Smishing de paquetes: el mensaje sobre su envío que busca robarle datos

¿Qué es y por qué funciona?

Su teléfono vibra con un mensaje de texto: “USPS: su paquete está retenido en nuestro almacén. Actualice su dirección o pague una tarifa de $1.99 para completar la entrega”, seguido de un enlace. A veces el nombre es UPS o FedEx, a veces habla de un “código de seguimiento” que necesita confirmar. El monto es tan pequeño que parece inofensivo, y justo por eso muchos hacen clic. Ese mensaje, con su enlace y su urgencia, es la estafa. Se llama smishing: el fraude por mensaje de texto (SMS).

La FTC lo explica de forma directa: los estafadores envían un mensaje con un código falso de seguimiento de un envío y un enlace para “actualizar sus preferencias” o completar una entrega que en realidad no existe. La FCC advierte lo mismo: muchas estafas de entregas empiezan con un texto o un correo sobre un paquete, y nunca debe hacer clic en el enlace ni llamar al número que aparece en un aviso de entrega que usted no esperaba.

Funciona porque casi todos esperamos algún paquete, así que el mensaje llega en un momento en que suena plausible. El enlace lleva a una página que imita el sitio real de la paquetería y le pide “confirmar” su dirección, su número de tarjeta para pagar la pequeña tarifa, o datos personales. Lo que busca no es el $1.99: es el número de su tarjeta, sus datos para robarle la identidad, o que instale algo dañino en su teléfono. El cobro mínimo es el anzuelo; sus datos son el verdadero premio.

Cómo reconocerla

• El mensaje dice que su paquete está “retenido” o que la entrega falló, y le pide actuar de inmediato.
• Le piden pagar una tarifa pequeña (por reenvío, aduana o “actualización de dirección”) a través de un enlace.
• Trae un enlace que no es el sitio oficial de la paquetería, a veces con una dirección web rara o acortada.
• Le llega aunque no espere ningún paquete, o de una paquetería que usted no usó.
• Le pide datos personales o de su tarjeta para “confirmar la entrega”.
• Usa el nombre de USPS, UPS, FedEx o Amazon, pero llega desde un número de celular común o un correo desconocido.
• Mezcla la prisa con la amenaza de que perderá el paquete si no responde ya.

Qué hacer ahora

Si recibe un mensaje así:

1. No haga clic en el enlace ni llame al número que aparece en el mensaje. Ese solo paso lo protege de casi todo el daño.
2. No responda, ni siquiera con “STOP”. Responder solo le confirma al estafador que su número está activo.
3. Verifique por su cuenta. Si de verdad espera un paquete, entre al sitio oficial de la paquetería que usted escriba en el navegador, o use el número de seguimiento que le dio la tienda donde compró, nunca el enlace del texto.
4. Reenvíe el mensaje al 7726 (SPAM). La FTC y la FCC recomiendan copiar el mensaje y reenviarlo al 7726, que deletrea “SPAM”; esto ayuda a su compañía de telefonía a detectar y bloquear mensajes parecidos.
5. Bórrelo y bloquee el número. Después de reenviarlo al 7726, elimine el mensaje.

Esta página ofrece información general, no asesoría legal.

Dónde denunciar

Conviene usar más de un canal:

• Reenvíelo al 7726 (SPAM). Es la vía más rápida y directa: se lo entrega a su proveedor de telefonía para que bloquee al remitente.
• FTC, en español. Reporte en reportefraude.ftc.gov. Cualquier persona puede denunciar, sin importar su situación migratoria.
• La paquetería suplantada. USPS, UPS y FedEx tienen canales para reportar mensajes falsos que usan su nombre; el Servicio de Inspección Postal recibe reportes de textos que suplantan a USPS en spam@uspis.gov (su formulario está en inglés).

Estos mensajes son la puerta de entrada a otros fraudes de compras e identidad. Vea los datos oficiales del fraude para dimensionar cuánto pierde la gente cada año.

Cómo recuperar

• Si hizo clic y puso el número de su tarjeta, llame a su banco de inmediato, avise que fue un fraude y pida bloquear la tarjeta y disputar cualquier cargo.
• Si dio datos personales (número de Seguro Social, fecha de nacimiento, dirección), siga los pasos de nuestra guía Robo de identidad: qué hacer para vigilar su crédito y sus cuentas.
• Si instaló una aplicación o abrió un archivo desde el enlace, no use su teléfono para entrar a su banco hasta revisarlo; considere restablecerlo o pedir ayuda a un técnico de confianza.
• Cambie las contraseñas de las cuentas que haya podido teclear en la página falsa.

Este engaño usa la misma suplantación de una marca conocida que la estafa de soporte técnico, que finge ser Microsoft o Apple, y la misma falsa urgencia oficial que la estafa del IRS. Reconocer el patrón en una le ayuda a detectar las demás a tiempo.

Errores comunes

• Hacer clic “solo para ver”. El enlace es justo lo que el estafador necesita que usted toque.
• Pagar la tarifa mínima sin pensar. Ninguna paquetería real cobra una entrega por un enlace de texto.
• Responder al mensaje. Confirma que su número está activo y atrae más mensajes.
• Confiar porque aparece el nombre de USPS o FedEx. El nombre de la marca es fácil de copiar; no prueba nada.
• Usar el enlace del texto para “rastrear” el paquete. Rastree siempre desde el sitio oficial que usted escriba, no desde el mensaje.
• No reenviarlo al 7726. Ese reporte rápido ayuda a bloquear al estafador antes de que engañe a alguien más.