«DGFiP: su espacio Particular sera cerrado el 09/10 por falta de verificacion de identidad. Una devolucion de 326,41 EUR sigue pendiente de validacion: https://impots-espace-verification.net/particulier»
Este no te acusa de nada. No te amenaza con un embargo, no habla de inspección fiscal, no menciona ninguna multa. Te anuncia dos cosas a la vez: un pequeño trámite administrativo que resolver y dinero que te espera. Es una combinación temiblemente eficaz, porque neutraliza la desconfianza con el cebo de la ganancia mientras impone un plazo.
Y, sobre todo, ese SMS llega en el momento justo. No en pleno febrero, cuando nadie piensa en su declaración. Sino en otoño, cuando las liquidaciones del impuesto están en los buzones, cuando se cargan los saldos pendientes, cuando algunos hogares esperan efectivamente una transferencia del Tesoro Público. Los estafadores no adivinan tu situación fiscal: juegan con un calendario público que todo el mundo soporta al mismo tiempo.
Por qué el calendario fiscal es el mejor cómplice de los estafadores
El smishing funciona cuando el mensaje cae en una ventana en la que resulta plausible. Y la fiscalidad francesa ofrece ventanas muy amplias y perfectamente previsibles:
- abril-junio: campaña de la declaración, todo el mundo se conecta a su espacio personal;
- julio-agosto: publicación en línea de las liquidaciones del impuesto sobre la renta y pago de las devoluciones a los hogares a los que se ha retenido demasiado en origen;
- septiembre: cargo del saldo para quienes deben dinero, a veces fraccionado hasta diciembre;
- octubre-noviembre: recibos del impuesto sobre bienes inmuebles, luego los plazos de pago y, para los contribuyentes afectados, la modulación del tipo de retención en origen para el año siguiente.
En otras palabras, apenas existe un mes del año en el que un SMS que mencione una devolución, una liquidación o una verificación no pudiera dar en el blanco. El estafador no necesita saber si te afecta: de 100 000 números bombardeados, varios miles de personas esperan realmente algo de la administración tributaria.
La Direction générale des Finances publiques (DGFiP) alerta periódicamente sobre estas campañas en su sitio impots.gouv.fr, y Cybermalveillance.gouv.fr sitúa la usurpación de identidad de organismos públicos entre los escenarios de phishing más frecuentes. El punto común de todas estas alertas es siempre el mismo: la administración nunca pide tus datos bancarios ni tus credenciales por SMS o por correo electrónico.
Las cuatro variantes que circulan en 2026
1. La devolución pendiente
La más extendida. Un importe preciso, a menudo entre 150 y 800 euros: lo bastante creíble para un exceso de retención en origen, nunca lo bastante grande para despertar sospechas. El enlace lleva a un formulario falso que reproduce los colores de impots.gouv.fr y que pide tu número fiscal, tu fecha de nacimiento y luego tu IBAN y, con frecuencia, el número de tu tarjeta bancaria «para verificar la identidad del titular».
Ahí está el punto de inflexión: una devolución se hace por transferencia, y una transferencia nunca necesita un número de tarjeta. Si te piden los 16 dígitos de tu tarjeta para recibir dinero, estás en un sitio fraudulento, punto final.
2. El cierre o la suspensión del espacio personal
Variante del «miedo suave». Te explican que tu cuenta será desactivada por falta de verificación. El objetivo es obtener el par número fiscal + contraseña, que abre el acceso a información de un valor considerable: ingresos, composición del hogar, dirección, liquidaciones descargables. Esas liquidaciones se reutilizan después para montar expedientes de crédito, alquileres ficticios o usurpaciones de identidad completas.
3. El saldo impagado con amenaza de recargo
Esta imita el requerimiento de pago. «Saldo de 712 EUR sin pagar, recargo del 10 % aplicado en 48h.» El enlace conduce a una página de pago en línea. El dinero va directamente a una cuenta controlada por los estafadores, a menudo a través de tarjetas prepago o cuentas de dinero electrónico abiertas con documentos falsos.
4. El falso asesor que devuelve la llamada
La más costosa. Tras un primer SMS llega una llamada, a veces con un número que aparece con prefijo 09 o 01 y que se parece al de una oficina de la administración tributaria. Un interlocutor muy tranquilo explica que se ha detectado un fraude en tu cuenta fiscal y que hay que «asegurar» tus fondos. El Banco de Francia constataba además en 2026 un aumento de las estafas llamadas «por manipulación», aquellas en las que la propia víctima realiza la transferencia, convencida de estar protegiéndose.
Las siete señales que delatan el falso SMS fiscal
| Señal | Lo que hace la DGFiP real | Lo que hace el SMS falso |
|---|---|---|
| Enlace en el mensaje | Nunca un enlace a un formulario de datos bancarios | Enlace acortado o dominio parecido |
| Dominio | Únicamente impots.gouv.fr | impots-verification.net, dgfip-particulier.com… |
| Petición de IBAN | Se hace desde tu espacio autenticado | Se pide en un formulario abierto |
| Tarjeta bancaria | Nunca para una devolución | Se pide sistemáticamente |
| Plazo | Fechas de vencimiento anunciadas con semanas de antelación | «24h», «48h», «esta noche» |
| Ortografía y acentos | Textos revisados, acentos presentes | Acentos ausentes, mayúsculas erráticas |
| Remitente | A menudo un nombre de remitente, nunca un número de móvil personal | Número de móvil con prefijo 06/07, o remitente suplantado |
La ausencia de acentos merece una precisión: ya no es un criterio fiable por sí solo. Las campañas generadas con herramientas de IA producen hoy textos en un francés impecable, con acentos, sintaxis correcta e incluso el vocabulario administrativo adecuado. Varios medios especializados documentaron en 2026 esta mejora de calidad en las estafas del paquete; se aplica exactamente igual a la fiscalidad. El único criterio que no envejece sigue siendo la dirección del enlace y la naturaleza de la información solicitada.
El reflejo en treinta segundos: no partir nunca del SMS
La regla se resume en una frase: nunca se verifica una información en el canal que la ha traído. Si un SMS te habla de una devolución, no tienes ninguna razón para hacer clic en su enlace ni para llamar al número que indica.
El procedimiento correcto:
- Cierra el SMS. No hagas clic, ni siquiera «para ver».
- Escribe tú mismo
impots.gouv.fren tu navegador, o abre la aplicación oficial «impots.gouv» que hayas instalado desde la tienda de aplicaciones de tu teléfono. - Conéctate a tu espacio personal. Toda devolución, toda liquidación, todo vencimiento aparece allí. Si no hay nada, no hay nada.
- Denuncia el mensaje al 33700, el dispositivo nacional de denuncia de SMS no deseados, simplemente reenviando el SMS. También puedes presentar un aviso en la plataforma Phishing Initiative o en cybermalveillance.gouv.fr.
Si consultas a menudo tus cuentas y tus documentos administrativos en pantalla, un simple soporte para smartphone colocado en el escritorio cambia muchas cosas: te obliga a mirar la pantalla de frente, en lugar de leer un SMS de reojo, de pie, caminando, exactamente las condiciones en las que uno hace clic sin pensar.
Por qué aun así tanta gente hace clic
Sería cómodo creer que solo los más ingenuos caen en la trampa. Los hechos dicen otra cosa: el factor decisivo es el contexto, no la inteligencia.
- Estás esperando realmente una devolución. Una pareja que ha modulado su tipo de retención en origen sabe que debe llegar una transferencia. El SMS no crea la expectativa, la confirma.
- Acabas de conectarte al sitio real. Las campañas se envían a menudo de forma masiva durante los picos de conexión. Recibir un SMS de «DGFiP» una hora después de haber entrado en impots.gouv.fr crea una ilusión de causalidad muy poderosa.
- El hilo de conversación está contaminado. Si un mensaje auténtico de un servicio público ya ha llegado a un hilo con nombre, un SMS fraudulento que suplante ese mismo nombre de remitente puede colarse ahí y aparecer a continuación de los verdaderos. Es uno de los efectos perversos de los nombres de remitente alfanuméricos, que la Arcep y los operadores intentan regular mediante un mecanismo de autenticación de remitentes.
- Lees en una pantalla pequeña. Un enlace truncado, una barra de direcciones oculta, y el dominio fraudulento se vuelve invisible. Para quienes entornan los ojos ante el teléfono, tener a mano unas gafas de lectura no es un detalle de comodidad: es lo que permite leer la URL completa antes de tocarla con el dedo.
Si has hecho clic: la lista de gestos útiles, por orden
Haber hecho clic no significa haberlo perdido todo. Lo que cuenta es qué has introducido y la rapidez de la reacción.
- No has introducido nada, solo has abierto la página. El riesgo es bajo en un teléfono actualizado. Cierra la pestaña, borra el historial de ese sitio y comprueba que tu sistema está bien actualizado.
- Has introducido tu número fiscal y tu contraseña. Conéctate inmediatamente al sitio real y cambia la contraseña. Usa una contraseña única, larga, que no se parezca a ninguna otra. Si te cuesta recordar varias, una libreta de contraseñas de papel guardada en casa sigue siendo una solución mucho más segura que una contraseña reutilizada en todas partes.
- Has facilitado tus datos bancarios. Llama a tu banco sin esperar, bloquea la tarjeta, pide vigilancia de la cuenta. El bloqueo y la impugnación de operaciones son derechos: el artículo L. 133-18 del código monetario y financiero francés prevé el reembolso de las operaciones no autorizadas, salvo negligencia grave acreditada.
- Has realizado una transferencia. Contacta con el banco en la hora siguiente si es posible: una transferencia puede a veces ser retirada antes de su ejecución definitiva. Después, presenta una denuncia.
- En todos los casos, denuncia la estafa en la plataforma Thésée del Ministerio del Interior francés y conserva capturas de pantalla del SMS y del sitio.
Un detalle que suele olvidarse: si has descargado un archivo desde la página fraudulenta, no lo abras. Los falsos formularios fiscales sirven a veces de puerta de entrada a aplicaciones maliciosas, en particular en Android cuando se ha autorizado la instalación desde fuentes desconocidas. Comprueba ese ajuste y déjalo desactivado.
Proteger a los allegados que reciben estos SMS sin entender el circuito
El verdadero público vulnerable, aquí, no son los contribuyentes distraídos: son las personas que nunca han usado su espacio personal. Un jubilado no sujeto a tributación, alguien que siempre ha declarado en papel, un joven que acaba de hacer su primera declaración: todos tienen en común no saber cómo es una comunicación fiscal auténtica.
Tres conversaciones útiles que mantener con ellos:
- «La administración nunca te pedirá tu tarjeta bancaria por SMS.» Formulada así, sin matices, es una regla memorizable y siempre cierta.
- «Si un mensaje te mete prisa, es falso.» La DGFiP anuncia sus fechas con semanas de antelación, tanto en las notificaciones en papel como en línea.
- «Me llamas antes de hacer clic, nunca después.» Designar a un referente familiar corta en seco la dinámica de urgencia.
Para las personas mayores que quieren seguir estando localizables sin navegar por internet, un teléfono móvil de teclas grandes, sin navegador, resuelve el problema de forma mecánica: puede que llegue un SMS fraudulento, pero el enlace no tiene dónde abrirse. Y para quienes no renuncian a su smartphone, una guía en papel sobre seguridad digital para mayores, colocada junto al teléfono, suele funcionar mejor que un largo discurso.
Para recordar
Un SMS fiscal que te mete prisa, te promete una devolución y te pide una tarjeta bancaria acumula por sí solo las tres señales de alarma. Ninguno de esos tres elementos existe en una comunicación real de la DGFiP.
El falso SMS de Hacienda no es una estafa sofisticada. Es una estafa bien sincronizada, que toma prestada del calendario fiscal una credibilidad que no tiene y que cuenta con que nadie sabe realmente cómo comunica la administración. La respuesta es siempre la misma, y es gratuita: cerrar el mensaje, ir uno mismo a impots.gouv.fr y reenviar el SMS al 33700. Treinta segundos, y la campaña se va al agua: para ti y para los siguientes, porque cada denuncia alimenta el bloqueo de los números emisores.
