«CIC: se ha detectado una conexión inusual en su cuenta desde un nuevo dispositivo. Si no ha sido usted, proteja su cuenta aquí: cic-verification-acces[.]com»
Recibes este mensaje a las 18:40, al salir de la estación. La persona que está a tu lado mira su teléfono en ese mismo instante y frunce el ceño. El mensaje es idéntico. No tenéis el mismo operador, ni el mismo banco, ni ninguna relación entre vosotros. Y, sin embargo, acabáis de recibir el mismo SMS en el mismo segundo.
No se trata de una campaña de smishing clásica. No ha habido ningún archivo de números comprado en el mercado negro, ninguna pasarela de envío, ningún operador al otro lado. Hay un coche aparcado a 150 metros, un aparato alimentado por la batería y una falsa antena repetidora que ha forzado a todos los teléfonos del barrio a conectarse a ella para colarles un mensaje directamente en la bandeja de entrada. Es lo que se conoce como un SMS Blaster.
Lo que cambia radicalmente con el SMS Blaster
Hasta ahora, todos los SMS fraudulentos que analizamos en esta revista comparten una característica: circulan por la red. El estafador paga un servicio de envío masivo, a menudo en el extranjero, carga una lista de números y pulsa «enviar». El mensaje pasa por operadores, atraviesa filtros antispam y deja rastros aprovechables. Por eso tiene sentido denunciar al 33700, el servicio oficial francés de denuncia de spam telefónico y por SMS, gestionado por la Association Française du Multimédia Mobile en colaboración con los operadores franceses: alimenta una cadena de bloqueo muy real.
El SMS Blaster se salta toda esa capa. El dispositivo se comporta como una estación base móvil, una antena repetidora en miniatura. Los teléfonos de los alrededores, diseñados para engancharse a la señal más potente, se conectan a ella espontáneamente. Una vez establecida la conexión, el aparato envía un mensaje al terminal igual que lo haría una red auténtica. Las consecuencias se encadenan:
- No hay ningún operador implicado. Ni Orange, ni SFR, ni Bouygues, ni Free han visto pasar ese mensaje. Los filtros antismishing de los operadores, que bloquean cada año decenas de millones de SMS fraudulentos, quedan fuera de juego.
- No hace falta ningún número. El estafador no conoce tu número, nunca lo ha comprado, nunca lo ha visto. Riega una zona geográfica, no una lista.
- El remitente mostrado es totalmente libre. El aparato decide el encabezado: «CIC», «Ameli», «Chronopost», «ANTAI». Nada le obliga a usar un formato de número creíble.
- El mensaje puede caer en un hilo ya existente. Es el detalle más inquietante: si el remitente mostrado coincide exactamente con el de una marca de la que ya has recibido SMS legítimos, algunos teléfonos agrupan el mensaje falso en la misma conversación, justo después de los auténticos.
Este último punto destruye el principal reflejo de verificación que el público general había acabado adquiriendo. «Comprueba si el mensaje llega al mismo hilo que los anteriores»: este consejo, válido durante mucho tiempo, ya no protege frente a esta técnica.
¿Cómo puede un simple aparato hacerse pasar por una antena?
La respuesta se resume en una palabra: la 2G. El GSM, desplegado a comienzos de los años noventa, se concibió en una época en la que lo que preocupaba sobre todo era impedir que los particulares escucharan las comunicaciones. La red autentica al teléfono, pero el teléfono no autentica realmente a la red. Dicho de otro modo: tu móvil demuestra su identidad a la antena, pero la antena no tiene que demostrar nada a tu móvil.
Las generaciones posteriores corrigieron este defecto. La 3G, y después la 4G y la 5G, imponen una autenticación mutua: un equipo pirata ya no puede pretender ser una red legítima. El problema es que la compatibilidad con generaciones anteriores sigue activada por defecto en muchos terminales. Al atacante le basta entonces con interferir o dominar localmente las bandas 4G/5G para que los teléfonos, sin mejor opción, «bajen» dócilmente a 2G. Es lo que se denomina un ataque de downgrade.
El principio técnico no es nuevo: se trata de un primo de los «IMSI catchers», esas maletas de interceptación utilizadas desde hace tiempo por ciertos servicios y conocidas por los investigadores de seguridad desde hace más de quince años. Lo nuevo es el precio, la miniaturización y el uso criminal a gran escala.
El material necesario, antes reservado a los Estados, cabe hoy en una mochila y se controla desde un ordenador portátil. Las autoridades de varios países —Reino Unido, Tailandia, Vietnam y Nueva Zelanda, entre otros— han incautado en los últimos años dispositivos de este tipo, a menudo instalados en vehículos que circulaban por el centro de las ciudades. En Francia, el uso de un emisor de radio no autorizado en frecuencias asignadas a los operadores constituye varias infracciones distintas, independientemente de la estafa en sí: las interferencias y la emisión ilícita están sancionadas por el código de correos y comunicaciones electrónicas, bajo la vigilancia de la ANFR (Agence nationale des fréquences).
Un alcance corto, pero un caudal enorme
Un SMS Blaster no cubre una ciudad. Su alcance útil se mide en cientos de metros: unas decenas en un entorno denso, más en terreno abierto. En cambio, dentro de ese perímetro puede alcanzar varios miles de terminales por hora. De ahí la elección de los lugares: estaciones, salidas de metro, mercados, zonas comerciales, alrededores de estadios, colas de festivales. Allí donde la densidad humana es máxima y la gente mira el móvil mientras camina.
El modus operandi descrito por la prensa especializada es casi siempre el mismo: un vehículo corriente, un equipo en el maletero alimentado por una batería externa de gran capacidad, un estacionamiento de veinte a cuarenta minutos y después un desplazamiento. Ninguna interacción con las víctimas. Ningún contacto físico. El «repartidor» no existe, el «asesor bancario» todavía no llama: todo se decide en el clic.
Reconocer un mensaje enviado por SMS Blaster
Puesto que el encabezado del remitente ya no prueba nada, hay que fijar la atención en otras señales. Cuatro indicios suelen combinarse:
| Indicio | Lo que observas | Por qué es revelador |
|---|---|---|
| Simultaneidad | Varias personas a tu alrededor reciben el mismo mensaje | Una campaña clásica no se dirige a una zona geográfica |
| Corte breve de red | Tu teléfono ha pasado a «E», «G» o se ha quedado sin datos justo antes | Señal de un downgrade forzado a 2G |
| Marca incoherente | Un SMS de un banco del que no eres cliente | El ataque no está dirigido: riega |
| Enlace con dominio chapucero | cic-verification-acces.com, ameli-mise-a-jour.net | Ninguna administración ni banco utiliza esos dominios |
El segundo indicio es el más técnico, pero también el más fiable. Si, en plena zona urbana con cobertura 4G/5G, tu teléfono cambia de repente a un indicador «E» o «G» durante unos minutos y después llega un SMS sorprendente, la coincidencia merece desconfianza. Por cierto, los usuarios que llevan una batería externa compacta en el bolso suelen detectar estos cambios, porque vigilan con más atención la barra de estado cuando recargan el móvil en movimiento.
El tercer indicio sigue siendo, a pesar de todo, el más accesible: una estafa de zona está, por definición, mal dirigida. Si recibes un «problema de pago» de una tienda en la que no has comprado nada, o una alerta de un banco que no es el tuyo, la cuestión está resuelta.
El ajuste que neutraliza el ataque: desactivar la 2G
Es la contramedida más eficaz, y es gratuita. Puesto que el ataque se basa en un retorno forzado a la 2G, prohibir a tu teléfono conectarse a ella equivale a cortar la rama en la que está sentado el estafador.
En Android
La mayoría de las versiones recientes de Android ofrecen un interruptor específico, heredado de una función introducida por Google a partir de Android 12:
- Ajustes → Redes e Internet → Tarjetas SIM (o «Red móvil»)
- Busca la opción «Permitir 2G» y desactívala.
Algunos fabricantes le dan otro nombre o la ubican en un menú «Tipo de red preferido», donde se selecciona «Solo 4G/5G». En los dispositivos que no muestran este ajuste, suele seguir estando accesible a través del menú avanzado del operador.
También existe un modo de «protección reforzada» más amplio, llamado Advanced Protection en las versiones más recientes de Android: desactiva la 2G, bloquea las conexiones sin cifrar y endurece varios comportamientos de red de una sola vez.
En iPhone
Apple no ofrece un interruptor «2G» aislado, pero el modo Aislamiento (Ajustes → Privacidad y seguridad → Modo Aislamiento) desactiva, entre otras cosas, las conexiones móviles no seguras, incluida la 2G. Este modo es deliberadamente restrictivo: también limita los archivos adjuntos, algunas funciones web y las invitaciones entrantes. Está pensado para personas realmente expuestas, no para el uso diario de cualquiera.
En su defecto, conviene al menos comprobar en Ajustes → Datos móviles → Opciones → Voz y datos que el terminal está configurado en 5G o LTE, y no en un modo compatible con generaciones antiguas.
¿Y si necesitas la 2G?
Quedan dos casos legítimos. Primero, algunas zonas rurales conservan una cobertura 2G residual como red de seguridad para la voz. Segundo, muchos objetos conectados —localizadores, alarmas, teléfono móvil de teclas grandes para personas mayores, relojes GPS para niños— solo existen en 2G. Si equipas a un familiar, la elección del terminal importa: un modelo compatible con 4G VoLTE, aunque sea muy sencillo de usar, es preferible a un aparato limitado a 2G. Los operadores franceses, por su parte, ya han iniciado el apagado progresivo de la 2G y la 3G para finales de esta década, lo que hará que esta cuestión deje de tener sentido, pero aún no hemos llegado a ese punto.
Los demás reflejos que siguen siendo válidos
Desactivar la 2G elimina el vector de entrada más habitual. Pero el resto de la estafa no cambia: el mensaje quiere que hagas clic en un enlace e introduzcas tus credenciales. Las defensas clásicas conservan, por tanto, todo su interés.
- No utilizar nunca el enlace recibido. Abre la aplicación oficial de tu banco o escribe la dirección tú mismo. Esta única regla anula la inmensa mayoría de las campañas, con blaster o sin él.
- Verificar por un canal independiente. Llama al número que figura en el dorso de tu tarjeta bancaria, nunca al que indica el SMS.
- Activar una doble autenticación robusta. Una llave de seguridad física FIDO2 o una aplicación de autenticación es mejor que un código enviado por SMS, precisamente porque el canal SMS es el eslabón débil.
- Actualizar el sistema. Los parches de seguridad mensuales de Android e iOS cierran con regularidad fallos de la pila de red. Un teléfono abandonado por su fabricante es más vulnerable, y no solo a los blasters.
- Desconfiar de la segunda fase. El SMS rara vez es la estafa completa: sirve de cebo para una llamada de un «falso asesor bancario» unas horas o unos días más tarde. Este escenario de manipulación, en fuerte aumento según las observaciones del Banque de France, es el que más dinero cuesta a las víctimas.
Para los hogares que quieren formalizar un mínimo de higiene digital, un cuaderno de contraseñas en papel guardado fuera de la vista sigue siendo, paradójicamente, una herramienta de seguridad perfectamente defendible para quienes no quieren un gestor informático, siempre que no contenga códigos bancarios y nunca viaje en el bolso.
Qué hacer si has hecho clic
El orden de los pasos importa más que su número.
- Corta inmediatamente los datos (modo avión) si sospechas que se está descargando una aplicación. Un blaster también puede enviar un enlace de instalación de aplicación maliciosa en Android.
- Cambia tus contraseñas desde otro dispositivo, empezando por el correo principal y la banca en línea.
- Llama a tu banco por el número oficial y bloquea la tarjeta si has introducido datos bancarios. Recordemos que, según el código monetario y financiero francés, una operación no autorizada debe en principio ser reembolsada por el banco, salvo negligencia grave por tu parte, de ahí la importancia de denunciar rápido y por escrito.
- Denuncia al 33700 por SMS (reenviando el mensaje) y presenta una denuncia. Aunque el operador no haya transportado el mensaje, la denuncia permite documentar la campaña y bloquear los dominios asociados.
- Avisa a tu entorno geográfico: compañeros de trabajo, vecinos, comerciantes del barrio. Un ataque de zona afecta a una comunidad, no a un individuo.
El portal oficial cybermalveillance.gouv.fr ofrece un itinerario de asistencia gratuito y la puesta en contacto con profesionales, y service-public.fr detalla el procedimiento de denuncia. La Arcep, por su parte, recuerda periódicamente los canales para denunciar comunicaciones no deseadas.
Lo que esta técnica nos dice sobre el futuro
El SMS Blaster marca un cambio discreto pero profundo: el fraude por SMS se convierte en una amenaza de proximidad física. Durante veinte años se ha enseñado al público que el peligro venía de «algún lugar», de un servidor anónimo en el extranjero. Aquí viene de la calle de al lado, de un vehículo corriente, durante media hora.
Esto tiene dos consecuencias prácticas. Primero, la vigilancia ya no puede delegarse por completo en los operadores: un filtro de red, por eficaz que sea, no ve nada de un mensaje que no pasa por la red. Segundo, los ajustes del terminal, considerados durante mucho tiempo un detalle de expertos, se convierten en una línea de defensa de primer orden, igual que un cristal templado de protección lo es para la pantalla.
El consejo que resiste a todo, en cambio, no se ha movido ni un milímetro: ningún banco, ninguna administración, ninguna empresa de transporte te pedirá jamás introducir tus credenciales desde un enlace recibido por SMS. No importa el remitente mostrado, no importa el hilo de conversación, no importa la antena —verdadera o falsa— que haya transportado el mensaje.
