusel de imágenes, botones de acción, una tarjeta interactiva, un color de marca. La falta de ortografía sigue ahí, pero queda diluida en una interfaz cuidada que inspira confianza.
El reflejo de «miro el enlace antes de hacer clic» se vuelve además más difícil: en un botón de acción, la URL de destino simplemente no es visible. Pulsas «Seguir mi paquete» sin ver nunca a dónde te lleva.
2. El regreso del archivo adjunto
El SMS solo transportaba un enlace. El RCS transporta archivos, de hasta varios cientos de megabytes. Reaparece por tanto en la mensajería móvil un vector que creíamos reservado al correo electrónico: el archivo adjunto trampa. En Android, un archivo APK enviado en una conversación y presentado como «la aplicación de seguimiento de tu expediente» sigue siendo uno de los principales modos de instalación de programas espía bancarios, tal como documentan con regularidad los equipos de la ANSSI y los fabricantes de seguridad móvil.
3. La dependencia de internet
El RCS funciona con datos. Un mensaje enviado cuando estás en una zona sin cobertura o sin datos disponibles pasa automáticamente a SMS clásico, es decir, sin insignia, sin logotipo y sin cifrado. Este cambio silencioso crea una incoherencia visual que los estafadores pueden explotar: «tu mensaje ha llegado en modo degradado, pulsa para consultarlo». Mantener el teléfono cargado y conectado tiene aquí una auténtica función de seguridad, lo que explica el éxito de las baterías externas de bolsillo entre los grandes usuarios del móvil.
¿Y el cifrado, qué papel juega?
Es el tema peor comprendido. El SMS no está cifrado de extremo a extremo: circula en claro por la infraestructura del operador, que técnicamente puede leerlo, y se almacena durante un tiempo en sus servidores. Por eso mismo los especialistas desaconsejan desde hace tiempo recibir los códigos de autenticación bancaria por SMS.
El RCS heredó durante mucho tiempo esa debilidad. Google añadió el cifrado de extremo a extremo en su propia aplicación Mensajes, pero únicamente entre dos usuarios de esa aplicación. Desde la publicación del perfil RCS Universal Profile 3.0 por la GSMA en 2025, el cifrado de extremo a extremo está previsto en el propio estándar, incluido entre Android e iPhone. Su despliegue efectivo depende de las actualizaciones de los sistemas operativos y de las aplicaciones.
Quedémonos con dos ideas:
| SMS clásico | RCS (perfil reciente) | |
|---|---|---|
| Remitente autenticado | No (registro AF2M en Francia) | Sí para profesionales verificados |
| Cifrado de extremo a extremo | No | Sí, según versiones |
| Transporte | Red del operador | Internet |
| Archivos adjuntos | No | Sí |
| Legible sin red de datos | Sí | No |
El cifrado protege tus intercambios privados frente a la interceptación. No protege absolutamente en nada contra la estafa: un estafador que te escribe directamente te escribe por un canal cifrado, y eso no vuelve su mentira más segura. Confundir confidencialidad con fiabilidad es el error de razonamiento más frecuente en este terreno.
Los reflejos que hay que actualizar en 2026
La llegada del RCS no deja obsoleto ninguno de los reflejos existentes. Añade unos cuantos.
1. Verificar el canal, no el mensaje. La regla de oro sigue intacta: ninguna administración, ningún banco, ninguna empresa de transporte te pedirá que introduzcas tus credenciales o tus datos bancarios desde un mensaje recibido. Sea cual sea el logotipo mostrado, se cierra el mensaje y se accede uno mismo al sitio oficial o a la aplicación.
2. Mantener pulsado en lugar de tocar. En la mayoría de las aplicaciones de mensajería, una pulsación larga sobre un botón de acción o un enlace muestra la dirección de destino sin abrirla. Adopta esta costumbre: es la única forma de ver a dónde lleva un botón RCS.
3. Desconfiar de cualquier archivo recibido en una conversación. Ningún servicio público, ningún banco distribuye su aplicación por una vía distinta de la App Store o Google Play. Un archivo de instalación recibido por mensaje es fraudulento, sin excepción.
4. Fijarse en la coherencia, no en la estética. Un mensaje profesional verificado que te tutea, que te amenaza con un plazo de 24 horas o que te reclama una «regularización de 1,99 €» es sospechoso sea cual sea su envoltorio. La urgencia y el micropago son los dos marcadores más constantes de la estafa.
5. Tener a mano el número de denuncia. El servicio nacional francés de notificación de SMS y llamadas fraudulentas, el 33700, gestionado por los operadores bajo la supervisión de los poderes públicos, admite el reenvío de mensajes no deseados. En paralelo, la plataforma Pharos y el sitio cybermalveillance.gouv.fr siguen siendo los puntos de entrada para los casos más graves.
6. Hacer limpieza de aplicaciones de mensajería. Muchos teléfonos Android alojan dos aplicaciones capaces de recibir mensajes, lo que multiplica los puntos de entrada y confunde las referencias. Conservar solo una, actualizada, simplifica considerablemente la vigilancia.
El caso particular de los mayores y de los usuarios poco familiarizados
Cada evolución de interfaz produce un efecto secundario: reinicia las referencias de quienes habían tardado años en construirlas. Una persona de 80 años que por fin había entendido que «un mensaje auténtico de mi banco nunca contiene un enlace» se encuentra ahora ante burbujas de colores, botones, logotipos y miniaturas.
Algunas medidas sencillas reducen el riesgo:
- Desactivar el RCS en los ajustes de la aplicación Mensajes si el usuario no le da ningún uso. El teléfono vuelve al SMS clásico, más pobre pero más legible.
- Bloquear la instalación de aplicaciones de origen desconocido, opción presente en los ajustes de seguridad de Android, que neutraliza la mayor parte de los ataques por archivo adjunto.
- Para usos realmente limitados, plantearse un teléfono para mayores con teclas grandes, cuya mensajería es deliberadamente básica: menos funciones significa también menos superficie de ataque.
- Anotar en un cuaderno de contraseñas en papel guardado en casa las credenciales importantes, en lugar de almacenarlas en las notas del teléfono o de tener que recuperarlas con urgencia, un momento que los estafadores aprovechan.
- Instalar un soporte de teléfono de sobremesa cerca del puesto de trabajo doméstico, para que la persona adquiera la costumbre de leer sus mensajes con calma, sentada, en lugar de hacerlo por la calle mientras camina. La precipitación es el primer factor de clic.
Lo que hay que recordar
El RCS es una mejora real. La autenticación de los remitentes profesionales hace mucho más difícil la suplantación burda de «CPAM» o «La Poste» que ha hecho la fortuna del smishing durante diez años. El cifrado de extremo a extremo, a medida que se despliega, cubre una debilidad estructural del SMS.
Pero ninguna mejora técnica ha eliminado jamás una estafa: la desplaza. Las campañas fraudulentas migran hacia los números móviles corrientes, hacia WhatsApp, hacia las mensajerías de las plataformas de venta, hacia los falsos códigos QR. Y sobre todo se apoyan en aquello que la técnica nunca corregirá: el miedo, la urgencia, el cansancio, la confianza depositada en un logotipo.
La pregunta que hay que hacerse ante un mensaje no es, por tanto, «¿parece auténtico?», sino «¿me está pidiendo algo que yo no he iniciado?». Esa pregunta funciona igual de bien con un SMS de 1995 que con un mensaje enriquecido de 2026.
