«HOLA, su dispositivo (expediente RP-77421) ha sido recibido y valorado en 189 EUR. Confirme sus datos bancarios para activar la transferencia en 48h: https://reprise-mobile-validation.net/rp77421»
Este mensaje no te amenaza con nada. Ni multas, ni cuentas canceladas, ni paquetes retenidos en la aduana. Al contrario: te anuncia una buena noticia. Tu viejo teléfono, el que metiste en una caja hace diez días, vale 189 €, y el dinero está en camino. Solo queda un trámite administrativo: facilitar el IBAN en el que ingresar el importe.
Y precisamente por eso este SMS funciona mejor que la mayoría. Las estafas más rentables no son las que dan miedo. Son las que llegan en el momento exacto en que esperas un mensaje de ese tipo, con un contenido que se parece punto por punto a lo que estabas esperando.
Por qué la recompra de teléfonos se ha convertido en un coto de caza
En pocos años, revender el smartphone antiguo se ha convertido en un reflejo masivo. Prima de recompra en la operadora al renovar, programa de recompra del fabricante, plataformas especializadas en reacondicionados, máquinas automáticas en centros comerciales, vales de compra en grandes superficies: los circuitos se han multiplicado y cada uno funciona con sus propios códigos.
Hazte la pregunta con honestidad. Si enviaste un dispositivo hace dos semanas, ¿sabrías decir de memoria?:
- el nombre exacto de la empresa que lo recompra (a menudo un intermediario del que nunca habías oído hablar antes del proceso de compra);
- el número de expediente asignado a tu envío;
- el importe finalmente aprobado tras la peritación, que casi siempre difiere de la estimación online;
- el plazo anunciado de pago, y por qué medio: transferencia, vale de compra, descuento en factura, PayPal;
- la dirección de correo electrónico o el número desde el que se comunica la plataforma.
En la gran mayoría de los casos, no. Y es precisamente ese vacío de información el que viene a rellenar el estafador. No necesita saber a qué plataforma enviaste tu dispositivo. Manda su mensaje a decenas de miles de números sabiendo que una pequeña fracción de los destinatarios está, en ese instante, en la ventana de espera perfecta.
Los reacondicionados tienen además una particularidad: son virtuosos y bien valorados. Se habla de ellos en términos de economía circular, de ecología, de sentido común. Resultado: baja la desconfianza. A nadie se le ocurre pensar «cuidado, la recompra de móviles es sospechosa».
Anatomía del mensaje
Circulan tres grandes variantes, y no tienen el mismo objetivo final.
1. La petición de IBAN «para activar la transferencia»
Es la más directa. El enlace lleva a un formulario con una estética creíble que pide nombre, apellidos, dirección y después el IBAN completo y, a veces, un documento de identidad «por cumplimiento de la normativa antiblanqueo».
Muchas víctimas se tranquilizan con un razonamiento lógico pero falso: «un IBAN solo sirve para recibir dinero». En realidad, un IBAN asociado a tu nombre, tu dirección y una copia de tu documento de identidad constituye un kit de usurpación muy completo. Permite intentar adeudos SEPA fraudulentos, abrir cuentas o suscripciones a tu nombre y, sobre todo, alimentar un expediente de ingeniería social que hará ultracreíble una llamada posterior de «tu banco».
2. El falso «suplemento de gastos» o «cobro indebido»
Variante más retorcida: te explican que el dispositivo llegó con la pantalla más dañada de lo declarado, que ya se te ha ingresado un «anticipo» por error y que hay que regularizar 3,90 € de gastos de gestión. La pequeña cantidad desarma la desconfianza. Lo que importa no son los 3,90 €: es la introducción del número de la tarjeta bancaria en la página de pago, a menudo seguida de una solicitud de validación 3-D Secure manipulada.
3. El falso «problema de identificación del envío»
Aquí te dicen que el paquete ha llegado correctamente pero que el dispositivo está bloqueado y que hay que «desactivar la protección» o facilitar tus credenciales de la cuenta de Apple o Google para finalizar la peritación. Objetivo: apoderarse de una cuenta online completa. Es de lejos la versión más dañina, porque esa cuenta suele contener fotos, contactos, copias de seguridad y métodos de pago.
Ninguna plataforma de recompra seria te pedirá nunca, por SMS o por correo electrónico, las credenciales de tu cuenta de Apple, Google o Samsung. El desbloqueo lo haces tú, antes del envío, desde tus propios ajustes.
Las señales que no engañan
Los falsos SMS de recompra comparten una serie de marcadores casi inmutables.
| Señal | Lo que hace una plataforma real | Lo que hace la estafa |
|---|---|---|
| Remitente | Nombre de marca corto o número coherente, mensaje localizable en tu área de cliente | Número de móvil, número extranjero o nombre de remitente aproximado |
| Enlace | Dominio oficial de la marca, a veces sin ningún enlace | Dominio compuesto: reprise-mobile-validation.net, rachat-mon-tel-fr.com |
| Datos bancarios | Ya introducidos en el momento del pedido, en tu área de cliente | Reclamados con urgencia mediante un formulario externo |
| Tono | Informativo, sin cuenta atrás | «en 48h», «último aviso», «expediente anulado si no responde» |
| Importe | Coincide con tu estimación, detallado en un informe de peritación | Redondo, halagador, a menudo superior a lo que esperabas |
| Ortografía | Acentos presentes, maquetación cuidada | Acentos ausentes, mayúsculas extrañas, espacios antes de los puntos |
La ausencia de acentos es un indicio recurrente, pero no te fíes de él a ciegas: los kits de smishing se profesionalizan y cada vez más mensajes están redactados en un castellano impecable. Cybermalveillance.gouv.fr lo recuerda con frecuencia en sus fichas sobre el phishing por SMS: el único criterio realmente fiable es la verificación por un canal que elijas tú mismo.
El reflejo que hay que instalar de una vez por todas
Se resume en una frase: nunca se verifica un mensaje desde el propio mensaje.
- No hagas clic. Ni siquiera para «ver qué aspecto tiene».
- Abre tu historial de pedidos. No el enlace del SMS: tu correo de confirmación original, o la aplicación de la plataforma que instalaste tú.
- Compara el número de expediente. Si no coincide exactamente, el asunto está cerrado.
- Comprueba el seguimiento del paquete en la empresa de transporte, desde su propia web. Si el dispositivo sigue en tránsito, no ha podido realizarse ninguna valoración.
- Llama al servicio de atención al cliente al número que figura en tu factura, nunca al indicado en el SMS.
- Denuncia el mensaje al 33700 (gratuito, servicio oficial de las operadoras francesas) reenviando el SMS y después el número del remitente cuando te lo pidan. También puedes presentar una denuncia en la plataforma Pharos.
Si acompañas a un familiar mayor en este tipo de trámite, imprímele estos seis pasos y deja la hoja donde consulte sus papeles. Un buen cuaderno de notas de papel junto al teléfono fijo sigue siendo la herramienta más eficaz para apuntar ahí, en el momento del envío, el nombre de la empresa, el número de expediente y el importe anunciado. Tres líneas escritas a mano bastan para desactivar la estafa entera, porque tapan el vacío de información.
Antes de enviar: preparar el dispositivo ya es protegerse
Buena parte de las estafas de este tipo solo pican porque el expediente de recompra se preparó mal. Unos cuantos gestos, hechos en el orden correcto, vuelven inofensivo el falso SMS.
Hacer copia de seguridad y después desvincular
- Haz una copia de seguridad completa. Un disco duro externo portátil permite conservar una copia local de tus fotos y documentos independiente de la nube, útil justamente el día en que una cuenta se vea comprometida.
- Desconecta la cuenta de Apple, Google o Samsung y desactiva la localización del dispositivo. Es tu responsabilidad, no la del comprador. Un teléfono todavía vinculado a tu cuenta es inmanejable para el taller, y es el pretexto ideal para los falsos mensajes de «desbloqueo».
- Desactiva la eSIM o retira la tarjeta SIM física, así como la tarjeta de memoria.
- Haz un restablecimiento de fábrica y después vuelve a encender el dispositivo para comprobar que arranca correctamente en la pantalla de configuración inicial.
Documentar el estado real
El falso «suplemento de gastos» se basa en una ambigüedad: no puedes demostrar en qué estado salió el dispositivo. Fotografíalo desde todos los ángulos, con la pantalla encendida, antes de embalarlo. Apunta el IMEI, visible en los ajustes o en la caja original.
Para el envío, un sobre de envío con burbujas de la medida adecuada y un buen relleno evitan roturas en tránsito, que sí serían un motivo real de revaloración a la baja. Conserva el justificante de entrega de la empresa de transporte hasta que el pago se haya efectuado.
Proteger el teléfono que te quedas
Un detalle pasa a menudo desapercibido: el valor de recompra depende sobre todo del estado de la pantalla y de la salud de la batería. En el dispositivo que acabas de comprar, un protector de cristal templado colocado el primer día y una funda antigolpes resistente cambian radicalmente la estimación que obtendrás dos o tres años después. Es económico y, de manera indirecta, también una protección: menos averías, menos servicio técnico, menos ventanas de ansiedad por las que un estafador pueda colarse.
Si ya has respondido
Sin pánico, pero con método. El orden importa.
Has facilitado un IBAN. Avisa a tu banco, pide una vigilancia de la cuenta y, según el caso, la creación de una lista de adeudos SEPA autorizados. Revisa tus extractos cada semana durante dos meses: los adeudos fraudulentos suelen ser pequeños importes de prueba antes de una operación mayor. Un adeudo SEPA no autorizado puede reclamarse ante tu banco en un plazo de 13 meses (8 semanas sin justificación especial): es un derecho previsto por la normativa europea y recordado por la Banque de France.
Has introducido una tarjeta bancaria. Bloquéala de inmediato y después solicita la devolución. La Directiva europea sobre servicios de pago (DSP2) y el artículo L.133-18 del Code monétaire et financier establecen el principio de reembolso de las operaciones no autorizadas.
Has facilitado credenciales de una cuenta. Cambia la contraseña desde otro dispositivo, revoca las sesiones activas y activa una doble autenticación robusta. Es preferible una aplicación de autenticación o una llave de seguridad física al simple código por SMS, vulnerable al SIM swap.
En todos los casos. Presenta una denuncia, aunque no se haya cargado nada: el banco y la aseguradora suelen exigirla. Denuncia el número al 33700 y conserva una captura de pantalla del SMS con su fecha.
Lo que esta estafa dice de las demás
El falso SMS de recompra no es una rareza aislada. Es la ilustración de una mecánica que se encuentra en todas las familias de smishing: el estafador no crea una situación, se cuela en una situación existente. El paquete esperado, la reparación en curso, el cambio de operadora, la venta de un coche, el fin de un contrato de alquiler. Cada vez que un trámite implica a varios intervinientes, plazos difusos y un pago pendiente, se abre una ventana.
De ahí una regla sencilla que conviene transmitir a tu alrededor, incluso a las personas menos cómodas con la tecnología: un mensaje que te anuncia dinero y te pide una información bancaria en el mismo SMS debe ignorarse, en todos los casos. Una cantidad que realmente te corresponde llegará de todos modos, sin que tengas que hacer clic en nada. Para los allegados que quieran reducir la superficie de exposición, un teléfono móvil de teclas grandes sin navegador de internet elimina sin más la posibilidad de hacer clic en un enlace trampa: una opción pragmática cuando el uso se limita a las llamadas y los SMS.
Los reacondicionados son una buena idea. Revender el dispositivo antiguo, también. Basta con guardar tres datos escritos en algún sitio y no verificar nunca un mensaje desde el propio mensaje. Dos hábitos, y toda esta familia de estafas se desmorona.
