SMS de paquete retenido: cómo detectar la estafa y qué hacer
El SMS de paquete retenido es una estafa que suplanta a Correos y otras empresas de paquetería. Cómo detectarlo y qué hacer si ya has metido tu tarjeta.
El SMS de paquete retenido es una estafa de smishing: un mensaje que se hace pasar por Correos u otra empresa de mensajería, dice que tu envío está parado por unas tasas de aduana o por un fallo en la dirección y te pide pulsar un enlace. Ese enlace lleva a una web falsa que roba los datos de tu tarjeta. Si recibes uno, no pulses: bórralo y, si esperas algo, consulta el envío en la web o la app oficial escribiendo tú la dirección.
Cómo son estos mensajes
INCIBE ha publicado varios avisos sobre esta campaña, que cambia el texto pero no el método. Ejemplos reales recogidos por INCIBE:
- Un paquete que «no se ha podido entregar» porque no se han pagado unas tasas de aduana de 2,64 €.
- Una entrega «suspendida» porque falta un número de calle, con un enlace para «actualizar» la dirección.
- Importes que varían entre 1,79 €, 2,39 € y 2,64 €, siempre por debajo de 3 €, a veces con referencias a supuestos «cargos de gestión AEAT».
El mismo engaño se ha usado suplantando a Correos Express, SEUR o DHL, y también llega por correo electrónico. El remitente suele ser un número de teléfono que no tiene nada que ver con la empresa.
Qué ocurre si pulsas el enlace
INCIBE describe el recorrido de la web falsa en su aviso de junio de 2024:
- Una página que imita a la de Correos te pide tus datos personales y tu dirección.
- Después te pide los datos de la tarjeta para un pago mínimo, por ejemplo de 0,27 €.
- Por último te pide un código que llega por SMS. Con ese código los delincuentes autorizan cargos en tu cuenta.
- Al final aparece una confirmación falsa o te redirige a la web real de Correos para que no sospeches.
El importe pequeño es el anzuelo: nadie se lo piensa mucho por dos euros. Lo que buscan es la tarjeta completa y el código de verificación.
Cómo detectarlo en 30 segundos
| Pregunta | Si la respuesta es sí, desconfía |
|---|---|
| ¿Te piden pagar una cantidad pequeña con un enlace? | Es el patrón clásico de esta estafa |
| ¿El enlace no lleva al dominio oficial de la empresa? | Es una web falsa |
| ¿No esperabas ningún paquete, o no de ese transportista? | No hay motivo para el mensaje |
| ¿Hay prisa, amenazas de devolución o faltas de ortografía? | Presión para que no compruebes nada |
| ¿El remitente es un número de móvil normal? | Las empresas no suelen escribir desde móviles particulares |
Un apunte sobre el remitente. Desde el 7 de junio de 2026, los operadores deben bloquear los SMS enviados con un nombre de remitente (un «alias», como el de una marca) que no esté inscrito en el Registro de alias de la CNMC. Ayuda, pero no lo resuelve todo: la medida se refiere a los alias, así que un SMS desde un número normal puede seguir llegando.
La comprobación definitiva es no usar nunca el enlace. Si de verdad esperas un envío, abre tú la web o la app oficial del transportista o de la tienda donde compraste y busca el número de seguimiento que te dieron al hacer el pedido. Si un paquete real tiene algo pendiente, aparecerá ahí. INCIBE recomienda contrastar siempre estas notificaciones con una fuente oficial.
Qué hacer según lo que hayas hecho
No has pulsado el enlace
Bloquea el número, márcalo como spam y borra el mensaje. No respondas ni lo reenvíes.
Has pulsado, pero no has escrito ningún dato
Según INCIBE, basta con borrar el SMS. Si llegaste a descargar algo en el móvil, analízalo con un antivirus.
Has metido tus datos o los de la tarjeta
Actúa en este orden:
- Llama a tu banco ya. Pide que bloqueen la tarjeta, revisa los últimos movimientos y pregunta si tiene alguna opción antifraude.
- Guarda pruebas: captura del SMS con el número remitente, de la web falsa (con la dirección visible) y de cualquier cargo.
- Llama al 017, la Línea de Ayuda en Ciberseguridad de INCIBE: gratuita, confidencial y disponible todos los días de 8:00 a 23:00. También por WhatsApp en el 900 116 117.
- Presenta denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica, con las pruebas. Te explicamos cómo en cómo denunciar una página web estafa.
- Vigila tu información en los meses siguientes: INCIBE aconseja revisar qué aparece sobre ti en internet, porque tus datos personales pueden usarse en otros fraudes.
Qué dice la ley sobre los cargos que no has autorizado
El Real Decreto-ley 19/2018, de servicios de pago, establece que:
- Debes comunicar al banco la operación no autorizada sin demora injustificada y, como máximo, en 13 meses desde el cargo (artículo 43).
- Si la operación no fue autorizada, el banco debe devolverte el importe como muy tarde al final del día hábil siguiente, salvo que tenga motivos razonables para sospechar fraude y se lo comunique por escrito al Banco de España (artículo 45).
- El cliente asume todas las pérdidas si actuó de forma fraudulenta o con negligencia grave en la custodia de sus credenciales (artículo 46).
Esto último es importante en el smishing: si escribiste tú el código que te llegó por SMS, el banco puede alegar negligencia. No te desanimes por eso: reclama por escrito, adjunta la denuncia y, si el banco te da una respuesta negativa, puedes acudir al Servicio de Reclamaciones del Banco de España. Tienes una plantilla en cómo devolver un cargo de tarjeta de una compra online.
Texto que puedes usar con tu banco:
El día [fecha] recibí un SMS que suplantaba a una empresa de paquetería e introduje los datos de mi tarjeta terminada en [cuatro cifras] en una web fraudulenta. No reconozco los cargos de [importe] del [fecha]. Solicito el bloqueo de la tarjeta y la devolución de esas operaciones no autorizadas conforme a los artículos 43 y 45 del Real Decreto-ley 19/2018. Adjunto denuncia y capturas.
Si el paquete que esperas es real y no llega
Que el SMS sea falso no quiere decir que tu pedido esté bien. Si compraste algo y no aparece, reclama a la tienda: el riesgo de pérdida no pasa a ti hasta que recibes el paquete, salvo que hayas elegido tú el transporte, y si no se pactó otra fecha tiene un máximo de 30 días naturales desde la compra para entregarlo (artículos 66 bis y 66 ter del texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios). Lo explicamos en paquete que no llega: qué hacer.
Si dudas de la tienda donde hiciste el pedido, consulta nuestros informes o pídenos que la revisemos.
Fuentes
- INCIBE: Correos no está enviando mensajes para comunicarte que existe una incidencia con tu paquete
- INCIBE: campañas de smishing que suplantan la identidad de Correos
- INCIBE: Línea de Ayuda en Ciberseguridad 017
- CNMC: Registro de alias contra la mensajería fraudulenta
- Real Decreto-ley 19/2018, de servicios de pago (BOE)
- Texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios (BOE)
Tiendas mencionadas
Preguntas frecuentes
¿Correos envía SMS para pagar tasas de aduana?
INCIBE ha alertado en repetidas ocasiones de SMS falsos que suplantan a Correos y piden pagar pequeñas tasas de aduana o actualizar la dirección. Si esperas un envío, consulta su estado en la web o la app oficial escribiendo tú la dirección, nunca desde el enlace del SMS.
¿Qué pasa si solo he pulsado el enlace del SMS?
Según INCIBE, si pulsaste pero no introdujiste ningún dato, basta con borrar el mensaje. El riesgo aparece cuando escribes tus datos personales o los de la tarjeta en la web falsa.
He metido los datos de mi tarjeta en un SMS falso, ¿qué hago?
Llama a tu banco para bloquear la tarjeta y revisar los movimientos, guarda capturas del SMS y de la web, llama al 017 de INCIBE y presenta denuncia ante la policía.
¿Me devolverá el banco el dinero?
La ley obliga al banco a devolver las operaciones no autorizadas, salvo que demuestre fraude o negligencia grave del cliente. Comunícalo cuanto antes; el plazo máximo es de 13 meses desde el cargo.
Busca su informe o pídenos que la revisemos.