«Su paquete no pudo ser entregado el 26/09 por ausencia. Nueva entrega posible en 48h: gastos de reprogramacion 1,95 EUR. https://suivi-repriselivraison.com»
El mensaje llega el viernes por la noche. Estás a 400 kilómetros de casa, el coche aparcado delante de un apartamento de alquiler, y sabes perfectamente que sí estás esperando algo. Estás ausente — es un hecho. Un repartidor podría haber pasado. Y en ese preciso instante no tienes ninguna forma sencilla de comprobar qué hay en tu buzón.
Ahí está toda la clave del smishing de temporada: no inventar una situación, sino colarse dentro de una situación real. El estafador no te pide creer una historia improbable, te pide confirmar algo que ya das por hecho.
Por qué tu ausencia vale oro para un estafador
Un falso SMS de entrega enviado al azar convierte muy poco. El mismo mensaje enviado a alguien que realmente no está en su domicilio convierte mucho mejor, por tres razones.
La verificación es imposible. En casa, el reflejo natural es ir a mirar el buzón: si no hay aviso de entrega en papel, no hay caso. De viaje, ese control físico desaparece. Solo queda el SMS y su promesa.
La urgencia es real. Un paquete que vuelve a la delegación, un producto perecedero, un certificado con un plazo de custodia: quien está fuera sabe que tiene una limitación de tiempo que no controla.
La carga mental está al máximo. Tanto de vacaciones como en un viaje de trabajo, las notificaciones se gestionan entre una cosa y otra, con una red inestable y a menudo con poca batería. Y Cybermalveillance.gouv.fr lo repite en todas sus fichas sobre el phishing: la precipitación es el primer factor de éxito de una estafa. No es la inteligencia de la víctima lo que está en cuestión, es su contexto.
El problema es que ese contexto ya no es ningún secreto.
Cómo saben (o adivinan) los estafadores que te has ido
No existe ningún registro de veraneantes. Pero sí existe una acumulación de señales que hace que la información sea adivinable a gran escala.
Las publicaciones en tiempo real
La foto de playa subida a una story, el check-in en un aeropuerto, el «por fin de vacaciones»: esos elementos son públicos o semipúblicos para cientos de cuentas, algunas de las cuales no tienen ningún motivo para ser bienintencionadas. La gendarmería recuerda cada verano la misma consigna, en el marco de la Opération Tranquillité Vacances: publica tus fotos a la vuelta, nunca durante.
El calendario, sin más
No hace falta conocerte. Las oleadas de falsos SMS de entrega alcanzan su punto máximo en los periodos en los que todo un país está estadísticamente en movimiento: vacaciones escolares, puentes de mayo, la semana entre Navidad y Año Nuevo, la vuelta al colegio. Enviar un «aviso de entrega en su ausencia» un 15 de agosto es jugar con una tasa de ausencia nacional altísima.
Las filtraciones de datos comerciales
Las campañas más elaboradas combinan el calendario con bases de datos robadas que contienen nombre, dirección postal y número de móvil — a menudo procedentes de brechas de datos en empresas de transporte, comercios en línea o plataformas de reservas. El mensaje ya no dice «su paquete», sino «su paquete para la calle de los Lilas, 12». La CNIL publica con regularidad requerimientos y sanciones a raíz de este tipo de filtraciones: cada incidente alimenta el mercado del SMS dirigido durante años.
El vecindario digital
Algunos estafadores operan desde la calle. Un buzón que desborda, persianas bajadas una semana entera, luces apagadas de forma permanente: el rastreo físico sigue existiendo, y ahora se combina con el canal SMS para crear un escenario creíble.
Los cuatro escenarios de la temporada
1. El falso aviso de entrega con gastos de reprogramación
El gran clásico, pero afinado. El importe solicitado es ridículo — 1,95 €, 2,40 €, 0,99 € — lo que desactiva la desconfianza. El objetivo nunca es ese micropago: es la captura completa de los datos bancarios en una página de pago clonada, reutilizados después para cargos mucho más elevados o para dar de alta tu tarjeta en una cartera móvil.
Ninguna empresa de transporte cobra una «reprogramación de entrega» por SMS. La Poste recuerda explícitamente que jamás pide el pago de gastos mediante un enlace por SMS para la entrega de un paquete o de una carta.
2. La falsa alerta de alarma o de cámara
«Detección de movimiento en su domicilio, 03:14. Consulte las imágenes: …» El mensaje juega con el miedo más vivo de quien está de vacaciones. El enlace lleva a una falsa página de acceso a un servicio de videovigilancia, diseñada para capturar usuario y contraseña — a veces los de una cuenta realmente utilizada, si el estafador ha adivinado la marca a partir de una filtración de datos o de una simple foto de la fachada.
Si realmente usas un sistema de vigilancia, una cámara de vigilancia conectada de interior solo debe consultarse desde su aplicación oficial, nunca desde un enlace recibido por mensaje. Y comprueba que la doble autenticación esté activada en la cuenta asociada antes de irte.
3. El falso vecino, el falso conserje, el falso administrador de la finca
Más artesanal, más temible. «Hola, soy el nuevo conserje, se ha detectado una fuga de agua en su vivienda, ¿puede confirmarme el código de acceso / decirme quién tiene sus llaves?» Aquí no hay ningún enlace trampa: el objetivo es la información física. Este tipo de mensaje precede a veces a un robo.
4. El falso servicio de cuidado de animales o de plantas
Un nicho, pero en aumento. Las plataformas que ponen en contacto a particulares (cuidado de mascotas, intercambio de casas, alquiler vacacional) generan conversaciones fuera de la plataforma donde la suplantación es trivial. Un «recojo al gato mañana, confírmame la dirección exacta y el código» es un pretexto excelente para conseguir acceso.
Las señales que delatan un SMS falso
Ninguna señal aislada basta, pero su acumulación es reveladora.
| Elemento | Mensaje legítimo | Mensaje fraudulento |
|---|---|---|
| Remitente | Nombre de empresa corto o número corto identificable | Número de móvil, número extranjero o nombre suplantado |
| Enlace | Dominio oficial de la marca | Dominio compuesto: suivi-colis-repriselivraison.com, extensiones .top, .icu, .shop |
| Petición | Seguimiento, información, franja horaria | Pago, credenciales, código recibido por SMS, código de acceso físico |
| Plazo | Orientativo | Cuenta atrás de 24 o 48 h |
| Ortografía | Tildes presentes | Tildes ausentes («ausencia», «reprogramacion»), mayúsculas erráticas |
Cuidado con una trampa moderna: la falta de tildes ya no es sistemática. Los generadores de texto actuales producen un español correcto. Y, al contrario, algunos SMS legítimos no usan tildes por motivos de codificación. La ortografía ya no es más que un indicio secundario — el nombre de dominio sigue siendo el juez de paz.
Y, sobre todo: un SMS fraudulento puede aparecer perfectamente en el mismo hilo de conversación que un mensaje real de la empresa. La red SMS no verifica la identidad del remitente mostrado; la suplantación del nombre («Colissimo», «Chronopost», «Banco») agrupa visualmente el falso con los verdaderos. Un mensaje antiguo y auténtico justo encima no garantiza nada sobre el siguiente.
Preparar la ausencia: la lista de comprobación antes de salir
En casa
- Comunicar la ausencia a la gendarmería o a la comisaría mediante la Opération Tranquillité Vacances, un servicio gratuito, con formulario disponible en service-public.fr.
- Pedir a alguien de confianza que recoja el correo, o activar la redirección o la custodia del correo en La Poste. Un buzón lleno es un anuncio público.
- Simular presencia sin excesos: un enchufe inteligente programable conectado a una lámpara del salón sigue siendo el dispositivo más simple y económico.
- Evitar mensajes de ausencia demasiado explícitos en los contestadores y en las redes.
En el teléfono
- Actualizar el sistema operativo antes de salir: buena parte de la explotación de vulnerabilidades apunta a versiones no actualizadas.
- Comprobar que la protección antispam de tu operador esté activa. Los cuatro operadores franceses ofrecen filtrado, y el 33700 sigue siendo el servicio nacional de denuncia de SMS no deseados: reenvía el mensaje y, después, el número del remitente cuando el servicio te lo pida.
- Hacer una copia de seguridad del teléfono. Si el dispositivo se pierde o te lo roban durante el viaje, la copia lo cambia todo.
- Llevar con qué evitar quedarte sin batería: una batería externa de gran capacidad evita las situaciones en las que gestionas los mensajes con prisas, con la pantalla al 3 %, sin poder comprobar nada.
En el dinero
- Reducir temporalmente el límite de la tarjeta bancaria desde la aplicación del banco — la mayoría permiten bajar los límites en dos clics y volver a subirlos a la vuelta.
- Activar las notificaciones de pago en tiempo real: es el mejor detector de fraude que existe.
- Dar prioridad al pago móvil sin contacto, que nunca transmite el número real de la tarjeta al comercio.
Qué hacer cuando el SMS ya ha llegado
- No hacer clic. Ni «solo para ver». Algunas páginas recogen información técnica desde el momento en que se abren.
- Verificar por el canal oficial. Abre la aplicación de la empresa de transporte, o escribe tú mismo la dirección del sitio web. Un número de seguimiento auténtico existe en el sistema del transportista; un número inventado, no.
- Llamar a alguien de confianza si el mensaje se refiere a tu domicilio. Un vecino que va a mirar el buzón resuelve la cuestión en dos minutos.
- Denunciar. Reenvía al 33700 (SMS) o denuncia en signal-spam.fr. Las estafas se denuncian en la plataforma THESEE del Ministerio del Interior.
- Bloquear el número y luego borrar el mensaje — después de haberlo denunciado.
Si has hecho clic y has introducido tus datos
- Contacta de inmediato con tu banco y bloquea la tarjeta. El código monetario y financiero francés (artículo L133-18) impone el reembolso de las operaciones de pago no autorizadas, salvo negligencia grave del titular; la Banque de France y la ACPR recuerdan con regularidad que el simple hecho de haber sido víctima de una manipulación no constituye automáticamente una negligencia grave.
- Cambia las contraseñas de las cuentas afectadas, empezando por el correo electrónico, que sirve de llave de recuperación para todo lo demás. Un gestor de contraseñas evita reutilizar la misma clave en todas partes.
- Presenta denuncia, incluso a distancia. Conserva capturas de pantalla, el número del remitente y la marca horaria.
- Vigila tus extractos durante varios meses: los datos robados se explotan a veces con semanas de retraso.
El punto ciego: el SMS no es un canal de identidad
Es el punto del que se deriva todo lo demás. El SMS se concibió en 1992 como un servicio técnico de señalización; nunca incorporó ningún mecanismo de autenticación del remitente. Mostrar «Chronopost» en lugar de un número es una operación comercial banal, accesible a quien sepa dirigirse al intermediario adecuado — incluso fuera de Europa, donde los controles son más laxos.
La Arcep y la Fédération française des télécoms han desplegado desde 2025 un mecanismo de autenticación de números para las llamadas, y los registros de nombres de remitente se van endureciendo progresivamente para los SMS. Es una mejora real, pero no elimina ni las campañas enviadas desde simples tarjetas SIM, ni los SMS Blasters que emiten localmente sin pasar por la red de los operadores.
De ahí una regla que no envejece:
Un SMS puede informarte. Nunca debe servirte para decidir. Toda acción que implique dinero, credenciales o un acceso físico debe confirmarse por un canal que hayas elegido tú.
Lo que puedes hacer esta misma noche
Dedica cinco minutos antes de tu próxima salida. Comprueba quién, de tu entorno, va a recoger el correo. Baja el límite de tu tarjeta. Activa las notificaciones de pago. Guarda el 33700 en tus contactos para no tener que buscarlo llegado el momento. Y háblalo con las personas de tu entorno que reciben estos mensajes sin saber siempre qué hacer con ellos — una guía práctica sobre estafas digitales dejada sobre la mesa del salón suele hacer más por la vigilancia de una familia que un largo discurso.
La estafa del falso aviso de entrega no se basa en ninguna hazaña técnica. Se basa en un calendario, una ausencia y treinta segundos de descuido. Los dos primeros elementos no los vas a cambiar. El tercero, sí.
