«Su cuenta será suspendida. Confirme sus datos aquí: securite-clientweb-verif[.]info»
En una pantalla, este mensaje se delata enseguida. El ojo se engancha en el remitente extraño, el nombre de dominio interminable, el punto mal colocado, el espaciado irregular, el logotipo ligeramente borroso. En menos de dos segundos, un usuario entrenado ha detectado tres anomalías sin siquiera formularlas.
Ahora, escúchelo. Un lector de pantalla pronuncia: «Su cuenta será suspendida. Confirme sus datos aquí, dos puntos, hache-te-te-pe-ese dos puntos barra barra securite guion clientweb guion verif punto info». El ritmo es lineal, neutro, sin jerarquía. Ninguna de las anomalías visuales existe ya. Solo queda una frase, y una frase se juzga por su contenido: exactamente aquello que el estafador ha cuidado.
Es un punto ciego casi nunca mencionado en las campañas de prevención: la práctica totalidad de los consejos anti-smishing se basa en pistas visuales. Para las personas ciegas, con baja visión, o simplemente para quienes usan el teléfono con caracteres muy grandes y la vista cansada, esos consejos sencillamente no funcionan.
Un público más amplio de lo que se imagina
Según los datos de la Fédération des Aveugles et Amblyopes de France y las encuestas de la DREES sobre la discapacidad, alrededor de 1,7 millones de personas en Francia declaran un trastorno de la visión, de las cuales cerca de 200.000 son ciegas o tienen baja visión profunda. A ello se suma una población mucho más amplia: las personas mayores de 70 años afectadas por la degeneración macular asociada a la edad (DMAE), las cataratas o el glaucoma, que no siempre utilizan una ayuda técnica pero leen su teléfono con dificultad, con el brazo estirado, bajo una lámpara.
Estos usuarios no están desconectados. Desde la llegada de VoiceOver en el iPhone y de TalkBack en Android, el smartphone se ha convertido en una herramienta de autonomía de primer orden: leer los SMS, pedir un taxi, identificar un billete, hacerse describir una foto. El INSEE señala que la tasa de equipamiento en telefonía móvil de las personas con discapacidad se ha equiparado a la de la población general.
Consecuencia lógica: reciben exactamente el mismo volumen de SMS fraudulentos que todo el mundo. Los estafadores compran bases de números; no saben —ni pretenden saber— quién está al otro lado. Aquí no existe segmentación alguna. Lo que cambia es la tasa de éxito.
Lo que la voz sintética borra
Para entender el problema, hay que detallar qué elimina el canal auditivo frente al canal visual.
| Indicio de alerta clásico | Percibido con la vista | Percibido con lector de pantalla |
|---|---|---|
Nombre de dominio engañoso (impots-gouv[.]services) | Inmediato, la estructura salta a la vista | Leído como una sucesión de sílabas, sin jerarquía |
| Tipografía o logotipos mal imitados | Inmediato | Inexistente |
| Faltas de ortografía | Inmediato | A menudo disimuladas por la pronunciación |
| Remitente con número largo (+33 6…) | Visible de un vistazo | Se lee, pero queda diluido en el flujo |
| Enlace acortado (bit.ly…) | Sospecha instantánea | No significa nada al oído |
| Maquetación en mayúsculas y urgencia | Visualmente agresivo | Neutralizada por la entonación plana |
El punto más grave son las URL. El cerebro lee una dirección web de derecha a izquierda: primero busca el dominio principal justo antes de la primera barra. Es un reflejo espacial. En audio, esa estructura desaparece: secure.ameli.fr y ameli.secure-verif.fr producen un flujo sonoro casi idéntico para un oído no entrenado, cuando la segunda no tiene nada que ver con la Assurance Maladie.
Segundo problema: los caracteres homóglifos. Los estafadores sustituyen una «l» por una «I» mayúscula, una «o» por un cero, o emplean letras cirílicas visualmente idénticas. Visualmente, a veces es detectable. Vocalmente, es totalmente invisible: la síntesis pronuncia la palabra esperada.
Tercer problema: las faltas. Un «su cuenta ha sido suspendidos» salta a la vista. Leído por una voz sintética, el error de concordancia se evapora por completo.
La verbosidad: el ajuste que lo cambia todo
Existe, sin embargo, una contramedida muy eficaz y sorprendentemente poco conocida: aumentar la verbosidad del lector de pantalla.
Por defecto, VoiceOver y TalkBack están configurados para la fluidez. Se pueden ajustar para que anuncien mucho más:
- Deletrear los enlaces carácter por carácter en lugar de pronunciarlos como palabras. Es más lento, pero un dominio fraudulento se vuelve audible;
- Anunciar la puntuación («punto», «guion», «barra») de forma sistemática, ajustando el nivel de puntuación a «Todo»;
- Señalar las mayúsculas, lo que revela las «I» sustituidas por «l»;
- Anunciar los caracteres no estándar o los cambios de idioma, lo que delata el uso de alfabetos mezclados.
En el iPhone, estos ajustes se encuentran en Ajustes → Accesibilidad → VoiceOver → Nivel de detalle. En Android, en Ajustes → Accesibilidad → TalkBack → Preferencias de verbosidad. El consejo práctico: no permanecer siempre en modo máximo —resulta agotador— sino saber cambiar a él en cuanto un mensaje contenga un enlace o una solicitud de datos.
Muchos usuarios trabajan además con unos auriculares de conducción ósea para escuchar su lector de pantalla sin aislarse de los sonidos del entorno; son un buen aliado cuando se quiere tomar el tiempo de deletrear una dirección en plena calle sin ir voceando su contenido.
El gesto que hace legible un SMS: el braille
Para los usuarios que disponen de ella, la línea braille cambia por completo el panorama. Allí donde la síntesis vocal linealiza, el braille restituye la cadena de caracteres tal cual: cada punto, cada guion, cada mayúscula está físicamente presente bajo el dedo. Una URL fraudulenta vuelve a ser analizable, exactamente igual que con la vista.
El problema es económico. Una línea braille actualizable cuesta varios miles de euros, aunque la Prestation de Compensation du Handicap (PCH) puede financiar una parte a través de la MDPH. Muchos usuarios no disponen de ella.
Solución intermedia y gratuita: el modo «lectura carácter por carácter». Tanto en VoiceOver como en TalkBack, un gesto de deslizamiento vertical permite cambiar el modo de navegación del texto (palabra, carácter, línea). Pasar al modo carácter y recorrer un enlace antes de pulsarlo lleva veinte segundos. Es el gesto más rentable de todo este artículo.
Baja visión leve: la trampa del zoom
Las personas con baja visión no están mejor situadas, por una razón inversa. Cuando se lee con una ampliación al 300 %, solo se ve un fragmento de línea cada vez. El campo de lectura queda reducido a unas pocas palabras. Ahora bien, la detección de una estafa se basa en gran medida en la visión de conjunto: es la yuxtaposición del remitente, el tono y el enlace lo que alerta, no cada elemento por separado.
Un usuario con mucha ampliación lee, por tanto, su SMS en túnel. Ve «Assurance Maladie» y, tres desplazamientos después, un enlace que ya no relaciona mentalmente con el contexto. Añadamos la fatiga ocular: tras veinte minutos de pantalla, la vigilancia cae en picado.
Algunos ajustes ayudan de verdad:
- Activar el contraste alto y el texto en negrita en los ajustes de accesibilidad en lugar de forzar el zoom al máximo;
- Utilizar una lupa electrónica portátil para los documentos en papel recibidos en paralelo (cartas de organismos, datos bancarios): así se evita mezclar canales y confundir una carta real con un SMS falso;
- Preferir una lámpara de escritorio de luz natural junto al sillón donde se consulta el teléfono: una mala iluminación duplica el tiempo de lectura y divide la atención crítica;
- Evitar leer los mensajes sensibles en movimiento, de pie en un autobús. Ahí es donde se producen los errores de clic.
Algunas personas prefieren, de hecho, separar los usos: un smartphone para internet y un teléfono móvil de teclas grandes para las llamadas cotidianas. No es una regresión, es una reducción voluntaria de la superficie de ataque: menos aplicaciones, menos cuentas vinculadas, menos enlaces en los que pulsar.
El verdadero escudo: reglas de contenido, no de forma
Puesto que los indicios de forma son inaccesibles, hay que reconstruir la vigilancia sobre lo que sigue siendo perfectamente audible: el contenido del mensaje. Estas reglas tienen la ventaja de ser universales y de no depender en absoluto de la vista.
Ninguna administración, ningún banco, ningún operador solicita por SMS un pago, un número de tarjeta bancaria, un código recibido por SMS, una contraseña o una copia de un documento de identidad.
Esta frase la repiten palabra por palabra Cybermalveillance.gouv.fr, la DGCCRF y la Banque de France. Basta para descartar la inmensa mayoría de las campañas de smishing, sin necesidad de inspeccionar un solo píxel.
Tres marcadores de contenido que conviene memorizar y que se perciben muy bien al oído:
- La urgencia con cifras. «En 48 h», «último aviso», «antes de medianoche». Una administración francesa nunca impone un plazo tan corto por mensaje. Escribe una carta.
- La pequeña cantidad. 1,79 €, 2,90 €, 0,99 €. El importe irrisorio desactiva la desconfianza; solo sirve para capturar el número de tarjeta.
- El canal inesperado. Usted no ha pedido nada, no ha declarado nada, no ha solicitado nada. Un mensaje que llega sin un desencadenante previo es sospechoso por definición.
La regla de la devolución de llamada: no seguir nunca el mensaje
El reflejo central, accesible para todos, cabe en una frase: no utilizar nunca el canal de contacto que proporciona el propio mensaje.
En la práctica, se cierra el SMS y se contacta con el organismo por una vía que ya se domina:
- El número guardado en los contactos o impreso en el reverso de la tarjeta bancaria;
- La aplicación oficial instalada en el teléfono, abierta manualmente;
- Un marcador guardado de antemano en el navegador.
Aquí es donde cuenta la preparación. Guardar por adelantado, con claridad, los números del banco, de la caja de la Assurance Maladie, del operador y del ayuntamiento evita tener que buscarlos con prisas, que es justo el momento en el que se pulsa. Muchos usuarios mantienen en paralelo una agenda en caracteres grandes o en braille con esos contactos de referencia, fuera del teléfono. En caso de duda, se consulta la agenda, no el mensaje.
Para quienes gestionan múltiples contraseñas, un gestor de contraseñas compatible con los lectores de pantalla aporta un beneficio de seguridad inesperado: no rellena automáticamente las credenciales en un sitio fraudulento, ya que el dominio no coincide. La negativa a rellenar se convierte en una alerta perceptible sin la vista.
Denunciar: el 33700 es accesible
El dispositivo nacional de denuncia de SMS no deseados funciona en ambos sentidos y no requiere ninguna manipulación visual compleja.
- Por reenvío: reenviar el SMS sospechoso al 33700, de forma gratuita. El servicio responde después con un mensaje pidiendo el número del remitente, que hay que reenviar a su vez.
- Por la web: la plataforma del 33700 permite denunciar en línea, de forma compatible con los lectores de pantalla.
- Para los intentos de estafa caracterizados: la plataforma Pharos (internet-signalement.gouv.fr) y el sitio Cybermalveillance.gouv.fr, que deriva a profesionales de proximidad.
Si se ha producido un cargo, el procedimiento es el mismo que para cualquiera: bloqueo inmediato ante el banco, denuncia y invocación de los artículos L133-18 y siguientes del Code monétaire et financier, que prevén el reembolso de una operación no autorizada.
Un punto importante para familiares y personas cuidadoras: una persona con discapacidad visual víctima de smishing no ha sido «negligente». El razonamiento contrario es frecuente e injusto. Se le ha privado de una información que la interfaz no le transmitía. La responsabilidad está del lado del diseño, no del usuario.
Lo que los actores deberían mejorar
Hay que decirlo claramente: lo esencial del trabajo no debería recaer sobre las víctimas potenciales.
- Las aplicaciones de mensajería podrían anunciar explícitamente el dominio real de un enlace al lector de pantalla, incluso antes de abrirlo, en lugar de leer la URL en bruto.
- Las campañas de prevención públicas ganarían mucho ofreciendo versiones audiodescritas: la mayoría de los materiales visuales de sensibilización difundidos por operadores y bancos son capturas de pantalla… sin texto alternativo.
- Los remitentes profesionales verificados del estándar RCS, con su identidad controlada previamente, constituyen una vía seria: una información de autenticidad estructurada sí es restituible por un lector de pantalla, a diferencia de un logotipo.
Mientras tanto, la vigilancia se reconstruye sobre tres pilares sencillos: configurar el lector de pantalla para que deletree los enlaces, juzgar el mensaje por su contenido y no por su apariencia, y no devolver nunca el contacto por el canal propuesto. Tres gestos que no requieren vista alguna, y que protegen igual de bien a quienes sí la tienen.
