«DGFiP: tras el recálculo de su declaración de la renta, le corresponde un exceso de pago de 284,17 €. Introduzca sus datos antes del 18/09: impots-remboursement-gouv[.]net»
No hay nada que temer en este mensaje. Ninguna amenaza, ningún paquete retenido, ninguna multa que se duplica, ningún asesor bancario alarmado al otro lado del teléfono. Solo una cantidad de dinero que te pertenece y que te proponen recuperar. Y precisamente por eso resulta tan temible.
La inmensa mayoría de las campañas de prevención contra el smishing atacan el registro del miedo: el paquete falso, la multa falsa, el descubierto falso. Se enseña al público a desconfiar de la urgencia que genera ansiedad. Nadie, o casi nadie, enseña a desconfiar de una buena noticia. Los estafadores, en cambio, lo entendieron hace mucho tiempo.
El cebo del reembolso: una mecánica psicológica invertida
Las estafas clásicas provocan una reacción de estrés. El estrés hace clicar deprisa, pero también desencadena, en mucha gente, un reflejo de verificación: se llama a la pareja, se busca en internet, se consulta el seguimiento oficial del envío. El miedo es mal consejero, pero es ruidoso: pone en alerta al entorno.
La perspectiva de un reembolso produce el efecto contrario. Instala un clima de confianza y discreción. Nadie llama a su hija para anunciarle que va a cobrar 284 €. Nadie pregunta a un compañero: «¿a ti también te ha llegado esto?». Simplemente se piensa: claro, tiene lógica, este año cambié de situación.
Aquí se combinan tres sesgos bien documentados en psicología de la decisión:
- El sesgo de confirmación: la mayoría de los hogares tiene, en algún momento, la vaga sensación de haber pagado de más por algo. El mensaje viene a confirmar una intuición previa, no la crea.
- La reciprocidad: un organismo que te devuelve dinero se presenta como benévolo. Cuesta sospechar de un benefactor.
- La escasa vigilancia ante importes intermedios: 284 € no es suficiente para parecer demasiado bonito para ser verdad, ni tan poco como para renunciar al trámite. Los estafadores calibran esa cifra con mucho cuidado.
Cybermalveillance.gouv.fr, el dispositivo nacional francés de asistencia a las víctimas, sitúa el phishing a la cabeza de los motivos de consulta de los particulares desde hace varios años consecutivos, sumando todos los soportes. Y entre los pretextos utilizados, el reembolso ocupa un lugar estructuralmente fuerte porque se recicla indefinidamente: impuestos, mutua, prestaciones familiares, Seguridad Social, compañía eléctrica, operador de telefonía, aerolínea, peaje.
El calendario fiscal y social, la agenda de trabajo de los estafadores
Una estafa del reembolso nunca llega al azar. Se ajusta al calendario administrativo, porque un mensaje creíble es un mensaje que llega en el momento adecuado.
| Periodo | Pretexto más utilizado | Por qué funciona |
|---|---|---|
| Julio – septiembre | Declaración de la renta, exceso de pago de Hacienda | Llegan las notificaciones reales y también las regularizaciones |
| Septiembre – octubre | Vuelta al cole: ayudas familiares, prestaciones, becas | Multiplicación de los trámites familiares |
| Noviembre – enero | Regularización de la factura de energía | Lecturas anuales y cambios de tarifa |
| Todo el año | Reembolso de mutua / sanidad | Flujo permanente de liquidaciones |
| Después de una mudanza | Exceso de pago del operador o del seguro | Bajas y prorrateos muy reales |
La regla es sencilla: si estás esperando una carta de un organismo este mes, un estafador también lo sabe. No te está eligiendo personalmente: apunta estadísticamente a millones de personas, de las cuales una fracción está efectivamente esperando ese tipo de noticia. En un envío masivo, un pequeño porcentaje de coincidencias basta para rentabilizar la operación.
La trampa técnica: por qué «pagas» para que te reembolsen
Aquí entra en juego la parte más contraintuitiva del guion, y la que atrapa incluso a personas atentas. La página fraudulenta no pide dinero. Pide adónde enviar el dinero. Es decir, tus datos bancarios y, muy a menudo, bastante más.
El recorrido tipo se desarrolla en cuatro pantallas:
- Identificación: nombre, apellidos, fecha de nacimiento, dirección y, a veces, número fiscal o número de la seguridad social. Nada alarmante en apariencia: se supone que el organismo ya te conoce.
- Datos bancarios: IBAN y, luego, «para una transferencia inmediata», el número de tarjeta, la fecha de caducidad y el código de seguridad del reverso. Es el momento clave: ningún organismo público reembolsa jamás a una tarjeta bancaria.
- Número de teléfono: presentado como necesario para la confirmación. En realidad, permitirá que el estafador te llame después haciéndose pasar por tu banco.
- Validación: un pequeño cargo de «verificación» de 1 € o 2 €, supuestamente para «probar» la tarjeta. Ese pago desencadena en realidad la incorporación de tu tarjeta a la cartera digital del estafador.
Esta última etapa es la más moderna y la menos conocida. Desde la generalización de la autenticación reforzada impuesta por la directiva europea PSD2, un simple número de tarjeta ya no basta para cargar en una cuenta: hay que validar en la aplicación bancaria. Los estafadores han desplazado, por tanto, su objetivo. Ya no buscan pagar directamente con tu tarjeta, sino añadirla a un teléfono que les pertenece, para después pagar sin contacto en tiendas, con total discreción, hasta que te des cuenta.
De ahí la llamada telefónica que suele seguir al formulario a los pocos minutos o pocas horas: una voz tranquila, profesional, que te pide «validar la notificación que acaba de recibir». Validas. Acabas de autorizar el enrolamiento de tu tarjeta.
Siete señales que delatan un SMS falso de reembolso
Ninguna de estas pistas es decisiva por sí sola. Con dos de ellas juntas basta para clasificar el mensaje.
- Un enlace que no termina en un dominio oficial. Las webs de la administración francesa terminan siempre en
.gouv.fr, nunca en-gouv.net,gouv-fr.comoimpots-service.info. El guion es el disfraz preferido del dominio falso. - Un importe exacto con céntimos. Busca imitar el realismo contable. Además, las notificaciones reales de la Agencia Tributaria no comunican importes por SMS.
- Una petición de datos bancarios. La administración tributaria, los organismos de prestaciones y la seguridad social ya conocen tu cuenta: se la facilitaste en tus trámites. Nadie te la vuelve a pedir por SMS.
- Una fecha límite muy corta. Un reembolso legítimo no caduca en 72 horas. Es urgencia artificial, trasplantada del registro del miedo.
- Las palabras «criptograma», «CVV» o «los 3 dígitos del reverso». Ese código sirve exclusivamente para pagar, nunca para recibir.
- Un remitente alfanumérico imitado. Un mensaje fraudulento puede mostrarse bajo un nombre de remitente creíble e incluso colarse en el hilo de conversación de un organismo real. El hilo de mensajes no es, por tanto, una prueba de autenticidad.
- Una ortografía casi perfecta. Las faltas groseras han desaparecido. Deja de buscar el error de concordancia: busca el dominio.
Regla de supervivencia, válida para cualquier SMS administrativo: nunca se hace clic en el mensaje, siempre se vuelve por medios propios a la web oficial —impots.gouv.fr, caf.fr, ameli.fr, urssaf.fr— o a la aplicación ya instalada en el teléfono. Si el reembolso existe, aparecerá allí. Si no aparece, no existe.
Los públicos más expuestos, y por qué
Los jubilados y las personas poco familiarizadas con lo digital
La retención en origen ha hecho la fiscalidad más opaca para muchos hogares: ya no siempre se sabe qué se paga ni por qué. El anuncio de una regularización parece, por tanto, plausible. A esto se añade un factor práctico: leer una dirección web truncada en una pantalla pequeña es objetivamente difícil. Muchas familias resuelven parte del problema aumentando de forma permanente el tamaño de la letra del teléfono, o instalando un soporte de teléfono ajustable cerca del sillón para leer la pantalla a buena distancia y no con el brazo estirado. Ver claramente un nombre de dominio ya es la mitad de la vigilancia.
Los estudiantes y jóvenes trabajadores
Becas, ayudas a la vivienda, ayudas a la movilidad, reembolsos de transporte: esta población acumula flujos administrativos de pequeño importe y un fuerte hábito de vivir en el móvil. Una transferencia anunciada de 120 € les parece perfectamente banal.
Los autónomos y microempresarios
Reciben realmente mensajes de los organismos de cotización, intercambian realmente números de cuenta y gestionan su tesorería al día. Un falso «exceso de cotizaciones pagadas» encuentra ahí un terreno ideal. Para ellos, separar los usos supone una ganancia real de seguridad: un segundo teléfono dedicado a la actividad profesional o, como mínimo, una tarjeta SIM prepago reservada a los contactos administrativos reduce mecánicamente la superficie de exposición.
Qué hacer si ya has hecho clic o has introducido tus datos
El tiempo cuenta más que la vergüenza. Este es el orden de prioridades.
- Bloquea la tarjeta de inmediato a través de tu banco, con la aplicación o el número que figura en el reverso de la tarjeta, nunca un número recibido por SMS. En Francia, el servicio interbancario de bloqueo de tarjetas está disponible de forma permanente en el 0 892 705 705.
- Comprueba los dispositivos vinculados en tu área bancaria: la mayoría de los bancos ya enumeran los teléfonos asociados a tu tarjeta para el pago móvil. Elimina cualquier dispositivo desconocido.
- Cambia las contraseñas de las cuentas afectadas si has reutilizado la misma en otros sitios. Un cuaderno de contraseñas en papel guardado en casa sigue siendo, para muchos hogares, una solución más realista que una memorización aproximada, siempre que no se fotografíe ni se transporte nunca.
- Denuncia el mensaje. El número 33700 es el servicio oficial de denuncia de SMS no deseados y fraudulentos en Francia: reenvía el mensaje al 33700 y, después, envía el número del remitente cuando el servicio te lo pida. También puedes reportar la dirección fraudulenta en la plataforma Phishing Initiative y declarar los hechos en el portal oficial de denuncias del Ministerio del Interior.
- Presenta una denuncia en comisaría o en la gendarmería si ha habido algún cargo. Suele ser un requisito para obtener la devolución.
- Reclama el reembolso. La normativa monetaria y financiera prevé que, en caso de operación de pago no autorizada, el banco reembolse al titular, salvo negligencia grave por su parte. La Banque de France y la Autorité de contrôle prudentiel et de résolution han recordado en varias ocasiones que el mero hecho de haber sido víctima de una manipulación no constituye automáticamente esa negligencia grave. Si tu banco se niega, acude a su defensor del cliente.
Reducir el riesgo de forma duradera, sin volverse paranoico
El objetivo no es desconfiar de todo, sino hacer que dudar resulte fácil. Bastan unos cuantos hábitos.
- Instalar las aplicaciones oficiales (impots.gouv, ameli, CAF – Mon Compte) y adquirir el reflejo de comprobarlo todo dentro de ellas en lugar de en un enlace. Es el gesto que por sí solo neutraliza el 90 % de estas campañas.
- Activar las notificaciones bancarias en tiempo real para cada operación, incluidos los importes pequeños: es el cargo de 1 € el que delata el enrolamiento fraudulento.
- Mantener el teléfono actualizado, tanto el sistema como el navegador. Los filtros antiphishing integrados bloquean una parte de los dominios reportados.
- No dejar que la batería dicte las decisiones. Una parte nada desdeñable de los clics impulsivos ocurre cuando se quiere «resolver esto rápido» antes de que el teléfono se apague. Una batería externa compacta en el bolso también es tiempo de reflexión ganado.
- Hablar de los intentos recibidos. El principal factor de protección, en todos los estudios sobre el fraude, sigue siendo haberlo comentado con alguien. Un libro divulgativo sobre ciberseguridad cotidiana, dejado en la mesa del salón, abre más conversaciones familiares que un largo sermón.
Por último, una frase que conviene recordar y transmitir, sobre todo a padres y abuelos: ningún organismo público te pedirá jamás el número de tu tarjeta bancaria para ingresarte dinero. Un reembolso se hace por transferencia, a una cuenta ya conocida, sin que tengas que hacer nada. Todo mensaje que se aparte de esta regla es una estafa, sea cual sea el logotipo, el tono o el importe anunciado.
La buena noticia, la de verdad, es que esta estafa se desmorona en cuanto se la nombra. No se sostiene en ninguna proeza técnica: solo en el hecho de que nos han enseñado a desconfiar de las amenazas, y nunca de los regalos.
