«¡FELICIDADES! Su numero ha sido seleccionado por sorteo entre nuestros clientes fieles. Su premio (smartphone de ultima generacion) esta reservado hasta esta noche. Queda 1 unidad: https://fidelite-recompense-cadeau.com/lot»
Este mensaje no te amenaza. No habla de multas, ni de cuentas bloqueadas, ni de paquetes retenidos en aduana. Te felicita. Y eso es precisamente lo que lo hace temible: hemos aprendido, colectivamente, a desconfiar de los SMS que dan miedo. Nunca hemos aprendido a desconfiar de los SMS que dan alegría.
La estafa del falso sorteo es una de las más antiguas del panorama del smishing y una de las pocas que no necesita suplantar a un servicio público para funcionar. No siempre roba tus credenciales bancarias. A menudo hace algo bastante peor en términos de duración: te instala un cargo recurrente que no detectarás durante meses.
Por qué la buena noticia cuela mejor que la amenaza
Las campañas de smishing que juegan con el miedo —una multa, una entrega fallida, una cuenta suspendida— tienen un defecto: también despiertan desconfianza. Una persona inquieta intenta verificar. Llama a su banco, pregunta a un familiar, busca el nombre del servicio en un motor de búsqueda.
Una persona halagada, en cambio, no verifica de la misma manera. Comprueba si el premio es real, no si el remitente es real. Toda su atención se dirige al objeto de la recompensa, nunca a la identidad de quien la promete. Es un desplazamiento de la atención que los estafadores explotan desde los inicios del marketing telefónico, y que Cybermalveillance.gouv.fr clasifica sin ambigüedad entre las variantes del phishing: independientemente de la emoción utilizada, el mecanismo sigue siendo la obtención de datos o de dinero mediante engaño.
A esto se suman tres resortes muy concretos:
- La escasez artificial. «Queda 1 unidad», «oferta válida hasta esta noche», «solo 3 ganadores». La cuenta atrás elimina el tiempo de reflexión, exactamente como en los falsos SMS de multas.
- La designación personal. «Su número ha sido seleccionado por sorteo» da la ilusión de una selección. En realidad, el mensaje sale hacia decenas de miles de números a la vez.
- El importe ridículo. No te piden 500 €, te piden 1,95 € de «gastos de envío». Un importe demasiado bajo para activar una verdadera vigilancia, y ahí está toda la clave del montaje.
Los cinco disfraces más habituales
El escenario del regalo se declina en familias bastante estables, que reaparecen de una campaña a otra.
1. El sorteo de una gran cadena. El SMS menciona una cadena de supermercados, una tienda de electrónica o una marca de ropa muy conocida. El premio es un vale de compra de 500 € o un «paquete misterioso». El argumento: eres cliente, así que eres elegible.
2. El aniversario de la marca. «Por nuestros 40 años, regalamos 1.000 premios.» El pretexto es verificable en apariencia (la marca existe realmente y en algún momento cumple años), pero inverificable en los hechos.
3. El programa de fidelidad del operador. El mensaje se presenta como procedente de tu operador móvil y habla de «puntos de fidelidad a punto de caducar» canjeables por un regalo. Es la versión más creíble, porque los programas de fidelidad de los operadores existen de verdad.
4. La prueba de producto. «Ha sido seleccionado para probar gratuitamente un nuevo robot aspirador / un cepillo de dientes conectado / una cafetera.» Basta con «cubrir los gastos de envío». Este formato prospera porque los programas de prueba de productos también existen, en paneles de consumidores reales.
5. El reembolso promocional. Variante invertida: no te regalan nada, te devuelven dinero de una compra anterior. El mensaje imita a un servicio posventa.
En todos los casos, la página de destino sigue el mismo esqueleto: una ruleta de la fortuna o un cuestionario de satisfacción de tres preguntas, una animación de premio y, después, un formulario.
La verdadera trampa no es el premio, es el formulario
Aquí es donde la estafa del regalo se distingue de las demás. El objetivo no siempre es vaciar una cuenta en una sola operación. A menudo consiste en hacerte firmar, sin que lo veas, una suscripción de renovación automática.
El desarrollo típico:
- «Ganas» en la ruleta trucada (siempre cae en un premio).
- Te piden nombre, apellidos, dirección, fecha de nacimiento, correo electrónico y número de móvil. Muchos datos, justificados por «el envío del premio».
- Te piden 1,95 € o 2,99 € de gastos de envío, a pagar con tarjeta bancaria.
- En letra diminuta, bajo el botón de pago: la mención de un servicio «premium» facturado, por ejemplo, a 39,90 € al mes, cancelable en cualquier momento, con periodo de prueba de 48 horas incluido.
- El premio nunca llega. El cargo mensual, en cambio, empieza.
El importe de 1,95 € no es un precio: es un test de validez de la tarjeta. Confirma que el número, la fecha de caducidad y el código de seguridad son correctos, y sirve de base para autorizar los cargos siguientes.
Un regalo gratuito que exige una tarjeta bancaria no es un regalo. La petición de datos bancarios para «cubrir los gastos» es la señal de alto, cualquiera que sea el importe mostrado.
Algunas variantes no piden tarjeta en absoluto. Piden «confirmar por SMS» enviando una palabra clave a un número corto de tarificación adicional, o validar un código recibido, lo que activa la suscripción a un servicio de contenidos facturado en la factura del operador. Es el mecanismo histórico del SMS+, desviado de su propósito.
Las señales que delatan el mensaje en diez segundos
Incluso antes de abrir el enlace, varios indicios se acumulan.
| Señal | Lo que revela |
|---|---|
| Ninguna mención de tu nombre | El envío es masivo, no personalizado |
| Remitente = número de móvil de 10 dígitos | Las marcas usan nombres de remitente o números cortos |
Nombre de dominio largo e híbrido (fidelite-cadeau-lot-2026.xyz) | Dominio desechable creado para la campaña |
| «Queda 1 unidad» | Escasez fabricada, resorte clásico de presión |
| Premio sin relación con la marca citada | Montaje genérico reutilizado de una campaña a otra |
| Fallos de acentuación, ausencia de caracteres especiales | Pasarela de envío extranjera en texto sin acentos |
| Ningunas bases legales del sorteo accesibles | Un sorteo legal publica siempre sus bases |
Este último punto es el más sólido jurídicamente. Una operación promocional seria dispone de unas bases legales consultables, identifica al organizador (razón social, dirección) y nunca condiciona la entrega de un premio a un pago. La DGCCRF recuerda con regularidad que las loterías publicitarias no deben inducir al consumidor a error sobre sus probabilidades de ganar ni sobre los gastos reales.
Y existe una prueba de sentido común, infalible: ¿has participado? No se gana en un juego en el que no te has inscrito. Si el mensaje no puede recordarte cuándo y cómo participaste, no hubo ningún juego.
Por qué tú, y cómo consiguieron tu número
La pregunta vuelve siempre: «¿Cómo conocen mi número?». Dominan tres circuitos.
Las filtraciones de datos. Las grandes brechas de los últimos años han puesto en circulación ficheros con nombre, apellidos, correo electrónico, número de móvil y, a veces, dirección postal. La CNIL publica periódicamente esa constatación. Tu número no ha sido adivinado: ha sido comprado.
Los sorteos anteriores, verdaderos o falsos. Cada formulario rellenado en una página de «participación gratuita» alimenta bases de datos que se revenden. El falso concurso de ayer financia el SMS de hoy.
La generación aleatoria. Los rangos de numeración móvil son públicos en su estructura. Una pasarela puede componer mecánicamente millones de combinaciones, sin ningún dato personal.
En los dos primeros casos, el mensaje puede incluir tu nombre de pila, lo que aumenta enormemente su credibilidad sin probar nada sobre el remitente. Es el mismo desplazamiento que en los falsos SMS de entrega que citan una dirección exacta: el dato ya no es una garantía de legitimidad.
Los reflejos concretos, por orden
No hagas clic, ni por curiosidad. Abrir la página basta para confirmar que el número está activo si el enlace contiene un identificador único. La curiosidad se paga en volumen de SMS recibidos las semanas siguientes.
Denúncialo al 33700. Es el dispositivo oficial de denuncia de SMS y llamadas no deseadas en Francia, respaldado por la Arcep y los operadores. Reenvía el mensaje al 33700 y luego responde al SMS de confirmación con el número del remitente. El servicio es gratuito y contribuye realmente al bloqueo de los números emisores.
Denuncia la dirección fraudulenta en Phishing Initiative y presenta un aviso en cybermalveillance.gouv.fr si has interactuado con la página. Para las estafas consumadas, la plataforma THESEE (service-public.fr) permite presentar una denuncia en línea.
Verifica por el canal oficial. Si el SMS menciona a tu operador, a tu tienda o a tu banco, entra por la aplicación instalada en tu teléfono o por el número que figura en el reverso de tu tarjeta, nunca por el enlace. Este reflejo es más fácil de mantener cuando el teléfono sigue siendo utilizable: un cargador de red USB-C evita esos finales de batería que empujan a «ir rápido» en una pantalla agonizante.
No devuelvas la llamada a números de tarificación adicional. Una llamada «para confirmar su premio» a un número 08 o a un número corto puede facturarse por duración.
Si ya has dado tu tarjeta bancaria
El plazo cuenta más que nada.
- Bloquea la tarjeta de inmediato ante tu banco, desde la aplicación o el número de urgencia de tu entidad. En Francia, el servidor interbancario de bloqueo está disponible en el 0 892 705 705.
- Solicita la anulación del cargo y la revocación de la autorización. Un pago no autorizado debe ser reembolsado por el banco en las condiciones previstas por el código monetario y financiero; la ACPR y el Banco de Francia recuerdan con regularidad este marco, incluso cuando la víctima ha sido manipulada.
- Busca los cargos recurrentes en los tres últimos extractos: un concepto anónimo de 39,90 € vuelve a menudo cada mes sin llamar la atención.
- Presenta denuncia y conserva todo: captura del SMS, URL, marca temporal, extractos. Un extracto anotado a mano en un bloc de notas A5 fechado sirve perfectamente para reconstruir la cronología ante una ventanilla.
- Vigila tus otras cuentas: la misma dirección de correo y la misma contraseña en otros sitios son una puerta abierta.
Si el cargo pasa por la factura de tu operador, reclama ante el servicio de atención al cliente y solicita el bloqueo de los servicios SMS+ y de las compras cargadas en factura. Ese bloqueo es gratuito y definitivo mientras no lo levantes.
Proteger a las personas más expuestas
Los falsos premios afectan a todos los perfiles, pero dos poblaciones pagan más caro: las personas mayores que viven solas, para quienes un contacto personalizado tiene un valor social, y los adolescentes, que a veces pagan sin medir el carácter recurrente de una suscripción.
Algunas medidas sencillas cambian la situación:
- Desactivar las compras cargadas en la factura del operador en las líneas de menores y de personas vulnerables. Es el gesto más eficaz, y es gratuito.
- Optar por una tarjeta con autorización sistemática o por una tarjeta prepago recargable para las compras en línea: el límite reduce mecánicamente los daños de una suscripción oculta.
- Activar el filtro antispam de SMS que ofrecen iOS y Android, y bloquear al remitente después de denunciarlo.
- Establecer un marco de conversación. Una guía práctica sobre las estafas digitales dejada al alcance de la mano, con la regla «ningún regalo se paga», vale más que un recordatorio oral olvidado una semana después.
- Mantener la pantalla legible. Buena parte de los clics accidentales viene de una lectura precipitada en una pantalla agrietada o sucia; un cristal templado de protección no evita la estafa, pero hace más fácil despejar la duda cuando se relee un enlace carácter a carácter.
Para los mayores que usan un aparato con teclas, un teléfono móvil con teclas grandes también simplifica la vida: menos aplicaciones, menos navegadores, menos superficies de ataque, aunque el SMS siga llegando igualmente.
Lo que hay que recordar
El falso sorteo por SMS no es una estafa de segunda categoría. Simplemente es más paciente que las demás: no busca una transferencia en diez minutos, busca una autorización de cargo que durará un año.
Bastan tres frases para protegerse de forma duradera:
- No se gana en un juego en el que no te has inscrito.
- Un premio que exige gastos de envío con tarjeta bancaria no es un premio.
- Un mensaje que prohíbe pensar —«queda 1 unidad», «hasta esta noche»— es un mensaje que sabe que no sobreviviría a la reflexión.
El resto es cuestión de costumbre. Reenviar al 33700 lleva veinte segundos, bloquear al remitente cinco, y hablar de ello con los demás cuesta todavía menos. Eso es exactamente lo que hace caer la rentabilidad de estas campañas: no una tecnología mejor, sino un reflejo colectivo.
