"Tu paquete no ha podido ser entregado. Programa una nueva entrega aquí". Si has recibido un SMS como este, no estás solo. Los mensajes falsos de paquetería se han convertido en una de las estafas más comunes en España.
Se llama smishing (SMS + phishing) y funciona porque todos esperamos paquetes. En esta guía te enseño a distinguir un SMS real de Correos de uno fraudulento.
Que es el smishing de paquetería
El smishing es un tipo de estafa que utiliza mensajes de texto para engañarte. Los ciberdelincuentes se hacen pasar por empresas de paquetería (Correos, DHL, SEUR, UPS, FedEx, Amazon) para robarte datos o dinero.
Por qué funciona tan bien
- Volumen de compras online: En España se realizan millones de pedidos diarios
- Expectativa: Casi siempre estamos esperando algún paquete
- Urgencia: Los mensajes crean sensación de que debes actuar rápido
- Confianza: Las empresas de paquetería son conocidas y confiables
- Pequeñas cantidades: Piden 1-3 euros, "no merece la pena desconfiar"
Según datos del INCIBE, las estafas de smishing de paquetería aumentaron un 400% entre 2023 y 2025. A menudo, estos SMS piden un pago pequeño por Bizum o tarjeta. Conoce también las estafas de Bizum para estar protegido.
Ejemplos reales de SMS falsos
SMS falso de Correos
"CORREOS: Su paquete no pudo ser entregado. Confirme sus datos para programar nueva entrega: https://correos.envio-es.com"
Por que es falso:
- El dominio es envio-es.com, no correos.es
- Correos no pide "confirmar datos" por SMS
- No menciona numero de envio ni remitente
SMS falso de DHL
"DHL: Paquete retenido en aduana. Pague 2,99 EUR de tasas para liberarlo: https://dhl-aduanas.es/pago"
Por que es falso:
- El dominio es dhl-aduanas.es, no dhl.es
- DHL no cobra tasas de aduana por SMS
- Las tasas reales se pagan en el momento de entrega o en la web oficial
SMS falso de SEUR
"SEUR: Entrega fallida. Reprograme su envio pagando 1,50EUR de gestion: bit.ly/seur2024"
Por que es falso:
- Usa un enlace acortado (bit.ly)
- SEUR no cobra por reprogramar entregas
- El dominio real de SEUR es seur.com
SMS falso de Amazon
"Amazon: Tu paquete ha sido devuelto al almacén. Actualiza tu direccion: amzn-envios.com/update"
Por que es falso:
- El dominio es amzn-envios.com, no amazon.es
- Amazon no envia SMS para actualizar direcciones
- Las notificaciones legítimas llegan por la app o email
SMS falso de UPS/FedEx
"UPS: Paquete pendiente de pago de 3,40 EUR por gastos de aduana. Complete el pago: ups-spain.delivery"
Por que es falso:
- El dominio no es el oficial (ups.com)
- UPS no envia SMS para cobrar aduanas
- Los gastos de aduana se pagan al recibir el paquete
Cómo funciona la estafa paso a paso
Fase 1: Recibes el SMS
Llega un mensaje que parece urgente. Menciona un paquete retenido, una entrega fallida o tasas pendientes.
Fase 2: Haces clic en el enlace
Te lleva a una web que imita a la empresa de paquetería. Logos, colores, diseño... todo parece real.
Fase 3: Te piden datos o dinero
Dependiendo de la variante:
Variante A - Robo de datos:
- Te piden nombre, dirección, teléfono
- Solicitan datos de tarjeta "para verificar identidad"
- Con esos datos pueden hacer compras o suplantarte
Variante B - Cobro fraudulento:
- Te piden 1-3 euros por "gastos de gestión" o "aduanas"
- Al introducir tu tarjeta, te cobran eso... y luego hacen cargos mayores
- O suscriben tu tarjeta a servicios de pago recurrente
Variante C - Instalación de malware:
- Te piden descargar una "app de seguimiento"
- Esa app es malware que espía tu movil
- Puede robar credenciales bancarias, SMS, contactos
Señales para detectar un SMS falso de paquetería
1. Remitente genérico o número desconocido
Los SMS legítimos de Correos aparecen como "Correos" o "CORREOS", no como números de teléfono aleatorios. Aun así, los estafadores pueden falsificar el remitente.
2. No menciona datos específicos de tu envío
Un SMS real incluiría:
- Número de seguimiento
- Nombre del remitente o tienda
- Última ubicación del paquete
Un SMS falso es genérico: "tu paquete", "su envío", sin detalles.
3. Te pide hacer clic en un enlace externo
Las empresas de paquetería legítimas te piden que:
- Entré en su web oficial (escribiéndola tu)
- Uses su app oficial
- Llames a su teléfono de atención al cliente
Nunca te envían enlaces directos para "reprogramar" o "pagar". Si recibes un enlace sospechoso, aprende a verificar si es seguro antes de hacer clic.
4. Solicita un pago pequeño e inmediato
Las tasas de aduana reales:
- Se pagan al recibir el paquete (contrareembolso)
- Se gestionan por la web oficial con tu numero de envio
- Suelen ser mayores de 3 euros
Si te piden 1-3 euros por SMS, es estafa.
5. Crea urgencia artificial
Frases como:
- "Tienes 24 horas para..."
- "Último aviso antes de devolución"
- "Paquete será destruido si no..."
Las empresas reales dan plazos razonables y múltiples avisos.
Qué hacer si recibes un SMS sospechoso
Paso 1: No hagas clic
Por mucho que te pique la curiosidad, no pulses el enlace. Ni siquiera "para ver que pasa".
Paso 2: Verifica por tu cuenta
- Revisa tus pedidos recientes: ¿Esperas algún paquete?
- Entra en la web oficial: Escribe tu mismo correos.es, dhl.es, etc.
- Usa la app oficial: Alli veras el estado real de tus envíos
- Llama al teléfono de atención: Pregunta si tienen algún envío pendiente a tu nombre
Paso 3: Reporta el SMS
- Reenvia el SMS al 638 444 542 (número de reporte de INCIBE)
- Bloquea el numero en tu teléfono
- Reporta como spam en tu app de mensajes
Paso 4: Borra el mensaje
Una vez reportado, elimina el SMS para no hacer clic por error en el futuro.
Qué hacer si ya caiste en la trampa
Si solo hiciste clic (sin dar datos)
- Cierra la pagina inmediatamente
- Borra historial y cookies del navegador
- Ejecuta un análisis con tu antivirus
- Monitoriza tus cuentas los próximos días
Si introdujiste datos personales
- Cambia contraseñas de cuentas importantes
- Activa alertas en tus cuentas bancarias
- Vigila tu buzón por si suplantan tu identidad
- Denuncia en INCIBE 017
Si introdujiste datos de tarjeta
- Llama a tu banco inmediatamente
- Bloquea la tarjeta usada
- Revisa movimientos de los últimos días
- Solicita nueva tarjeta con numeración diferente
- Denuncia a la Policía Nacional o Guardia Civil
Si descargaste una app
- Desinstala la app inmediatamente
- Revisa permisos concedidos a otras apps
- Cambia contraseñas desde otro dispositivo
- Considera restaurar el móvil a valores de fabrica
- Informa a tu banco si la app tuvo acceso a tus credenciales
Canales oficiales de las empresas de paquetería
Preguntas frecuentes
¿Correos realmente envía SMS?
Si, Correos puede enviar SMS legítimos, pero siempre:
- Desde el remitente "Correos" (no un numero)
- Con tu numero de envío incluido
- Sin pedir que hagas clic en enlaces externos
- Sin solicitar pagos por SMS
¿Cómo son las tasas de aduana reales?
Las tasas de aduana legitimas se pagan:
- Al recibir el paquete (el repartidor te cobra)
- En la oficina de Correos con tu aviso de llegada
- En la web oficial introduciendo tu numero de envío
- Nunca por un enlace de SMS
¿Por qué me llegan estos SMS si no compro online?
Los estafadores envían millones de SMS al azar. No saben si esperas un paquete o no. Juegan con la probabilidad de que alguien si lo este esperando.
Puedo denunciar el número que me envió el SMS?
Si, pero ten en cuenta que los números suelen ser falsificados o de prepago desechables. Aun asi, reportar ayuda a las autoridades a rastrear patrones y actuar contra las redes organizadas.
Protégete con BeValk
Si recibes un SMS sospechoso y no sabes si es real, BeValk puede ayudarte:
- Copia el enlace del SMS (sin abrirlo)
- Pegalo en BeValk para analizarlo
- Recibe un veredicto instantáneo: seguro o peligroso
También puedes preguntarle a MarIA, nuestra asistente de ciberseguridad: "Me ha llegado este SMS de Correos, es real?" y te ayudará a verificarlo.
Descarga para iOS y Android y protégete del smishing de paquetería.
Última actualización: febrero 2026