"Paquete retenido": el SMS falso de Correos y otras paqueterías

"Correos: su paquete no ha podido entregarse por falta de franqueo. Regularice el pago (1,68 €) aquí." Y un enlace. Este SMS, con el nombre de Correos, DHL, UPS, FedEx o Seur según la oleada, es una de las campañas de smishing más persistentes en España. Funciona porque casi todo el mundo compra por internet y casi todo el mundo tiene en algún momento un paquete en camino: el mensaje cae en terreno abonado.

El importe es deliberadamente ridículo. El objetivo nunca fue cobrarte esos dos euros: es que metas los datos completos de tu tarjeta en una web falsa que imita a la empresa de paquetería, y a veces también el código de confirmación que te llega después, para hacer cargos mayores.

Por qué cuela aunque no esperes ningún paquete

Los estafadores no saben si esperas un pedido. No lo necesitan:

• Volumen. Envían el mismo SMS a miles de números. Con el comercio electrónico actual, un porcentaje alto de destinatarios tiene efectivamente algo en camino o lo tuvo hace poco, y el mensaje encaja.
• Importe asumible. Uno o dos euros no activan las alarmas. Nadie "verifica" un pago de 1,68 € como verificaría uno de 300.
• Prisa y fricción cero. "Paga ya y lo recibes mañana" empuja a resolverlo en el momento, desde el móvil, sin pararse a mirar el remitente ni el dominio.
• Disfraz rotatorio. Cuando una marca quema (la gente ya avisa de que "ese SMS de Correos es falso"), la campaña cambia a otra empresa de transporte. El esqueleto es siempre el mismo que el del SMS falso de multa de la DGT: entidad conocida + gestión pendiente + urgencia + enlace de pago.

Cómo reconocer el SMS falso

Ninguna de estas señales por sí sola es definitiva, pero juntas son un diagnóstico bastante fiable:

• Pide pagar tasas por enlace. Las empresas de paquetería no gestionan pagos de aduanas o franqueo a través de un enlace en un SMS inesperado. Los gastos de aduana reales se comunican por canales trazables y con documentación del envío.
• El enlace no es el dominio oficial. Dominios con guiones extra ("correos-envios", "dhl-paquete", "seur-seguimiento") o extensiones raras. En la pantalla del móvil, con prisa, cuelan; míralo con calma y canta.
• No menciona ningún número de seguimiento real. El SMS falso habla de "su paquete" en genérico porque no sabe cuál es. Un aviso legítimo incluye el localizador, y ese localizador coincide con el que te dio la tienda.
• Remitente variable. A veces un móvil cualquiera, a veces un nombre que imita a la empresa. El remitente de un SMS se puede falsificar: no demuestra nada.
• Faltas de estilo. Traducciones torpes, mayúsculas raras, urgencia exagerada ("último aviso antes de devolver el paquete"). Las empresas reales escriben mejor que esto.

Cómo comprobar un envío real

El método es siempre el mismo, y vale para cualquier empresa:

1. No pulses el enlace del SMS. Ciérralo.
2. Abre tú el canal oficial: la app de la tienda donde compraste, el correo de confirmación del pedido, o la web oficial de la transportista escribiendo tú la dirección.
3. Introduce tu número de seguimiento allí. Si hay una incidencia real (aduanas, dirección incompleta, intento de entrega), aparecerá en el seguimiento oficial. Si no aparece nada, el SMS era falso.

Esta secuencia (cerrar el mensaje, entrar tú al canal oficial) es la misma que recomendamos para verificar una llamada o SMS de tu banco y para verificar una notificación de Hacienda o la Seguridad Social. Es el hábito que más fraudes corta de raíz.

Qué hacer si ya metiste la tarjeta

• Llama a tu banco ya, cuenta lo ocurrido y pide bloquear la tarjeta y emitir una nueva. Es la medida que corta el problema de golpe.
• Si además introdujiste un código de confirmación que te llegó por SMS, díselo también al banco: puede haber una operación ya autorizada.
• Vigila los cargos de las semanas siguientes y activa las notificaciones de movimientos en la app del banco. Los cargos fraudulentos no siempre llegan al momento.
• Denuncia con capturas del SMS y del enlace. El 017 de INCIBE es gratuito si necesitas orientación.
• Reporta el número remitente en el directorio de números spam.

Preguntas rápidas

¿Y si sí espero un paquete y el SMS coincide? La coincidencia no verifica nada: con tantos pedidos en circulación, acertar por casualidad es fácil. Compruébalo siempre por el canal oficial con tu localizador. Tardas un minuto y elimina la duda por completo.

¿Las empresas de paquetería mandan SMS de verdad? Sí, algunas envían avisos de entrega o intentos fallidos. La diferencia es que el aviso real no te pide pagar por enlace: te remite a su app o web oficial, menciona tu localizador y no mete prisa con amenazas de devolución inmediata.

¿Pasa lo mismo por WhatsApp o correo? Sí, el mismo cebo circula por WhatsApp, email y hasta por códigos QR en pegatinas falsas. El canal cambia; la defensa no: nunca pagues desde el enlace que te llega, compruébalo tú por el canal oficial.

Si te ha llegado uno de estos mensajes, repórtalo en el directorio de números de NoCall: estas campañas reutilizan numeraciones durante días, y tu reporte es el aviso que verá la próxima persona antes de meter su tarjeta.