"Paquete retenido": el SMS falso de Serpost y otros couriers

"Paquete retenido": el SMS falso de Serpost y otros couriers

"Serpost: su paquete no pudo ser entregado por falta de pago de franqueo. Regularice el pago (S/ 4.90) aquí." Y un enlace. Este SMS, con el nombre de Serpost, Olva Courier, Shalom o de algún courier internacional según la oleada, es un gancho de smishing que vuelve una y otra vez. Funciona porque casi todo el mundo compra por internet y casi todo el mundo tiene, en algún momento, un paquete en camino: el mensaje cae en terreno abonado.

El monto es deliberadamente ridículo. El objetivo nunca fue cobrarte esos pocos soles: es que ingreses los datos completos de tu tarjeta en una web falsa que imita a la empresa de envíos y, a veces, también el código de confirmación que te llega después, para hacer cargos mayores.

Por qué engaña aunque no esperes ningún paquete

Los estafadores no saben si esperas un pedido. No lo necesitan:

• Volumen. Mandan el mismo SMS a miles de números. Con todo lo que se compra hoy por internet, una buena parte de los destinatarios tiene efectivamente algo en camino o lo tuvo hace poco, y el mensaje encaja.
• Monto asumible. Unos pocos soles no activan las alarmas. Nadie "verifica" un pago de S/ 4.90 como verificaría uno de S/ 900.
• Apuro y cero fricción. "Paga ya y lo recibes mañana" empuja a resolverlo en el momento, desde el celular, sin detenerse a mirar el remitente ni el dominio.
• Disfraz rotatorio. Cuando una marca se quema (la gente ya avisa de que "ese SMS de Serpost es falso"), la campaña cambia a otra empresa de envíos. El esqueleto es siempre el mismo que el de los SMS falsos que suplantan a SUNAT o a los bancos: entidad conocida + trámite pendiente + urgencia + enlace de pago.

Cómo reconocer el SMS falso

Ninguna de estas señales por sí sola es definitiva, pero juntas son un diagnóstico bastante confiable:

• Pide pagar tasas por un enlace. Las empresas de envíos no cobran franqueo ni derechos de aduana a través de un enlace en un SMS inesperado. Los cobros de aduana reales se comunican por canales trazables y con la documentación del envío; en el Perú, la aduana es parte de SUNAT.
• El enlace no es el dominio oficial. Dominios con guiones extra ("serpost-envios", "olva-paquete", "seguimiento-pe") o terminaciones raras. En la pantalla del celular, con apuro, pasan desapercibidos; míralos con calma y saltan a la vista.
• No menciona ningún número de seguimiento real. El SMS falso habla de "su paquete" en genérico porque no sabe cuál es. Un aviso legítimo incluye el código de seguimiento, y ese código coincide con el que te dio la tienda.
• Remitente variable. A veces un celular cualquiera, a veces un nombre que imita a la empresa. El remitente de un SMS se puede falsificar: no demuestra nada.
• Errores de redacción. Traducciones torpes, mayúsculas raras, urgencia exagerada ("último aviso antes de devolver el paquete"). Las empresas reales escriben mejor que esto.

Cómo comprobar un envío real

El método es siempre el mismo y sirve para cualquier empresa:

1. No abras el enlace del SMS. Ciérralo.
2. Abre tú el canal oficial: la app de la tienda donde compraste, el correo de confirmación del pedido o la web oficial del courier escribiendo tú la dirección (la de Serpost es serpost.com.pe).
3. Ingresa allí tu número de seguimiento. Si hay una incidencia real (aduanas, dirección incompleta, intento de entrega), aparecerá en el seguimiento oficial. Si no aparece nada, el SMS era falso.

Esta secuencia (cerrar el mensaje, entrar tú al canal oficial) es la misma que recomendamos para verificar una llamada o un SMS de tu banco y una notificación de SUNAT, EsSalud o la ONP; tienes esas guías en nuestras situaciones. Es el hábito que más fraudes corta de raíz.

Qué hacer si ya ingresaste tu tarjeta

• Llama a tu banco ya, cuenta lo que pasó y pide bloquear la tarjeta y emitir una nueva. Es la medida que corta el problema de golpe.
• Si además ingresaste un código de confirmación que te llegó por SMS, díselo también al banco: puede haber una operación ya autorizada.
• Vigila los cargos de las semanas siguientes y activa las notificaciones de movimientos en la app del banco. Los cargos fraudulentos no siempre llegan al momento.
• Denuncia en una comisaría de la PNP con capturas del SMS y del enlace.
• Reporta el número remitente en el directorio de números spam.

Preguntas rápidas

¿Y si sí espero un paquete y el SMS coincide? La coincidencia no verifica nada: con tantos pedidos en circulación, acertar por casualidad es fácil. Compruébalo siempre por el canal oficial con tu código de seguimiento. Te toma un minuto y elimina la duda por completo.

¿Las empresas de envíos mandan SMS de verdad? Sí, algunas envían avisos de entrega o de intentos fallidos. La diferencia es que el aviso real no te pide pagar por un enlace: te remite a su app o web oficial, menciona tu código de seguimiento y no te apura con amenazas de devolución inmediata.

¿Pasa lo mismo por WhatsApp o por correo? Sí, el mismo cebo circula por WhatsApp, por correo electrónico y hasta en códigos QR impresos en stickers falsos (lo explicamos en la guía sobre quishing de nuestras situaciones). El canal cambia; la defensa no: nunca pagues desde el enlace que te llega y compruébalo tú por el canal oficial.

Si te llegó uno de estos mensajes, repórtalo en el directorio de números de NoCall: estas campañas reutilizan números durante días, y tu reporte es el aviso que verá la próxima persona antes de ingresar su tarjeta.