Hay estafas que desaparecen al cabo de seis meses. La del paquete, en cambio, se mantiene desde 2020 y no da señales de agotamiento. Cada año, los servicios de Cybermalveillance.gouv.fr la sitúan entre los motivos de consulta más frecuentes del público general, y la plataforma 33700 sigue recibiendo decenas de miles de denuncias mensuales solo sobre este tema.
Su longevidad no tiene nada de casual. Se apoya en una combinación casi perfecta: un contexto creíble (todos recibimos paquetes), una cantidad irrisoria (menos de tres euros, por tanto poco sospechosa), una urgencia artificial («en 48 horas») y una marca de confianza usurpada. Comprender su funcionamiento interno, paso a paso, sigue siendo la mejor vacuna.
Por qué el paquete y no otra cosa
Los estafadores trabajan con tasas de conversión. Un escenario solo les interesa si conecta con una amplia parte de la población justo en el momento en que llega el mensaje.
El paquete cumple todos los requisitos:
- La frecuencia. Según la Fevad (Fédération du e-commerce et de la vente à distance), los franceses han pedido varios miles de millones de paquetes en los últimos años. En un momento dado, una proporción considerable de la población está esperando efectivamente una entrega. El mensaje cae, por tanto, «en el momento justo» sin que el estafador tenga la menor información sobre usted.
- La banalidad del remitente. Chronopost, Colissimo, DHL, UPS, Mondial Relay, Vinted: nombres que vemos pasar sin pensar. La marca no dispara ninguna alerta.
- Lo bajo del importe. Reclamar 1,99 € o 2,99 € desactiva la desconfianza. Nadie piensa «me están intentando robar». Uno piensa «otra vez gastos, qué fastidio».
- La estacionalidad. El volumen se dispara durante las rebajas, el Black Friday, las fiestas navideñas y —una época que a menudo se olvida— la vuelta al cole, cuando repuntan las compras escolares e informáticas.
Añada el cansancio del final del día y una pantalla de smartphone consultada con una sola mano en el metro, y el margen de error se vuelve enorme.
Anatomía de un mensaje trampa
Tomemos un ejemplo típico, reconstruido a partir de denuncias públicas:
Colissimo: su paquete no ha podido ser entregado, dirección incompleta. Le rogamos abone los gastos de reexpedición (1,95 €) antes del 24/08: colissimo-suivi-fr[.]net/xk9
En él se apilan cuatro ingredientes.
1. Un remitente creíble. A veces aparece con un nombre alfanumérico («COLISSIMO»), a veces con un número de móvil de diez cifras. El primer caso suele ser spoofing de remitente; el segundo, una tarjeta SIM prepago desechable. En ambos casos, lo que aparece en su pantalla nunca es una prueba de identidad.
2. Un problema que le pone en falta. «Dirección incompleta», «paquete en espera», «pago rechazado». La formulación le atribuye sutilmente la responsabilidad: es usted quien debe corregir y, por tanto, quien debe actuar.
3. Un plazo corto. De dos a cuatro días. Suficiente para parecer razonable, demasiado breve para dejarle comprobarlo con calma al día siguiente.
4. Un enlace disfrazado. El nombre de dominio se parece al del transportista pero siempre se desvía: un guion añadido, una extensión exótica (.net, .top, .icu, .cc), un subdominio engañoso del tipo laposte.suivi-colis.xyz. Recordatorio útil: en una dirección web, lo que cuenta es lo que precede inmediatamente a la primera /, leído de derecha a izquierda.
Qué ocurre después del clic
La página de destino suele ser una copia muy cuidada del sitio del transportista. El formulario pide su nombre, su dirección, su número de teléfono y, después, la tarjeta bancaria para «abonar» los famosos dos euros.
Los dos euros no son el botín. Sirven de prueba: la transacción confirma que la tarjeta está activa y que usted está dispuesto a validar. El verdadero objetivo es doble.
- Reunir un conjunto de datos vendible: nombre, dirección postal, número de móvil, número de tarjeta, fecha de caducidad, código de seguridad. Ese bloque se revende tal cual.
- Desencadenar una segunda oleada. Unos días más tarde, un «asesor antifraude de su banco» le llama, cita su nombre, su banco y su última operación —la de 1,95 €— para hacerle validar pagos o «poner sus fondos a salvo». Es la fase en la que las pérdidas se cuentan por miles de euros. La Banque de France y la DGCCRF alertan con regularidad sobre este encadenamiento, a veces llamado faux conseiller bancaire (falso asesor bancario).
Dicho de otro modo: el SMS del paquete no es la estafa. Es la puerta de entrada.
Las variantes que circulan en 2026
El escenario básico se ha diversificado. Estas son las principales versiones observadas:
| Variante | Pretexto | Señal de alerta |
|---|---|---|
| Gastos de aduana | Paquete de fuera de la UE retenido en aduana | La aduana nunca reclama un pago por SMS con enlace |
| Reexpedición | Dirección incompleta o inexistente | Un transportista deja un aviso de paso, no un enlace de pago |
| Taquilla de recogida | «Código de recogida caducado, regenérelo» | Ningún código se regenera a cambio de un pago |
| Aplicación que instalar | «Siga su paquete con nuestra app» mediante un archivo ajeno a las tiendas oficiales | Instalación fuera de la App Store / Google Play = peligro |
| Reembolso | «Su paquete se ha perdido, reclame su reembolso» | Un reembolso nunca pide el código de seguridad |
La variante «aplicación» es la más peligrosa en Android: el archivo propuesto instala un software malicioso capaz de leer sus SMS entrantes y, por tanto, de interceptar los códigos de validación bancaria. En iPhone, el ataque pasa más bien por una página web que imita la pantalla de identificación.
Un detalle que muchos desconocen: los verdaderos gastos de aduana se abonan al transportista en el momento de la entrega del paquete, o se pagan desde el área de cliente oficial del transportista, nunca a través de un enlace recibido por mensaje. Las normas aplicables las publica la Direction générale des douanes et droits indirects, que recuerda en su web que jamás solicita pagos por SMS.
Siete comprobaciones que llevan treinta segundos
Ante un mensaje de este tipo, la idea no es convertirse en experto en ciberseguridad, sino instalar unos cuantos reflejos mecánicos.
- ¿Está esperando realmente un paquete? Si no, la cuestión está zanjada. Y si sí, recuerde: un transportista legítimo conoce su dirección, puesto que el vendedor se la ha facilitado.
- No haga clic. Escriba usted mismo. Abra por su cuenta la web del transportista, o la aplicación oficial, y pegue su número de seguimiento. El seguimiento real siempre es accesible sin enlace.
- Lea el nombre de dominio en voz baja.
chronopost.fr, sí.chronopost-livraison-fr.top, no. - Compruebe el número de seguimiento. Un número real de Colissimo sigue un formato concreto (dos letras, nueve cifras y dos letras en el caso internacional, por ejemplo). Los mensajes falsos a menudo omiten uno o dan uno incoherente.
- Desconfíe del importe ridículo. Cuanto más baja es la cantidad, más hay que preguntarse por qué se la reclaman por mensaje en lugar de en la web.
- Fíjese en el lenguaje. Tildes ausentes, signos de puntuación mal colocados, mayúsculas en mitad de una frase, giros que huelen a traducción automática: estos indicios escasean cada vez más con las herramientas de redacción automática, pero siguen existiendo.
- Consulte un buscador. Copiar una frase del mensaje entre comillas suele bastar para que aparezcan decenas de testimonios idénticos.
Reducir la superficie de exposición desde el principio
No se puede impedir que los mensajes lleguen, pero sí limitar los daños y el número de intentos.
Compartimente sus compras en línea. Una tarjeta bancaria virtual de un solo uso, que ofrecen la mayoría de los bancos, hace que la filtración de un número no tenga consecuencias. Algunos prefieren una tarjeta prepago recargable dedicada a las compras en sitios poco conocidos: el límite reduce mecánicamente el perjuicio.
Use una dirección de correo secundaria para los pedidos. Absorberá las filtraciones de bases de clientes, frecuentes en los pequeños comercios electrónicos.
Proteja el propio dispositivo. Un smartphone con la pantalla agrietada se lee mal, y una pantalla poco legible favorece los errores al leer una dirección web. Un simple protector de vidrio templado y una funda antigolpes alargan la vida del aparato y, de forma indirecta, la calidad de su vigilancia. En la misma línea, un teléfono cuya batería aguante todo el día evita las consultas apresuradas en modo de ahorro de energía; una batería externa compacta tiene más efectos protectores de lo que se imagina, aunque solo sea porque le da tiempo a llamar a su banco.
Active los filtros nativos. Tanto Android como iOS ofrecen una clasificación de los mensajes de remitentes desconocidos y una denuncia con un solo gesto. En iPhone: Ajustes → Mensajes → Filtrar remitentes desconocidos. En Android, la aplicación Mensajes de Google incorpora una detección de spam activable en los ajustes de protección.
Forme a su entorno. Las personas menos cómodas con lo digital están sobrerrepresentadas entre las víctimas. Un teléfono para mayores con teclas grandes, con una interfaz depurada, reduce el riesgo de clic accidental en un enlace. Y para quienes quieran profundizar, una guía práctica de ciberseguridad para principiantes suele hacer más efecto que una explicación oral repetida diez veces.
Ha hecho clic y ha pagado: qué hacer
El tiempo importa mucho más que la vergüenza. Este es el orden de las operaciones.
En la primera hora
- Contacte con su banco (número de bloqueo que figura al dorso de su tarjeta, o servicio interbancario de urgencia en el 0 892 705 705) y bloquee la tarjeta.
- Cambie la contraseña de la cuenta de correo asociada y después la de su banca en línea, desde otro dispositivo si es posible.
- Si ha instalado una aplicación fuera de las tiendas oficiales, corte los datos móviles y desinstálela; en caso de duda, un restablecimiento de fábrica sigue siendo la única garantía.
En las 48 horas siguientes
- Denuncie el mensaje reenviándolo al 33700, servicio gratuito gestionado por los operadores franceses, o a través de la aplicación específica. Después denuncie la dirección web en la plataforma Phishing Initiative.
- Presente denuncia, en línea mediante el servicio de predenuncia o en comisaría. Su banco le exigirá el resguardo.
- Declare el incidente en Cybermalveillance.gouv.fr, que orienta hacia los trámites adecuados.
En los días siguientes
- Vigile sus extractos a diario durante un mes.
- Recuerde el artículo L133-18 del Code monétaire et financier: en caso de operación no autorizada denunciada sin demora, el banco debe reembolsar de inmediato, salvo que demuestre una negligencia grave por su parte. Un pago obtenido mediante engaño no constituye, en sí mismo, una negligencia grave: varias sentencias de la Cour de cassation lo han recordado en los últimos años, en particular en materia de falso asesor bancario.
- No vuelva a hablar jamás con un «servicio antifraude» que le llame de forma espontánea. Cuelgue y marque usted mismo el número que figura en su contrato.
Lo que un transportista de verdad nunca hace
Para terminar, una lista breve que conviene tener presente. Un transportista legítimo:
- nunca pide su número de tarjeta bancaria por SMS;
- nunca reclama el código de seguridad de tres cifras, sea cual sea la situación;
- nunca hace instalar una aplicación desde un enlace recibido por mensaje;
- nunca amenaza con destruir o devolver el paquete en 24 horas;
- no le llama después para «asegurar» su cuenta bancaria.
El SMS sigue siendo una herramienta enormemente práctica: directa, universal, legible en cualquier dispositivo. Precisamente por eso es codiciada por los defraudadores. Enviar un mensaje corto a un allegado, avisar de un retraso, transmitir un código: estos usos legítimos no tienen ninguna razón para desaparecer. Basta con tener presente una regla, válida para toda la mensajería móvil: un mensaje que contiene a la vez un enlace y una urgencia merece ser tratado como falso mientras no se demuestre lo contrario.
Recursos oficiales
- Cybermalveillance.gouv.fr — fichas de actuación y diagnóstico en línea
- 33700 — plataforma de denuncia de SMS y llamadas fraudulentas, gratuita
- Phishing Initiative — denuncia de direcciones web maliciosas
- DGCCRF — alertas al consumidor y procedimiento de denuncia
- Direction générale des douanes et droits indirects — normas reales de despacho aduanero de paquetes
