«Hola, hemos visto su mensaje. Un asesor le contactará por privado para regularizar su expediente.» La respuesta llega cuatro minutos después de su publicación, bajo la reclamación que escribió al límite de su paciencia en la cuenta oficial de una gran marca. Logotipo correcto, nombre casi idéntico, tono impecable. Salvo que esa cuenta no pertenece a la marca, y que el «asesor» que le escribirá en cuestión de un minuto solo busca una cosa: su número de teléfono y, después, sus datos bancarios.
Esta estafa ocupa un lugar particular dentro de la familia del smishing. En la mayoría de los casos clásicos, el estafador dispara a ciegas: envía miles de SMS esperando dar con alguien que justo esté esperando un paquete o una multa. Aquí es lo contrario. Es usted quien ha anunciado públicamente que estaba esperando algo. Al estafador solo le queda colarse en la conversación.
Por qué una queja pública es una mina de oro
Cuando escribe «@Operador llevo tres semanas esperando el reembolso del router que devolví, es inadmisible», acaba de entregar gratuitamente varias informaciones valiosas:
- El nombre de la empresa implicada. El estafador sabe exactamente qué disfraz ponerse.
- La naturaleza del litigio. Reembolso, paquete perdido, factura impugnada, avería sin resolver: el pretexto ya está escrito.
- Un importe, a veces. Muchas reclamaciones citan una cantidad concreta, lo que permite repetirla palabra por palabra para dar credibilidad al expediente falso.
- Su estado emocional. Una persona enfadada, que ya ha llamado tres veces sin resultado, es infinitamente más receptiva a un interlocutor que por fin le dice «yo me encargo».
Este último punto es el verdadero motor de la estafa. Los estafadores no venden un miedo, como en los falsos SMS de multas: venden un alivio. Es una inversión clásica de la ingeniería social, en la que la víctima se siente ayudada en el momento exacto en que la están desplumando.
Las propias plataformas facilitan el rastreo. Las menciones públicas de una marca pueden consultarse por cualquiera, en tiempo real, sin herramientas sofisticadas. Un estafador que vigila las menciones de cinco o seis grandes marcas dispone cada día de cientos de objetivos precualificados, ya en situación de litigio.
La mecánica, paso a paso
1. La cuenta falsa que responde antes que la verdadera
Las cuentas fraudulentas imitan la tipografía oficial: un guion bajo añadido, un «oficial» pegado al nombre, un cero en lugar de una O, a veces la misma foto de perfil copiada tal cual. Su ventaja decisiva es la velocidad. Un servicio de atención al cliente real responde en unas horas, o incluso al siguiente día laborable. El falso responde en menos de cinco minutos, incluido el domingo por la noche.
2. El desvío hacia el mensaje privado
El falso asesor pide casi de inmediato continuar «por privado, por razones de confidencialidad». El argumento parece legítimo, y de hecho lo es incluso en los servicios de atención al cliente reales. Pero aquí cumple otra función: sacar la conversación de la zona pública, allí donde otro usuario, o el verdadero community manager de la marca, podría dar la alerta.
3. La petición del número de teléfono
Es el eje de la estafa. «Para que nuestro servicio tramite su expediente, facilítenos su número de móvil y el nombre que figura en el contrato.» El número lo cambia todo: permite pasar a un canal más íntimo, más creíble, y sobre todo activar SMS de autenticación reales en servicios donde el estafador intentará iniciar sesión.
4. El SMS que parece oficial
Unos minutos más tarde llega un SMS. Puede mostrar un nombre de remitente parecido al de la marca: es el spoofing de remitente, una falsificación que permite mostrar prácticamente cualquier etiqueta. El mensaje contiene un enlace a un «formulario de reembolso» o a una «validación de expediente».
5. El formulario falso y el cargo real
El formulario pide su IBAN «para abonar el reembolso», luego su número de tarjeta «para verificar la identidad del titular» y, a veces, una transferencia de 1 € «de control bancario». En las variantes más elaboradas, sigue una llamada telefónica durante la cual le piden dictar el código de seis cifras recibido por SMS: ese código que en realidad valida un pago o la incorporación de su tarjeta a un teléfono desconocido. Detallamos este mecanismo en nuestro artículo sobre los códigos de verificación dictados por teléfono.
Ningún servicio de atención al cliente legítimo le pedirá su código secreto, el código de seis cifras recibido por SMS, ni una transferencia «de verificación». Un reembolso nunca exige un número de tarjeta bancaria: basta un IBAN, y su proveedor ya lo conoce si es cliente.
Los sectores más expuestos
No todas las reclamaciones corren el mismo riesgo. Los estafadores prefieren los litigios en los que un flujo de dinero resulta plausible y en los que el cliente ya está esperando algo:
| Tipo de reclamación pública | Escenario de estafa típico |
|---|---|
| Paquete perdido o no entregado | «Gastos de reenvío» de unos pocos euros a pagar |
| Factura de operador impugnada | «Gesto comercial» que requiere un IBAN y una tarjeta |
| Baja no tramitada correctamente | «Reembolso del exceso cobrado» mediante un formulario falso |
| Pedido de comercio electrónico anulado | «Validación del reembolso» con código SMS que hay que dictar |
| Avería de un aparato en garantía | «Vale de compra como compensación» que se activa con un pago |
| Transporte, retraso de tren o de vuelo | Falso expediente de indemnización que reclama los datos bancarios |
En esta lista reaparece una lógica ya observada con los falsos reembolsos de operador: el estafador se inserta en un procedimiento real, lento y mal comprendido.
Las señales que deben detenerle
Unos pocos reflejos bastan para desbaratar la práctica totalidad de estos intentos.
Compruebe la cuenta, no el logotipo. Un logotipo se copia en tres segundos. Fíjese en la fecha de creación de la cuenta, el número de publicaciones, el historial. El servicio de atención al cliente real de una gran marca tiene miles de mensajes a sus espaldas; una cuenta falsa suele tener menos de cincuenta, todos publicados en los últimos días. Muchas marcas indican en su web oficial la lista exacta de sus cuentas sociales: es la única fuente fiable.
Desconfíe de la rapidez. Una respuesta en menos de cinco minutos un domingo por la noche, sobre un expediente complejo, no es buena señal. Es una anomalía.
Vuelva siempre al canal oficial. No haga clic en ningún enlace recibido por mensaje privado o por SMS. Abra usted mismo la aplicación de su proveedor, o escriba a mano la dirección del sitio. Es la regla de oro: el enlace que viene hacia usted siempre es menos seguro que el que usted va a buscar.
Nunca facilite sus datos bancarios completos. Un IBAN por sí solo no permite cargarle nada sin mandato, pero un número de tarjeta con fecha de caducidad y código de seguridad, sí. Y un código recibido por SMS equivale a una firma.
Vigile los cambios de canal injustificados. Pasar de la red social al SMS, luego del SMS a WhatsApp y después a una llamada: cada salto dificulta la verificación y le aleja del rastro escrito. Es una señal de alerta en sí misma.
Cómo quejarse sin exponerse
El reflejo de la reclamación pública es comprensible: a menudo funciona, porque las marcas detestan los litigios visibles. Pero se puede usar sin convertirse en objetivo.
- Mencione el problema, no los detalles. «Litigio sin resolver desde hace tres semanas, les ruego me contacten» es suficiente. Evite el número de pedido, el importe exacto, el número de contrato, la ciudad y, por supuesto, el número de teléfono a la vista.
- Nunca publique una captura de pantalla sin difuminar. Las capturas de facturas, de albaranes de entrega o de seguimientos de paquetes contienen referencias que el estafador repetirá palabra por palabra para convencerle. No hace falta ni un lápiz óptico para pantalla táctil: la mayoría de los teléfonos permiten difuminar una zona directamente en el editor de capturas.
- Dé prioridad al canal escrito oficial. Formulario de contacto de la web, área de cliente, o carta certificada para los litigios serios. Un bloc de papel de carta y unos sobres con ventana siguen siendo el medio más sólido de construir un expediente que pueda hacerse valer, especialmente antes de acudir al mediador.
- Documente por su parte. Si el litigio se agrava, un cuaderno de seguimiento de expediente donde anote fechas, interlocutores y referencias le servirá más que un hilo de publicaciones. También es un excelente reflejo en caso de denuncia posterior.
Para los litigios con un operador de telecomunicaciones, la vía oficial existe y es gratuita: tras una reclamación escrita que haya quedado sin respuesta, se puede recurrir al médiateur des communications électroniques. La Arcep publica también recomendaciones claras sobre los mensajes y llamadas no deseados, y recuerda los canales de denuncia que deben utilizarse. Ni uno ni otro le contactarán nunca de forma espontánea por mensaje privado.
Si ya ha respondido
Sin pánico, pero con método. El orden importa.
- Corte la conversación. No anuncie nada, no negocie, no amenace: bloquee y denuncie la cuenta en la plataforma.
- Llame a su banco de inmediato si ha facilitado un número de tarjeta, un IBAN, o ha dictado un código recibido por SMS. Solicite la anulación de la tarjeta y la vigilancia de la cuenta. El número figura en el reverso de su tarjeta o en su aplicación bancaria, nunca en el SMS recibido.
- Cambie las contraseñas de las cuentas vinculadas a ese número de teléfono, empezando por su correo electrónico. Un gestor de contraseñas facilita enormemente la tarea; en su defecto, un cuaderno de contraseñas guardado fuera de la vista es mejor que una lista en las notas del teléfono.
- Denuncie el SMS al 33700, el dispositivo nacional de denuncia de mensajes fraudulentos. Reenvíe el mensaje y después indique el número del remitente cuando se lo pidan. Nuestra guía detalla el recorrido completo de la denuncia al 33700.
- Presente una denuncia y comuníquelo en Cybermalveillance.gouv.fr, que ofrece un diagnóstico en línea y una orientación según su situación. En caso de usurpación de identidad o de cargo indebido, la denuncia es imprescindible para lo que venga después, especialmente para obtener un reembolso del banco.
Proteger a un familiar más vulnerable
Esta estafa afecta especialmente a las personas que están descubriendo las redes sociales y consideran que un mensaje privado con un logotipo oficial es una comunicación fiable. Para un padre o una madre mayor, el razonamiento se sostiene: escribió a la empresa, la empresa le responde.
Algunos hábitos sencillos, que conviene transmitir con calma:
- Una única regla que recordar: nunca se dan el número de tarjeta ni un código recibido por SMS, a nadie, jamás, sea cual sea el logotipo que aparezca.
- Un reflejo de aplazamiento: «le llamo yo desde el número que figura en mi contrato». Pegar con cinta los números reales del servicio de atención al cliente junto al teléfono funciona notablemente bien, y un teléfono fijo de teclas grandes con memorias directas evita buscar en una agenda.
- Un contacto de confianza designado: saber a quién llamar en la familia antes de hacer clic en nada. La mayoría de las veces, cinco minutos de espera bastan para que la estafa se desmorone.
Nuestros artículos sobre la protección de los mayores frente a las estafas por SMS y sobre el primer teléfono de un adolescente complementan muy bien este enfoque: los dos extremos de la pirámide de edades son el objetivo de los mismos resortes psicológicos, con pretextos diferentes.
Lo que hay que recordar
El falso servicio de atención al cliente es una de las pocas estafas por SMS en las que la víctima ha señalado, sin saberlo, su propia vulnerabilidad. Recuerda una regla que va mucho más allá del smishing: lo que publica en línea sobre sus litigios, sus expectativas y sus compras constituye material explotable.
Tres frases que conviene tener en mente:
- Un servicio de atención al cliente que responde en cuatro minutos un domingo por la noche probablemente no sea el verdadero.
- Un reembolso nunca pide un número de tarjeta ni un código de seis cifras.
- El canal correcto es siempre el que usted abre por su cuenta, no el que le tienden.
Por cierto, puede usar un servicio de envío de SMS para avisar rápidamente a un ser querido de que este tipo de mensaje está circulando: un texto corto, directo, del tipo «si un asesor te escribe después de tu reclamación, no le des nada y llámame». El formulario de envío de SMS gratuito está en la página de inicio, sin registro. A veces, un mensaje de diez palabras enviado en el momento oportuno vale más que una larga explicación.
