¿SMS falso de Correos sobre un paquete? Claves para no caer en la estafa de las aduanas

Recibir un mensaje urgente sobre un paquete retenido puede ponerte en alerta, sobre todo si estás esperando una compra online. El problema es que esa sensación de urgencia es justo lo que aprovechan las campañas de phishing y smishing que suplantan a Correos o a empresas de mensajería.

El gancho suele ser muy parecido: un SMS dice que tu entrega no se ha podido completar, que falta confirmar la dirección o que tienes unas tasas de aduana pendientes de apenas uno o dos euros. Parece poco dinero, el enlace aparenta ser oficial y el mensaje llega en el momento perfecto para que bajes la guardia.

En este artículo te explico cómo detectar un sms falso de correos paquete, qué señales lo delatan y qué hacer si ya has hecho clic o has introducido los datos de tu tarjeta.

¿Cómo funciona la estafa del SMS falso de Correos?

La estafa empieza con un SMS, un mensaje de WhatsApp o incluso un correo electrónico que aparenta venir de Correos, Correos Express u otra empresa de transporte. El texto suele incluir una excusa urgente:

• “Su paquete está retenido por tasas de aduana”.
• “No se pudo entregar el paquete por dirección incompleta”.
• “Debe abonar 1,99 € para reprogramar la entrega”.
• “Confirme sus datos para recibir el envío”.

El objetivo no es que pagues solo esa pequeña cantidad. El objetivo real es llevarte a una web falsa donde introduces tus datos personales y bancarios pensando que estás resolviendo un trámite legítimo.

Esa web puede estar muy bien clonada: logos, colores corporativos, formularios y textos que imitan a la página oficial. Pero el dominio no pertenece a Correos y el formulario está diseñado para capturar tu información.

Por eso esta modalidad se conoce como smishing: phishing realizado a través de SMS. La mecánica es simple, pero muy efectiva porque mezcla tres factores: prisa, miedo a perder el paquete y una cantidad aparentemente insignificante.

Las 3 señales definitivas para detectar que el mensaje es un fraude

No hace falta ser experto en ciberseguridad para detectar la mayoría de estos fraudes. Hay tres señales que conviene revisar siempre antes de tocar cualquier enlace.

1. La URL no pertenece al dominio oficial

Esta es la pista más importante. Un SMS fraudulento puede mostrar el nombre de Correos, pero el enlace suele apuntar a dominios extraños, acortadores o direcciones que solo se parecen visualmente a la oficial.

Desconfía de enlaces con palabras añadidas, guiones raros, dominios terminados en extensiones poco habituales o combinaciones como “correos-aduanas”, “correos-entrega”, “paquete-correos” o similares.

La forma segura de comprobar un envío no es pulsar el enlace del SMS, sino entrar manualmente en la web oficial de Correos desde el navegador o usar su aplicación oficial. Si tienes un número de seguimiento real, introdúcelo allí.

2. El mensaje crea urgencia y no está personalizado

Los mensajes falsos suelen presionarte: “último aviso”, “entrega suspendida”, “paquete retenido”, “pago pendiente” o “confirme ahora”. Esa urgencia está pensada para que actúes antes de pensar.

Además, muchos SMS no incluyen datos concretos del envío, del remitente o de la compra. Hablan de “su paquete” de forma genérica y te mandan directamente a pagar o actualizar datos.

Si realmente hay una incidencia con un envío, deberías poder verificarla por canales oficiales sin depender del enlace recibido.

3. Te piden datos bancarios por una tasa mínima

La llamada estafa de los dos euros de Correos funciona precisamente porque la cantidad parece tan pequeña que no asusta. El problema es que la web falsa no busca cobrarte dos euros: busca capturar el número de tarjeta, la fecha de caducidad, el CVV y, en algunos casos, códigos de verificación.

Si un SMS de Correos pide tasas pendientes, tasas de aduana o un pago urgente a través de un enlace recibido por mensaje, trátalo como sospechoso hasta comprobarlo por una vía oficial.

Qué pasa si haces clic en el enlace del SMS pendiente de entrega

Hacer clic no siempre significa que te hayan robado los datos, pero sí aumenta el riesgo. Depende de lo que hayas hecho después.

Si solo has abierto la página y la has cerrado sin introducir información, lo más probable es que no haya pasado nada grave. Aun así, conviene no volver a abrir el enlace, borrar el mensaje y pasar una revisión básica del dispositivo si notas comportamientos extraños.

El problema empieza cuando introduces información personal, dirección, teléfono, correo electrónico o datos bancarios. Esa información puede usarse para:

• Intentar cargos con tu tarjeta.
• Preparar nuevas estafas más personalizadas.
• Suplantar tu identidad en otros servicios.
• Enviarte mensajes posteriores que parezcan más creíbles.

También debes tener cuidado si la página te ha pedido descargar una aplicación o instalar un archivo. Correos no debería pedirte instalar una app desconocida desde un enlace de SMS para liberar un paquete.

Para reducir riesgos en el móvil, ayuda tener hábitos básicos: mantener el sistema actualizado, revisar permisos de aplicaciones y usar herramientas de protección sencillas como un gestor de contraseñas familiar para no reutilizar claves entre servicios.

He metido mis datos bancarios en la web falsa: ¿Qué hago ahora?

Si has introducido los datos de la tarjeta en una web sospechosa, actúa rápido. No esperes a ver si aparece un cargo.

1. Contacta con tu banco inmediatamente

Llama al teléfono oficial de tu banco o entra en su aplicación escribiendo la dirección manualmente. Explica que has introducido la tarjeta en una posible web fraudulenta y pide bloquearla o limitar operaciones online.

Si tu banco permite apagar temporalmente la tarjeta desde la app, hazlo cuanto antes mientras contactas con soporte.

2. Revisa movimientos y activa alertas

Comprueba cargos recientes, pagos retenidos y suscripciones desconocidas. Activa notificaciones de operaciones para detectar cualquier movimiento al instante.

No te fijes solo en cargos grandes. Algunos delincuentes prueban primero importes pequeños para verificar que la tarjeta funciona.

3. Cambia contraseñas si reutilizaste datos

Si en la web falsa introdujiste correo, teléfono o una contraseña que usas en otros servicios, cambia esa contraseña allí donde la hayas reutilizado. Lo ideal es que cada servicio tenga una clave distinta.

{"kind":"rich_text","segments":[{"type":"text","text":"Un "},{"type":"link","text":"gestor de contraseñas para familias","href":"https://www.amazon.es/s?k=gestor+de+contrase%C3%B1as+para+familias+libro+seguridad+digital&tag=aturitmodigit-21","rel":"sponsored noopener noreferrer","target":"_blank","affiliate":true,"source":"amazon_affiliate_opportunity_autolink"},{"type":"text","text":" puede ayudarte a crear claves únicas y guardarlas sin depender de notas o capturas de pantalla."}]}

4. Guarda pruebas y denuncia

Conserva capturas del SMS, número emisor, enlace, fecha y cualquier cargo relacionado. Puedes reportar el fraude a las autoridades competentes y a los canales de ayuda en ciberseguridad disponibles en España.

No reenvíes el enlace a otras personas salvo que sea para denunciarlo por un canal oficial. Si necesitas compartirlo con alguien de confianza, avisa claramente de que no debe abrirlo.

Cómo verificar de forma segura el estado real de tus envíos

La regla de oro es sencilla: no gestiones paquetes desde enlaces recibidos por SMS cuando te pidan dinero o datos sensibles.

Haz esto en su lugar:

• Entra manualmente en la web oficial de Correos o de la empresa de transporte.
• Usa la app oficial instalada desde Google Play o App Store.
• Introduce el número de seguimiento que te dio la tienda donde compraste.
• Revisa el correo de confirmación original de la compra.
• Contacta con la tienda si no encuentras información fiable del envío.

Si el mensaje habla de aduanas, recuerda que los trámites reales deben poder comprobarse por canales oficiales. No te fíes de un enlace que llega sin contexto, con urgencia y pidiendo un pago inmediato.

Ejemplos de frases sospechosas en estos SMS

Aunque los textos cambian constantemente, suelen repetir patrones como estos:

• “Correos: su paquete está retenido por tasas pendientes”.
• “Entrega fallida. Actualice su dirección para recibir el paquete”.
• “Debe pagar 1,99 € para liberar su envío”.
• “Último aviso antes de devolver el paquete”.
• “Confirme sus datos de entrega en el siguiente enlace”.

Ninguna frase por sí sola prueba al cien por cien que sea fraude, pero si aparece junto a un enlace extraño y una petición de pago, la probabilidad de estafa es muy alta.

Qué hacer para no volver a caer

Estas medidas reducen mucho el riesgo en el día a día:

• No pulses enlaces de SMS que pidan pagos, datos bancarios o contraseñas.
• Verifica siempre el dominio antes de introducir información.
• Guarda la página oficial de tus empresas de mensajería en favoritos.
• Activa avisos de pago en la app del banco.
• Usa tarjetas virtuales o límites bajos para compras online cuando tu banco lo permita.
• No reutilices contraseñas entre tiendas, correo y banca.
• Mantén el móvil actualizado y evita instalar APK o perfiles desde enlaces recibidos.

{"kind":"rich_text","segments":[{"type":"text","text":"También puedes reforzar tu rutina con medidas físicas y digitales sencillas. Por ejemplo, una "},{"type":"link","text":"funda RFID para tarjetas","href":"https://www.amazon.es/s?k=funda+RFID+para+tarjetas&tag=aturitmodigit-21","rel":"sponsored noopener noreferrer","target":"_blank","affiliate":true,"source":"amazon_affiliate_opportunity_autolink"},{"type":"text","text":" puede proteger frente a lecturas no autorizadas en contextos presenciales, una trituradora de papel para documentos ayuda a evitar que datos personales acaben expuestos, y un bloqueador de datos USB reduce riesgos cuando cargas el móvil en puertos públicos."}]}

Conclusión: si un SMS de Correos te pide pagar, verifica antes de tocar nada

Un fraude correos paquete retenido funciona porque parece cotidiano: todos compramos online, todos esperamos entregas y todos queremos resolver rápido una incidencia. Pero precisamente por eso hay que frenar un momento.

Si recibes un SMS de Correos por tasas de aduana, dirección incompleta o entrega fallida, no pulses el enlace. Entra por tu cuenta en la web oficial, comprueba el seguimiento y, si ya has metido datos bancarios, bloquea la tarjeta y avisa al banco cuanto antes.

La mejor defensa contra este tipo de smishing no es memorizar todos los mensajes falsos posibles, sino aplicar siempre la misma regla: enlace urgente más pago pequeño más dominio raro igual a señal de alarma.

{"label":"Aviso de afiliación","text":"Este artículo puede incluir enlaces de afiliado de Amazon. Si compras desde ellos, puedo recibir una comisión sin coste adicional para ti."}