«ALERTA DE SEGURIDAD: se han detectado 3 amenazas en su dispositivo. Sus datos bancarios están expuestos. Contacte de inmediato con el soporte autorizado en el 91 84 XX XX XX.»
Lees este mensaje en la pantalla del mismo aparato que supuestamente estaría infectado. Ahí reside toda la fuerza del guion: la prueba y el síntoma se confunden. Y, a diferencia del 90 % de los SMS fraudulentos que analizamos aquí, este no contiene ningún enlace. Ni un dominio extraño, ni un [.]info que detectar, nada sobre lo que pasar el cursor. Solo un número de teléfono fijo, perfectamente normal, que espera una única cosa: que llames.
Esta variante tiene nombre propio en la jerga de la ciberseguridad: el callback phishing, o phishing de devolución de llamada. Invierte la lógica habitual. Ya no es el estafador quien te empuja hacia una web, eres tú quien marca voluntariamente su número. Y a partir de ese momento ya no te enfrentas a un formulario, sino a un ser humano entrenado.
Por qué los estafadores abandonan el enlace trampa
El enlace en el que se hace clic ha sido durante mucho tiempo el arma absoluta del smishing. Cada vez lo es menos, por tres razones muy concretas.
Los filtros han mejorado. Los operadores y los sistemas antispam integrados en iOS y Android analizan ya las URL contenidas en los mensajes. Un dominio creado la víspera, alojado en un país exótico e imitando una marca conocida tiene una esperanza de vida que se mide en horas. Un SMS sin enlace, en cambio, apenas dispara alertas automáticas: solo contiene texto y un número de teléfono nacional.
Al público se le ha educado, pero en un solo reflejo. Las campañas de prevención de organismos como Cybermalveillance.gouv.fr han difundido masivamente un mensaje sencillo: «no hagas clic en el enlace». Excelente consejo, pero genera un punto ciego. Mucha gente ha interiorizado «enlace = peligro» sin interiorizar «número desconocido = peligro». Llamar parece incluso el comportamiento prudente: se prefiere «comprobarlo con una persona de verdad» antes que hacer clic.
El factor humano convierte mejor que un formulario. Una página de phishing captura un usuario y una contraseña. Un estafador al teléfono obtiene mucho más: el nombre de tu banco, tu disponibilidad, tu nivel de competencia técnica, tu estado emocional y, sobre todo, tu cooperación activa durante treinta o cuarenta minutos. La Banque de France, en sus trabajos sobre el fraude en los medios de pago, subraya además el claro avance de las estafas denominadas «por manipulación», en las que la propia víctima realiza las operaciones fraudulentas. Este SMS es una puerta de entrada típica.
El desarrollo típico de una llamada al «soporte»
Los guiones varían, pero la mecánica es notablemente estable. Esta es la secuencia que describen la mayoría de las víctimas.
1. Generar confianza técnica
Al otro lado de la línea, una voz tranquila y un ligero ruido de centralita de fondo, a menudo recreado artificialmente para dar credibilidad a la idea de un verdadero centro de asistencia. Te dan un «número de expediente», te preguntan tu nombre y el modelo de tu teléfono. Es posible que te lean una referencia que aparece en el SMS. En esta fase no se pide nada sensible: es algo deliberado. El objetivo es instalarte en una relación de servicio normal.
2. La demostración de la infección
El falso técnico te hace abrir una pantalla anodina de tu dispositivo: la lista de aplicaciones recientes, el registro de conexiones de una cuenta, los ajustes de red. Y después interpreta. «¿Ve esa línea? Es una conexión desde el extranjero.» Casi siempre se trata de elementos perfectamente normales, pero ilegibles para quien no es especialista. El procedimiento es idéntico al que se usa desde hace quince años en las estafas del falso soporte de Windows, simplemente trasladado al móvil.
3. La instalación del control remoto
Este es el punto de no retorno. Te piden que instales una aplicación «de diagnóstico», con un nombre tranquilizador, disponible en las tiendas oficiales porque son programas reales de mantenimiento remoto desviados de su uso. Una vez concedidos los permisos de accesibilidad, tu interlocutor ve tu pantalla y puede actuar sobre ella.
4. La «puesta a salvo» del dinero
El guion concluye casi siempre con la misma frase: tus ahorros estarían amenazados y hay que transferirlos a una «cuenta segura», presentada a veces como una cuenta del banco central o una cuenta de depósito. En otras variantes, te hacen validar una operación en tu aplicación bancaria mientras el estafador la pilota a distancia, o te piden que dictes los códigos recibidos por SMS para «anular» un cargo.
Ningún servicio de atención al cliente, ningún banco, ningún operador y ninguna administración pública te pedirá jamás que instales un programa de control remoto en tu teléfono personal, ni que transfieras dinero a una «cuenta de seguridad». Estas dos peticiones son, por sí solas, la firma de la estafa.
Quién recibe estos mensajes y por qué funcionan
Este guion apunta principalmente a dos perfiles, por razones opuestas.
Las personas poco cómodas con la tecnología, que han asumido que un teléfono puede «coger un virus» sin saber exactamente qué significa eso. Para ellas, la existencia de un número de asistencia encaja con todo lo que conocen: el router, los electrodomésticos, el seguro. Llamar a un soporte forma parte del repertorio de gestos normales. Por eso acompañar a un familiar mayor vale más que cualquier programa: una guía práctica sobre seguridad digital dejada a mano, con los números oficiales anotados encima, suele surtir más efecto que un largo discurso.
Las personas muy conectadas, en cambio, que gestionan muchas cuentas, reciben alertas de seguridad legítimas constantemente y para quienes una notificación más no despierta ninguna desconfianza particular. En su caso no influye la ignorancia, sino la fatiga por exceso de alertas.
Seis señales que delatan al falso soporte
| Señal observada | Lo que hace un servicio real | Lo que hace el estafador |
|---|---|---|
| El canal de entrada | Eres tú quien contacta mediante la app oficial o el número del reverso de tu tarjeta | Te impone un número facilitado en el mensaje |
| El vocabulario | Preciso, matizado, «vamos a comprobarlo» | Alarmista, con cifras, «3 amenazas detectadas» |
| El ritmo | Puedes volver a llamar más tarde | Cada minuto cuenta, no se cuelga |
| El software | Nada que instalar | Una aplicación de «diagnóstico» imprescindible |
| Los códigos recibidos por SMS | Nunca se piden de viva voz | Dictados «para validar la anulación» |
| El destino del dinero | Ninguno, tu dinero no se mueve | Una cuenta «segura», una recaudación, criptomonedas |
Un detalle más merece atención: la naturaleza misma de la alerta. Un teléfono realmente comprometido no te avisaría por SMS con un número al que llamar. Las alertas de seguridad auténticas de Android o iOS aparecen en los ajustes del sistema o en la aplicación correspondiente, nunca en forma de mensaje de texto procedente de un remitente desconocido.
Qué hacer de inmediato si ya has llamado
El orden importa. Estos son los pasos, del más urgente al menos urgente.
- Corta la conexión. Modo avión, o apaga el dispositivo. Si hay un programa de control remoto activo, así finalizas la sesión en curso.
- Desinstala la aplicación instalada durante la llamada, así como cualquier aplicación que no reconozcas, y revoca los permisos de accesibilidad en los ajustes.
- Llama a tu banco desde otro dispositivo, marcando el número que figura en el reverso de tu tarjeta bancaria, nunca el que te han facilitado. Pide el bloqueo de las operaciones y la cancelación de la tarjeta.
- Cambia las contraseñas de las cuentas sensibles desde un dispositivo limpio: primero el correo principal, luego el banco y después las cuentas de comercios. Un gestor de contraseñas evita reutilizar la misma combinación en todas partes, que es exactamente lo que espera el estafador.
- Presenta una denuncia en la policía o la guardia civil, con las capturas de pantalla, el número al que llamaste, los horarios y los importes. Las plataformas oficiales de ciberseguridad también orientan hacia profesionales de proximidad.
- Denuncia el SMS al servicio nacional de notificación de spam reenviando el mensaje. Comunica también el número al que llamaste: así se desactiva más rápido.
En caso de transferencia efectuada, la normativa europea sobre servicios de pago obliga al banco a reembolsar una operación no autorizada. La dificultad, en los fraudes por manipulación, radica en que la operación fue validada por el propio cliente: los bancos alegan entonces negligencia grave. Aun así, no te rindas. Las asociaciones bancarias y los servicios de defensa del cliente tratan con regularidad este tipo de litigios, y varias resoluciones han declarado la responsabilidad de la entidad cuando la manipulación era especialmente sofisticada.
Reducir la superficie de ataque antes del próximo mensaje
Ninguna protección da inmunidad, pero unos cuantos ajustes reducen considerablemente el riesgo.
Blinda la puerta de entrada bancaria. La autenticación reforzada de tu aplicación bancaria debe basarse en una validación biométrica o en un código que se introduce dentro de la aplicación, nunca en un código transmitido de viva voz. Revisa también el límite de transferencias: un límite bajo, elevado puntualmente cuando lo necesites, reduce mecánicamente el perjuicio.
Aísla las cuentas críticas. Una llave de seguridad física compatible con FIDO2, conectada por USB o acercada por NFC, deja inservible el robo de tus credenciales en tu correo principal. Es la inversión más rentable para quien gestiona varias cuentas sensibles, porque el buzón de correo es la llave de todo lo demás.
No dejes que el teléfono sea el único punto de acceso. Si tu móvil es tu único medio para autenticarte en todas partes, que se vea comprometido equivale a perderlo todo. Mantener un segundo factor en otro sitio —una tableta, un ordenador o una libreta con códigos de recuperación guardada fuera de la vista— separa los riesgos.
Mantén las actualizaciones al día. Un sistema actualizado bloquea vectores de ataque conocidos. Y una batería agotada que obliga a posponer las actualizaciones para ahorrar energía es un problema de seguridad indirecto: una batería externa compacta basta a menudo para romper ese círculo.
El caso particular de los familiares mayores
Es en este público donde la estafa del falso soporte causa más estragos, porque combina tres palancas: el miedo a «hacerlo mal» con la tecnología, el respeto a la autoridad presunta de un técnico y el aislamiento en el momento de la llamada.
Algunas medidas sencillas, más eficaces que cualquier discurso:
- Escribir los números reales en papel. El número del banco, del médico, del servicio de atención al cliente del operador, anotados en una ficha colocada junto al teléfono. La regla pasa a ser: «solo se llama a lo que está en la ficha».
- Instaurar un reflejo de pausa. «Antes de instalar nada o de mover dinero, me llamas.» Una simple regla familiar, verbalizada una vez, desactiva la urgencia artificial.
- Simplificar el equipo cuando tenga sentido. Para un uso limitado a las llamadas, un teléfono de teclas grandes reduce drásticamente la exposición: no hay aplicaciones que instalar ni control remoto posible.
- Activar el filtrado de llamadas. Todos los operadores ofrecen opciones de bloqueo de llamadas y mensajes no deseados, a menudo gratuitas y rara vez activadas.
Lo que este SMS dice sobre la evolución de las estafas
El paso del enlace a la llamada no es un detalle técnico, es un cambio de naturaleza. Los estafadores han entendido que la defensa tecnológica avanza más deprisa que la defensa humana. Filtrar una URL maliciosa es un problema resuelto; impedir que alguien confíe en una voz tranquila al teléfono no lo está, y nunca lo estará del todo.
De ahí el único reflejo verdaderamente sólido, el que funciona sea cual sea el guion, sea cual sea la marca imitada, sea cual sea la sofisticación del mensaje: nunca se devuelve la llamada a un número facilitado en un mensaje no solicitado. Se cuelga, se busca uno mismo el número oficial y se marca. Ese gesto cuesta treinta segundos. Y anula por sí solo toda la cadena descrita en este artículo.
Y si la tentación de llamar para «salir de dudas» sigue siendo fuerte, recuerda la pregunta que lo resuelve todo: ¿por qué un servicio que realmente hubiera detectado una amenaza en tu dispositivo iba a necesitarte a ti para solucionarla?
