Llega un mensaje al móvil: un paquete a su nombre está retenido y no podrá entregarse hasta que abone una pequeña tasa. Un enlace, unos céntimos, y el asunto resuelto. Salvo que ese SMS no lo ha enviado Correos. Lo envían delincuentes que se hacen pasar por Correos para quedarse con los datos de su tarjeta.
Es una de las estafas más extendidas del momento, y funciona precisamente porque casi todos esperamos algún envío. El Ministerio del Interior registró 464.801 ciberdelitos en España en 2024, y casi nueve de cada diez fueron fraudes informáticos (estafas); 148.292 personas resultaron perjudicadas por estafas con tarjetas de crédito o débito y cheques de viaje (Ministerio del Interior, Informe sobre la Cibercriminalidad en España 2024). Detrás de muchas de ellas hay un SMS tan anodino como el que acaba de recibir.
Cómo reconocer el SMS falso
El mensaje suplanta a Correos con una excusa verosímil. Casi siempre es una de estas dos: su paquete está «retenido en aduana» y hay que pagar una tasa, o «no se pudo entregar» por una dirección incompleta y hay que confirmar los datos. En ambos casos le invitan a pulsar un enlace.
Ese enlace no lleva a correos.es. Lleva a una web clonada, con la imagen y los colores de Correos, alojada en un dominio parecido pero distinto del oficial. Ahí está la trampa. Suele acompañarse de faltas de ortografía, errores de puntuación o un remitente extraño, señales que delatan que el mensaje no procede de donde dice.
El gancho: unos céntimos y la prisa del paquete
El importe que le piden es ridículo a propósito. INCIBE ha documentado mensajes que reclamaban 2,64 €, 1,79 € o incluso 0,27 €. Nadie desconfía de una cantidad tan pequeña, y esa es toda la intención: que baje la guardia y pague sin pensarlo.
A la cifra minúscula se le suma la prisa. «Último aviso», «su paquete será devuelto hoy», «tiene 24 horas». La urgencia está calculada para que actúe antes de verificar nada. Correos no comunica así.
Lo que de verdad persiguen: los datos de su tarjeta
Los céntimos son el señuelo. Lo que buscan está un paso más allá. La web falsa le pide primero sus datos personales y, a continuación, los de su tarjeta: número, caducidad, CVV y, en las variantes más agresivas, hasta el PIN.
En cuanto los introduce, deja de tratarse de un cobro de 2,64 €. Los delincuentes tienen su tarjeta completa y pueden hacer cargos por su cuenta o revenderla. El pago simbólico nunca fue el objetivo; era la llave para que usted tecleara lo que de verdad querían.
Lo que Correos no hace nunca
Conviene tenerlo claro, porque zanja la duda de raíz. Correos declara de forma expresa que nunca solicita datos personales, bancarios ni información confidencial por SMS, correo electrónico o teléfono. Tampoco pide dinero por SMS: no reclama tasas de aduana ni pagos de reenvío mediante un enlace, ni le pedirá el número de tarjeta o el PIN en una página abierta desde un mensaje.
De modo que la regla es sencilla: cualquier SMS o correo que le pida pagar una tasa o «confirmar sus datos» pulsando un enlace no es de Correos. Es un fraude por suplantación. El patrón, por cierto, es idéntico al de la suplantación de bancos por SMS, solo que aquí la marca usurpada es el servicio postal.
Qué hacer ahora
Si le acaba de llegar uno de estos mensajes, la respuesta correcta es no hacer nada de lo que le piden:
- No pulse el enlace ni introduzca datos personales, de tarjeta ni códigos.
- Verifíquelo por su cuenta. Si de verdad espera un envío, entre usted mismo a correos.es o a la app oficial y consulte el número de seguimiento en el Localizador de envíos. Nunca a través del enlace del SMS.
- Compruebe la dirección. Si la web no está exactamente en el dominio correos.es, es falsa.
- Guarde las pruebas. Haga capturas del SMS y, si llegó a abrirla, de la web. Le servirán para denunciar.
- Denuncie ante la Policía Nacional o la Guardia Civil, y reporte el mensaje a INCIBE a través de su Línea de Ayuda en Ciberseguridad, el 017, gratuita y confidencial.
Si llegó a introducir los datos de su tarjeta, llame de inmediato a su banco —por el teléfono que figura en la propia tarjeta o desde su app oficial— para que la bloqueen y detengan nuevos cargos. Es lo primero, y es urgente.
Si ya facilitó los datos de su tarjeta
No es momento de bloquearse, pero tampoco de resignarse. El tiempo juega en su contra desde el primer minuto, y cada día que pasa resta margen de maniobra. Lo prudente es ponerse cuanto antes en manos de un abogado que conozca este tipo de fraude, con las capturas y los datos del cargo a mano.
Y sobre la pregunta que seguramente le ronda —si esos cargos se pueden recuperar—, la normativa de servicios de pago cubre también las operaciones no autorizadas con tarjeta: lo explicamos en ¿tiene el banco que devolverme el dinero tras un phishing?.
En Perseus & RC Abogados llevamos delitos informáticos de este tipo con regularidad. Si ha caído en uno de estos SMS, hable con nosotros sin esperar a ver qué ocurre.
Preguntas frecuentes
¿Cómo sé si el SMS es de Correos o una suplantación?
Correos no pide pagos ni datos de tarjeta por SMS con enlace. Si el mensaje le reclama abonar una tasa o «confirmar datos» pulsando un enlace, es fraude. Ante la duda, no toque el enlace: entre usted mismo a correos.es o a la app oficial y consulte el número de seguimiento.
¿Es normal que Correos cobre una tasa de aduana por SMS?
No. Correos no reclama pagos de tasas ni de reentrega mediante un SMS con enlace. Cualquier mensaje que lo haga es una suplantación, por muy pequeña que sea la cantidad. El importe minúsculo es precisamente el gancho.
Pagué los «céntimos» e introduje los datos de mi tarjeta, ¿qué hago?
No lo dé por perdido. Bloquee cuanto antes la tarjeta con su banco por su número oficial, guarde las capturas y póngase sin demora en manos de un abogado especializado. El tiempo corre desde el primer momento, así que lo sensato es asesorarse ya.
¿Sirve de algo denunciar?
Sí. La denuncia deja constancia de los hechos y ayuda a la investigación, y las capturas del SMS y de la web falsa son pruebas útiles. Antes de dar nada por cerrado, conviene que un abogado revise su caso.