"Paquete retenido": el SMS falso de Correos de México y otras paqueterías

"Paquete retenido": el SMS falso de Correos de México y otras paqueterías

"Correos de México: su paquete no pudo entregarse por falta de pago de envío. Regularice el pago ($27.50) aquí." Y un enlace. Este SMS, con el nombre de Correos de México, Estafeta, DHL o FedEx según la oleada, es una campaña de smishing que vuelve una y otra vez. Funciona porque casi todo el mundo compra en línea y casi todos tienen, en algún momento, un paquete en camino: el mensaje cae en terreno fértil.

El importe es ridículo a propósito. El objetivo nunca fue cobrarle esos pesos: es que capture los datos completos de su tarjeta en una página falsa que imita a la paquetería y, a veces, también el código de confirmación que le llega después, para hacer cargos mayores.

Por qué funciona aunque no espere ningún paquete

Los estafadores no saben si usted espera un pedido. No lo necesitan:

• Volumen. Mandan el mismo SMS a miles de números. Con lo mucho que se compra en línea, una buena parte de quienes lo reciben sí tiene algo en camino o lo tuvo hace poco, y el mensaje encaja.
• Importe pequeño. Unos cuantos pesos no encienden las alarmas. Nadie revisa un pago de $27.50 como revisaría uno de $5,000.
• Prisa y cero fricción. "Pague ya y lo recibe mañana" empuja a resolverlo en el momento, desde el celular, sin detenerse a ver el remitente ni el dominio.
• Disfraz que rota. Cuando una marca se "quema" (la gente ya avisa que "ese SMS de Correos de México es falso"), la campaña cambia a otra paquetería. El esqueleto es siempre el mismo que el del SMS falso de multa o fotomulta: entidad conocida + trámite pendiente + urgencia + enlace de pago.

Cómo reconocer el SMS falso

Ninguna de estas señales es definitiva por sí sola, pero juntas son un diagnóstico bastante confiable:

• Le piden pagar por un enlace. Aunque una paquetería tenga un cargo real pendiente (aduana, envío), usted puede confirmarlo entrando por su cuenta a su sitio oficial con su número de guía. Si el cobro solo existe en el enlace del SMS, es falso.
• El enlace no es del dominio oficial. Dominios con guiones de más ("correosmx-envios", "dhl-paquete", "estafeta-rastreo") o terminaciones raras. En la pantalla del celular, con prisa, pasan desapercibidos; con calma, el engaño salta a la vista.
• No menciona un número de guía real. El SMS falso habla de "su paquete" en general porque no sabe cuál es. Un aviso legítimo incluye el número de guía, y ese número coincide con el que le dio la tienda.
• Remitente variable. A veces un celular cualquiera, a veces un nombre que imita a la empresa. El remitente de un SMS se puede falsificar: no demuestra nada.
• Errores de redacción. Traducciones torpes, mayúsculas raras, urgencia exagerada ("último aviso antes de devolver el paquete"). Las empresas reales escriben mejor que eso.

Cómo revisar un envío real

El método es siempre el mismo y sirve para cualquier empresa:

1. No abra el enlace del SMS. Ciérrelo.
2. Abra usted el canal oficial: la app de la tienda donde compró, el correo de confirmación del pedido o la página oficial de la paquetería, escribiendo usted la dirección (por ejemplo, la de Correos de México).
3. Capture ahí su número de guía. Si hay una incidencia real (aduana, dirección incompleta, intento de entrega), aparecerá en el rastreo oficial. Si no aparece nada, el SMS era falso.

Esta secuencia (cerrar el mensaje y entrar usted al canal oficial) es la misma que recomendamos para verificar una llamada o un SMS de su banco y una notificación del SAT o del IMSS; las encontrará en nuestras guías por situación. Es el hábito que más fraudes corta de raíz.

Qué hacer si ya capturó su tarjeta

• Llame a su banco de inmediato, cuente lo ocurrido y pida bloquear la tarjeta y emitir una nueva. Es la medida que corta el problema de golpe.
• Si además capturó un código de confirmación que le llegó por SMS, dígaselo también al banco: puede haber una operación ya autorizada.
• Vigile los cargos de las semanas siguientes y active las notificaciones de movimientos en la app de su banco. Los cargos fraudulentos no siempre llegan en el momento. Si el banco no le resuelve, puede presentar una queja ante la CONDUSEF.
• Denuncie ante la Fiscalía de su estado (Ministerio Público) con capturas del SMS y del enlace. La Policía Cibernética de su estado también orienta en estos casos; en la Ciudad de México, la de la Secretaría de Seguridad Ciudadana (SSC).
• Reporte el número remitente en el directorio de números spam.

Preguntas rápidas

¿Y si sí espero un paquete y el SMS coincide? La coincidencia no verifica nada: con tantos pedidos en circulación, atinarle por casualidad es fácil. Revíselo siempre en el canal oficial con su número de guía. Le toma un minuto y elimina la duda por completo.

¿Las paqueterías mandan SMS de verdad? Sí, algunas envían avisos de entrega o de intentos fallidos. La diferencia es que el aviso real menciona su número de guía, lo remite a su app o página oficial y no lo presiona con amenazas de devolución inmediata. Cualquier cobro real podrá confirmarlo usted ahí; si solo aparece en el enlace del mensaje, no es real.

¿Pasa lo mismo por WhatsApp o por correo? Sí, el mismo anzuelo circula por WhatsApp, por correo electrónico y hasta en códigos QR pegados en calcomanías falsas (lo explicamos en la guía de quishing, dentro de nuestras guías por situación). El canal cambia; la defensa no: nunca pague desde el enlace que le llega, revíselo usted en el canal oficial.

Si le llegó uno de estos mensajes, repórtelo en el directorio de números de NoCall: estas campañas reutilizan números durante días, y su reporte es el aviso que verá la próxima persona antes de capturar su tarjeta.