«Hola, me quedo con tu bicicleta al precio que pides, no hace falta negociar. Ya he realizado el pago seguro a través de la plataforma, vas a recibir un SMS para validar la recepción de los fondos. Mi transportista pasa mañana por la mañana.»
El mensaje es educado, rápido, sin regateo. Justamente eso debería hacer saltar las alarmas… y justamente eso es lo que tranquiliza. Después de tres semanas con el anuncio publicado y cuatro curiosos que han ofrecido la mitad del precio, un comprador que dice que sí de inmediato parece una liberación, no una trampa.
La estafa del falso comprador tiene una particularidad que la hace temible: invierte los papeles. Todas las campañas de prevención nos han enseñado a desconfiar cuando compramos por internet. Casi nadie nos ha explicado que también nos pueden robar vendiendo. Y sin embargo, hoy es uno de los escenarios de smishing más extendidos, y ya no solo apunta a los principiantes.
El escenario completo, paso a paso
A diferencia del falso SMS de entrega que llega en frío, esta estafa se construye poco a poco. Empieza siempre con un anuncio real, publicado por ti, en una plataforma real. El estafador no fabrica nada: explota lo que tú has puesto en línea.
Paso 1 — El contacto relámpago. Entre unos minutos y unas horas después de publicar el anuncio, llega un mensaje por la mensajería interna del sitio. El comprador acepta el precio marcado, no hace ninguna pregunta técnica sobre el objeto y se declara «muy interesado». A menudo invoca una limitación: se va de viaje, compra para un familiar, no puede desplazarse.
Paso 2 — La salida de la plataforma. Es el momento clave. El comprador pide tu número de teléfono «para ir más rápido» o «porque la aplicación falla». Se lo das, la conversación pasa a SMS o a una mensajería cifrada. Acabas de abandonar el espacio donde la plataforma archiva, modera y puede suspender una cuenta.
Paso 3 — El justificante de pago. El estafador envía una captura de pantalla de una transferencia realizada, a veces un falso correo de confirmación con los colores de la plataforma. Esos documentos están bien hechos: logotipo correcto, tipografía correcta, avisos legales copiados. No tienen ningún valor, pero crean una sensación de avance.
Paso 4 — El SMS trampa. Llega un mensaje, supuestamente automático, con un enlace: «Tu venta ha recibido 480 € pendientes. Haz clic para validar la recepción de los fondos en tu cuenta.» El dominio imita al de la plataforma o al de un servicio de pago conocido, con una variación mínima.
Paso 5 — El formulario. La página pide tu número de tarjeta bancaria, la fecha de caducidad, el código de seguridad y, a veces, tu saldo disponible «para verificar la compatibilidad del abono». Después te pide validar una notificación en tu aplicación bancaria.
Paso 6 — El cargo. Esa validación no autoriza una recepción, autoriza un pago saliente o el registro de tu tarjeta en un monedero digital controlado por el estafador. Los cargos llegan después, a veces repartidos a lo largo de varios días para no activar alertas.
La mentira central: nunca se «valida» un cobro
Conviene grabárselo en alguna parte, porque es el único punto sobre el que se sostiene toda la estafa.
Recibir dinero nunca exige facilitar tu número de tarjeta bancaria, tu código de seguridad, ni validar una operación en tu aplicación bancaria.
Una transferencia entrante llega sola. Un reembolso llega solo. Un pago a través de una plataforma de venta llega al monedero de la plataforma y después a tu cuenta, tras una solicitud de retirada que inicias tú desde la aplicación oficial, conectándote por tu cuenta.
Los datos de una tarjeta bancaria sirven exclusivamente para cargar en esa tarjeta. El código de tres cifras del reverso solo existe para demostrar que tienes la tarjeta físicamente en el momento de una compra. Ningún sistema del mundo lo necesita para ingresarte dinero. Cybermalveillance.gouv.fr, el organismo nacional francés de asistencia a las víctimas de actos de ciberdelincuencia, repite este principio en todas sus fichas dedicadas al phishing.
El corolario práctico: en cuanto un interlocutor, sea quien sea, une las palabras «recibir» y «tarjeta bancaria» en la misma frase, la conversación se ha terminado.
Las variantes que circulan en 2026
El escenario básico admite variaciones. Estas son las formas más denunciadas.
| Variante | Pretexto | Lo que te piden |
|---|---|---|
| El pago de más | «He pagado 800 € en lugar de 80 €, devuélveme la diferencia» | Una transferencia tuya a un IBAN desconocido |
| Los gastos de envío | «El transportista exige que el vendedor adelante los gastos, luego se reembolsan» | Un pago de 30 a 60 € con tarjeta |
| El seguro del paquete | «El objeto debe asegurarse, la plataforma te reembolsa después» | Un pago + tus datos bancarios |
| La cuenta profesional | «Tu cuenta debe pasar a estado de vendedor verificado» | Un documento de identidad + datos bancarios + una tarjeta |
| El falso litigio | «El comprador reclama, regulariza en 24 h» | Una conexión en un falso área de cliente |
La variante del pago de más merece especial atención: no pasa por un enlace trampa. El estafador envía un falso justificante de transferencia, tú constatas «un error» y tu reflejo de honradez te empuja a devolver el dinero de inmediato. La transferencia inicial nunca ha existido, o será anulada. Tu devolución, en cambio, es bien real e irrecuperable.
Por qué pican los vendedores, incluso los prudentes
Hay razones estructurales, y no tienen nada que ver con la ingenuidad.
El contexto ha hecho verosímil el intercambio. Estabas esperando a un comprador. El SMS llega exactamente en el momento en que tiene sentido. Es lo que los investigadores en seguridad llaman el contexto de espera: un mensaje fraudulento que coincide con una acción real de la víctima multiplica su tasa de éxito.
El estafador conoce detalles verdaderos. El modelo de la bicicleta, el color del sofá, el precio pedido, a veces tu nombre: todo está en tu anuncio. Esos elementos dan al mensaje un barniz de autenticidad que ningún SMS falso genérico alcanza.
La presión temporal forma parte del comercio. «Mi transportista pasa mañana» no tiene nada de anormal en una transacción. La urgencia no se percibe como manipulación, se percibe como logística.
El vendedor está en posición de demandante. Quiere deshacerse del objeto, a menudo para recuperar una cantidad que ya ha gastado mentalmente. Esa asimetría afectiva desactiva el espíritu crítico mucho más eficazmente que una amenaza.
Leer la URL: los tres segundos que te salvan
Cuando llega un enlace, existe un método sencillo para examinarlo sin hacer clic. Lee la dirección de derecha a izquierda, empezando por la primera /.
El dominio real es lo que precede inmediatamente a la primera /, retrocediendo hasta el punto anterior a la extensión. Todo lo demás es decorativo.
https://leboncoin.paiement-securise[.]xyz/valider→ el dominio real espaiement-securise.xyz. La marca solo es un subdominio, es decir, texto que cualquiera puede escribir.https://secure-paypa1[.]com/confirm→ el1sustituye a lal. En una pantalla de 6 pulgadas, caminando, nadie lo ve.https://bit[.]ly/3xK9pL→ un acortador oculta por completo el destino. Un servicio de pago legítimo nunca usa uno en un SMS transaccional.
Esta comprobación requiere una pantalla legible y una luz adecuada. Mucha gente hace clic porque no distingue los caracteres: si te cuesta leer los textos pequeños, aumentar el tamaño de la fuente del sistema cambia realmente las cosas, igual que un protector de pantalla antirreflejos para smartphone cuando consultas el móvil en el exterior. No es un detalle estético: buena parte del smishing se basa en diferencias tipográficas de un solo carácter.
Otro reflejo útil: no consultar nunca un enlace sensible en el transporte público o mientras caminas. La vigilancia visual cae, y es estadísticamente ahí donde se producen los clics accidentales.
Las señales de alerta que hay que saber de memoria
Ninguna señal basta por sí sola. Dos señales juntas son una estafa mientras no se demuestre lo contrario.
- El comprador no negocia y no hace ninguna pregunta sobre el objeto. Un comprador real quiere saber si la bicicleta ha pasado revisión, si la garantía sigue vigente, si la pantalla tiene arañazos.
- Quiere salir de la mensajería de la plataforma. Siempre, de inmediato, con un pretexto técnico.
- Impone su transportista. Un «mensajero privado» que él mismo paga, que pasa muy rápido y para el que tú tienes que adelantar gastos.
- El pago pasa por un canal inhabitual. Un enlace enviado por SMS, un correo de confirmación recibido antes de haberte registrado en nada, una petición de datos bancarios fuera de la aplicación.
- El idioma es casi perfecto… pero no del todo. Un «le rogamos validar su recepción de fondo» en singular, una mayúscula mal colocada, una fórmula de cortesía traducida.
- El número es un móvil particular aunque el mensaje se presente como automático. Las notificaciones reales de las plataformas llegan desde un remitente alfanumérico o un número corto.
Si has hecho clic y has introducido tus datos
El tiempo cuenta más que todo lo demás. Este es el orden exacto.
1. Bloquear la tarjeta de inmediato. Llama al número de bloqueo que figura en el reverso de tu tarjeta o en tu aplicación bancaria. En Francia, el servicio interbancario nacional de bloqueo de tarjetas está disponible en el 0 892 705 705, 24 h/24. Hazlo antes incluso de avisar a nadie más.
2. Cambiar las contraseñas afectadas. La de la plataforma de anuncios, la de tu banco si la habías introducido y la de tu correo electrónico si reutilizabas la contraseña. Activa la doble autenticación en todos los servicios donde sea posible. Para quienes acumulan decenas de cuentas, una libreta de contraseñas en papel guardada fuera de la vista sigue siendo una solución imperfecta, pero infinitamente más segura que un archivo «claves.txt» en el escritorio.
3. Denunciar el mensaje. Reenvía el SMS fraudulento al 33700, la plataforma nacional francesa de denuncia de spam telefónico y por SMS. Es gratuito y alimenta el bloqueo de números. El sitio signal-arnaques.com y la plataforma Pharos (internet-signalement.gouv.fr) también aceptan denuncias.
4. Presentar denuncia. En comisaría, en la gendarmería o mediante la denuncia previa en línea. Aporta las capturas de pantalla del anuncio, de la conversación y del SMS. Sin denuncia, la esperanza de reembolso es prácticamente nula.
5. Reclamar el reembolso a tu banco. El artículo L133-18 del Código monetario y financiero francés prevé el reembolso de las operaciones de pago no autorizadas denunciadas sin demora. Los bancos suelen alegar la «negligencia grave» del cliente cuando ha sido él mismo quien ha introducido sus datos. Esa negativa no es definitiva: el Tribunal de Casación ha recordado en varias ocasiones que corresponde al banco demostrar la negligencia grave, y no al cliente probar su ausencia. Si te lo deniegan, acude al defensor del cliente bancario y, llegado el caso, a la vía judicial.
6. Vigilar tus extractos durante varios meses. Los datos de tarjeta revendidos en mercados paralelos pueden explotarse mucho tiempo después. Algunos añaden una vigilancia sencilla: el extracto en papel archivado en un archivador con separadores en lugar de en un montón de correo, para detectar una anomalía de un mes a otro.
Vender por internet sin exponer tu número
La mejor protección consiste en no dar nunca a la estafa la ocasión de empezar. Bastan unos cuantos hábitos.
Quedarse en la mensajería de la plataforma, sin excepción. Ninguna razón alegada justifica salir de ella. Si el comprador insiste, acaba de descalificarse él solo.
Priorizar la entrega en mano con pago en efectivo o transferencia inmediata recibida y verificada en tu aplicación. Verificada significa: abres tu banco y ves el importe abonado. No una captura de pantalla que te enseña el comprador.
No adelantar nunca ningún gasto. Ningún transportista legítimo pide al vendedor que pague para recibir dinero.
Limpiar las fotos del anuncio. Una matrícula, un número de portal, una factura al fondo, un paquete con tu dirección: otras tantas informaciones que sirven después para personalizar el ataque. Para los objetos en primer plano, fotografiar sobre un fondo neutro —un simple fondo fotográfico plegable hace el trabajo— evita exponer el interior de tu casa.
Usar un número secundario cuando la plataforma lo exija. Una tarjeta SIM prepago dedicada a los anuncios clasificados aísla tu número principal, el que está vinculado a tu banco y a tus cuentas. Si el número secundario acaba en una lista de spam, lo tiras.
Archivar las conversaciones. Capturas de pantalla del anuncio, de la conversación y de la identidad de la cuenta compradora. Esos elementos serán imprescindibles en caso de denuncia.
El punto ciego: el comprador también puede ser una víctima
A veces el estafador utiliza una cuenta pirateada perteneciente a un usuario legítimo, con su historial, sus valoraciones positivas y su antigüedad. La reputación mostrada no es, por tanto, una garantía absoluta: reduce el riesgo, no lo anula.
Del mismo modo, un perfil creado el mismo día y con cero valoraciones no es necesariamente fraudulento: todo el mundo empieza en algún momento. Es la combinación entre un perfil nuevo, la ausencia de negociación y la petición de salir de la plataforma lo que constituye el conjunto de indicios.
Lo que hay que recordar
La estafa del falso comprador no explota ningún fallo técnico. Explota una asimetría de vigilancia: todos hemos aprendido a desconfiar al comprar, pero nadie nos ha advertido de que también hay que desconfiar al vender.
La regla que lo resume todo cabe en una frase: recibir dinero nunca exige nada más que esperar. Ningún enlace que pulsar, ninguna tarjeta que introducir, ninguna validación que confirmar, ningún gasto que adelantar. El día en que alguien te explique lo contrario, con logotipos perfectos y un lenguaje impecable, sabrás exactamente qué tienes delante de los ojos.
