«AGENCIA: la transferencia de su fianza (1.180,00 €) ha sido rechazada por su banco. Le rogamos confirmar sus datos bancarios en un plazo de 48 h para evitar el cierre del expediente: http://espace-locataire-remb.fr/xk29»
Entregaste las llaves hace tres semanas. La inspección de salida fue bien, pero el agente mencionó una «pequeña retención por las paredes del dormitorio». Desde entonces, silencio absoluto. Reclamaste una vez por correo electrónico, sin respuesta. Y entonces llega ese SMS, con el importe correcto —o casi— y una explicación que encaja exactamente con lo que estabas esperando.
Haces clic. Porque ya has pagado el primer mes del nuevo piso, la fianza del nuevo contrato, la furgoneta, y esos 1.180 euros los necesitas ahora.
Ahí está todo el arte de esta estafa: no crea la angustia, se apoya en ella.
Por qué el final del contrato es una ventana de tiro ideal
La mayoría de las campañas de smishing llegan en frío: un paquete que no esperas, una multa que no has recibido, una cuenta bancaria que supuestamente van a bloquear. Funcionan por volumen, con la esperanza de dar con alguien que, ese día, sí estaba esperando un paquete.
El falso SMS de la fianza funciona de otra manera. Apunta a una población que realmente está esperando dinero, que sabe que el pago puede tardar y que a menudo desconoce el procedimiento exacto.
Recordemos el marco legal, porque es la materia prima de la estafa. La ley francesa del 6 de julio de 1989, que regula las relaciones arrendaticias, obliga al arrendador a devolver la fianza:
- en un plazo de un mes tras la entrega de llaves si la inspección de salida coincide con la de entrada;
- en un plazo de dos meses si existen diferencias que justifiquen retenciones.
Pasado ese plazo, el arrendador debe incrementar la cantidad en un 10 % de la renta mensual sin gastos por cada mes de retraso iniciado. Así lo recuerdan la administración pública francesa y la ANIL (Agence nationale pour l'information sur le logement), que recibe cada año miles de consultas sobre este asunto concreto.
Resultado: entre el día de la entrega de llaves y el día de la transferencia existe una zona de incertidumbre de treinta a sesenta días en la que esperas, no sabes cuándo llegará el dinero y te parece normal recibir información de la agencia. Esa zona es la que los estafadores han identificado.
Cómo saben que te estás mudando
Es la pregunta que siempre surge. Cuatro fuentes principales, y ninguna requiere un hackeo sofisticado.
Los anuncios inmobiliarios públicos. Cuando una vivienda vuelve al mercado de alquiler, el anuncio incluye la dirección aproximada, la renta, la superficie y la fecha de disponibilidad. Un estafador que cruce esa fecha con un listado de números puede apuntar a un barrio entero a ciegas: de cien envíos, un puñado de destinatarios estará realmente terminando su contrato.
Las filtraciones de datos. Las plataformas de búsqueda de vivienda, las webs que ponen en contacto a inquilinos y propietarios y los servicios de mudanza en línea han sufrido incidentes. El expediente de alquiler que preparas contiene nombre, teléfono, ingresos, empleador: un resumen ideal para construir un escenario creíble.
Los cambios de domicilio. Contratar una nueva conexión a internet, un contrato de luz, una reexpedición de correo: cada gestión multiplica las copias de tus datos en sistemas distintos, con niveles de seguridad distintos.
Los grupos de ayuda para mudanzas. En las redes sociales es habitual publicar «dejo libre mi piso de dos habitaciones en el centro el día 30, ¿alguien busca?» con el número de teléfono a la vista. Es información de acceso libre.
Ninguna de estas fuentes revela el importe exacto de tu fianza. Por eso el SMS fraudulento suele mostrar una cifra plausible pero falsa, y esa es una de las primeras señales que hay que detectar.
Anatomía del mensaje trampa
Las variantes se parecen mucho. Estos son los patrones recurrentes detectados en las denuncias públicas y en la plataforma 33700, dedicada a notificar SMS y llamadas no deseadas en Francia.
| Lo que dice el SMS | Lo que busca provocar | La realidad |
|---|---|---|
| «Transferencia rechazada por su banco» | Te sientes responsable de un problema técnico | Una transferencia rechazada genera una carta o una llamada, nunca un enlace por SMS |
| «Confirme su cuenta bancaria en 48 h» | Urgencia artificial, miedo a perder el dinero | Ningún plazo legal se extingue en 48 h en el caso de una fianza |
| «Expediente en proceso de cierre» | Miedo a tener que empezar de cero | El expediente no se «cierra»: el plazo legal corre, con penalizaciones |
| «Gastos de gestión de 1,90 €» | Hacer pasar una tarjeta bancaria por un mero trámite | No puede cobrarse ningún gasto por devolverte tu propio dinero |
| «Área de inquilino segura» | Dar la impresión de un portal oficial | La URL es un dominio comprado unos días antes |
Conviven dos mecanismos de captación. El primero, el más sencillo, pide tu IBAN: servirá para montar otros fraudes, sobre todo domiciliaciones SEPA fraudulentas, o para revenderlo. El segundo, más agresivo, reclama tu número de tarjeta bancaria con el pretexto de unos «gastos de expediente» de uno o dos euros, una cantidad irrisoria que desarma la vigilancia pero que entrega los datos necesarios para un cargo mucho mayor, a menudo completado con una llamada para sonsacarte el código de validación.
Las seis señales que deben frenarte
1. El canal. Una agencia inmobiliaria o un arrendador nunca pide datos bancarios por SMS. La cuenta bancaria se comunica a través del expediente de alquiler, por carta o mediante un área de cliente a la que te conectas tú mismo, escribiendo la dirección.
2. El importe. Compáralo al céntimo con tu contrato de alquiler. En Francia, la fianza de una vivienda sin amueblar está limitada a un mes de renta sin gastos; en amueblado puede llegar a dos meses. Si la cifra mostrada no coincide exactamente, es una suposición.
3. El enlace. Fíjate en lo que precede a la primera «/» después del nombre de dominio. espace-locataire-remb.fr, agence-remboursement-2026.com, restitution-caution.net: esos dominios no tienen nada que ver con el nombre de tu agencia. Los estafadores apuestan por palabras tranquilizadoras, no por una identidad real.
4. La falta de referencia del expediente. Una agencia conoce tu número de contrato, la dirección de la vivienda, la fecha exacta de la inspección. Un SMS auténtico lo menciona. Un SMS fraudulento se queda en lo vago: «su vivienda», «su expediente».
5. El plazo impuesto. 24 h, 48 h, «antes del viernes». Ningún procedimiento de devolución funciona así. La urgencia es el indicador más fiable del fraude.
6. El remitente. Un nombre de remitente alfanumérico («AGENCIA», «INMO-SERV») puede suplantarse con mucha facilidad, e incluso puede aparecer en el mismo hilo de conversación que un mensaje real de tu agencia, lo que sigue siendo la trampa más desconcertante para las víctimas.
El reflejo que anula la estafa en tres minutos
Cabe en una frase: no respondas nunca por el canal que te contacta.
¿Recibes el SMS? Ciérralo. Coge el contrato que firmaste, o el correo de confirmación de la agencia, y llama al número que figura ahí. No al número que contiene el SMS, ni al que encuentras en lo alto de una búsqueda en internet: al de tus propios documentos.
Precisamente por eso resulta útil salir de la desmaterialización total durante una mudanza. Guardar una copia en papel del contrato, de las inspecciones de entrada y salida y de los datos bancarios facilitados, en una carpeta de fuelle archivada junto a los documentos importantes, hace ganar un tiempo precioso el día en que hay que verificar algo bajo presión. El número de la agencia está ahí, impreso, inmodificable, imposible de suplantar.
Segundo reflejo: documentar. Fotografía la inspección de salida, guarda la fecha de entrega de llaves, anota el nombre del agente presente. En caso de litigio real sobre la devolución, estos elementos valen mucho más que un recuerdo. Muchos inquilinos descubren demasiado tarde que no tienen ninguna prueba del estado de la vivienda al entrar: basta con un simple medidor láser y una serie de fotos con fecha y hora en el momento de la entrada para documentar superficies y desperfectos existentes.
¿Y si ya has hecho clic?
Ocurre, incluso a personas muy informadas: un SMS recibido en un metro abarrotado, entre dos cajas, no se lee con la misma atención que un correo delante de una pantalla.
Solo has abierto la página
Si no has introducido nada, el riesgo es bajo. Cierra la pestaña y no vuelvas a ella. Por precaución, comprueba que tu teléfono no haya instalado ninguna aplicación fuera de las tiendas oficiales.
Has introducido tu IBAN
Un IBAN por sí solo no permite vaciar una cuenta, pero sí autoriza intentos de domiciliación SEPA fraudulenta. Tres acciones:
- avisa a tu banco y solicita que se establezca una lista blanca de acreedores autorizados o, como mínimo, una vigilancia reforzada;
- revisa tus extractos durante varios meses, incluidos los pequeños importes recurrentes;
- ten presente que una domiciliación SEPA no autorizada puede impugnarse y reembolsarse en un plazo de trece meses (ocho semanas sin justificación concreta), conforme al Code monétaire et financier francés.
Has introducido tu tarjeta bancaria
Aquí hay que actuar rápido.
- Bloquea la tarjeta de inmediato en tu banco o a través del servicio interbancario francés de declaración de pérdida y robo (0 892 705 705).
- No respondas a ninguna llamada que se presente como tu asesor bancario en las horas siguientes: la segunda fase de la estafa consiste casi siempre en llamarte para obtener el código de confirmación.
- Denuncia el SMS al 33700 (o por SMS, reenviando el mensaje al 33700 y enviando después el número del remitente).
- Presenta denuncia, en línea a través del dispositivo THESEE para las estafas en internet, o en comisaría.
- Comunica el incidente en cybermalveillance.gouv.fr, que orienta sobre los trámites adecuados.
En caso de operación no autorizada notificada dentro de plazo, el banco debe reembolsar, salvo que demuestre una negligencia grave por tu parte. Las resoluciones de la Cour de cassation de los últimos años han recordado en varias ocasiones que haber sido engañado por un mensaje que imitaba a la entidad no constituye, en sí mismo, una negligencia grave. Es un punto que conviene conocer: muchas víctimas renuncian a reclamar porque se sienten culpables.
Proteger tu número durante una mudanza
Es un periodo propicio a las filtraciones. Algunos hábitos limitan los daños.
Separa tus números. Para los anuncios, los grupos de ayuda y las visitas, usar un número secundario evita que tu línea principal acabe en bases de datos revendidas. Un segundo teléfono con una tarjeta SIM de prepago, reservado para este tipo de gestiones temporales, sigue siendo el método más sencillo, y después sirve como teléfono de repuesto.
No difundas nunca un documento de alquiler sin tachar. Las declaraciones de la renta, las nóminas y los documentos de identidad enviados a un «propietario» conocido por internet alimentan directamente futuros escenarios de fraude. Oculta los números fiscales y los IBAN con un rotulador ocultador antes de hacer cualquier copia.
Bloquea el acceso físico al teléfono. Una mudanza significa un piso abierto, desconocidos circulando y un teléfono apoyado sobre una caja. Un código de seis cifras en lugar de cuatro y el bloqueo automático a los treinta segundos cuestan unos segundos al día y eliminan todo un vector de ataque.
Anticipa quedarte sin batería. El día D, tu teléfono es tu único enlace con la agencia, la empresa de alquiler de furgonetas y tus allegados; y un móvil descargado te empuja a pedir prestado el de un tercero o a conectarte a una wifi pública dudosa. Una batería externa de 20.000 mAh en la mochila evita esa situación.
Lo que este escenario dice sobre la evolución de las estafas por SMS
El falso SMS de la fianza pertenece a una familia en auge: las estafas contextuales. No inventan un acontecimiento, se insertan en un acontecimiento real de tu vida: una mudanza, un ingreso hospitalario, la vuelta al cole, una herencia.
Cybermalveillance.gouv.fr documenta desde hace varios años ese giro del smishing masivo hacia un phishing más selectivo, en el que la personalización sustituye al volumen. La lógica es económica: más vale cien mensajes creíbles enviados a personas que efectivamente esperan una transferencia que diez mil mensajes genéricos.
La pregunta útil ya no es «¿este mensaje está bien escrito?», sino «¿por qué canal debería recibir normalmente esta información?».
Una fianza se devuelve por transferencia, sin ninguna acción por tu parte, porque la agencia ya dispone de tus datos bancarios: se los diste para domiciliar el alquiler. Este simple razonamiento basta para derribar toda la puesta en escena.
¿Y si tu fianza se retrasa de verdad? El problema no lo resolverá un SMS, sino un burofax o carta certificada con acuse de recibo requiriendo al arrendador y, en su caso, la presentación del caso ante la comisión departamental de conciliación. La ANIL y las ADIL departamentales acompañan gratuitamente a los inquilinos en este trámite. Es más lento que un enlace en el que hacer clic, pero es la única vía que acaba devolviéndote tu dinero.
