Tu dinero desaparecerá en segundos si haces clic en este falso SMS de Correos sobre aduanas que te llegará a lo largo de las próximas horas.

Qué ocurre en los segundos posteriores al clic

El clic tarda menos de un segundo en tener consecuencias: el móvil sale de la aplicación de mensajes y abre un navegador que carga una réplica de la web de Correos. La pantalla muestra un estado de entrega inventado —el paquete retenido, un aviso de que faltan datos de la dirección o de que las tasas de aduana siguen sin pagar— y un botón para continuar. Nada de eso existe. INCIBE documentó el recorrido exacto de una de estas campañas: primero un formulario con nombre, dirección, teléfono y correo; después, una pantalla de pago que pide los datos completos de la tarjeta por una cantidad mínima, 0,27 euros en aquel caso y 1,99 euros en la versión que verificó Maldita.es. El anzuelo es precisamente lo ridículo del importe. Por detrás hay dominios registrados días o incluso horas antes, muchos alojados en servicios gratuitos, y direcciones que imitan la marca sin ser correos.es. El clic, además, confirma a los estafadores que ese número está activo y responde.

Lo que se juega en los segundos siguientes no son dos euros, sino la tarjeta y, sobre todo, el código de verificación. Introducidos el número, la caducidad y el CVV, la web reclama el código que el banco manda por SMS; INCIBE comprobó que la pantalla acepta cualquier cadena de números y da el trámite por bueno aunque no llegue ningún mensaje, porque el objetivo ya está cumplido: los datos han viajado a un servidor de los delincuentes. Con ellos se vincula la tarjeta a un monedero móvil del estilo de Apple Pay o Google Pay, o se autorizan transferencias, y los cargos llegan en cuestión de minutos u horas. Un afectado contó a RTVE que, tras facilitar los datos y bloquear la tarjeta, recibió intentos de cobro de 70 y 30 euros en tiendas online que su doble verificación frenó. En la variante más agresiva se ofrece una supuesta aplicación de Correos que en realidad es un troyano bancario: intercepta los códigos de entidades como CaixaBank, BBVA y Santander y reenvía el mismo SMS a todos los contactos de la agenda.

Las señales que delatan el SMS falso: remitente, enlace y urgencia

El primer indicio aparece antes de leer el texto: en quién firma. El mensaje se presenta como «CORREOS» pero llega desde un número móvil corriente, un remitente numérico sin relación con la empresa o incluso se cuela en el mismo hilo donde están los avisos auténticos de la compañía, porque los estafadores falsifican el alias del remitente. Que el SMS comparta conversación con notificaciones reales no lo valida. La propia Correos insiste en que no solicita datos personales, bancarios ni movimientos económicos por SMS, correo electrónico o llamada, y sus comunicaciones por email salen de [email protected]. A eso se suma el contexto: la campaña es masiva y se lanza a ciegas, así que la mayoría de los receptores no espera ningún paquete. El gancho elegido, unas supuestas tasas de aduana pendientes, figura entre los fraudes más habituales que la empresa documenta.

El segundo bloque de señales está en el enlace y en la prisa. La dirección nunca es correos.es: aparecen dominios como correos-pago-aduanas.com, correos-tarifas.online o variantes con el nombre de la marca incrustado en un subdominio, además de acortadores tipo rebrand.ly, tr.ee o bit.ly que ocultan el destino, y páginas alojadas en servicios gratuitos (vercel.app, pages.dev, netlify.app) registradas horas o días antes del envío. El importe ridículo —1,99 euros en el caso documentado por Maldita.es, pero también 1,79, 0,80 o 0,27 euros en otras oleadas— es la carnada para que nadie dude ante una cifra tan pequeña. Y todo se envuelve en un plazo corto: «confirmar el pago y recibir su envío hoy mismo», «su paquete será devuelto en 24 horas». Esa cuenta atrás existe para que se pulse antes de comprobar nada. El formulario final pide tarjeta, caducidad y CVV; con esos datos y el código que envía el banco, los estafadores vinculan la tarjeta a una cartera móvil y vacían la cuenta. Los mensajes sospechosos se pueden reenviar al 017 de INCIBE.

Cómo verificar un aviso de aduanas real sin usar el enlace del SMS

La forma más rápida de saber si ese aviso existe de verdad no pasa por tocar el enlace, sino por el verificador que Correos tiene en su propia web. La compañía incorpora un código alfanumérico único e intransferible al final de los SMS y correos que envía sobre envíos y paquetería: se copia ese código, se entra en correos.es por la sección de Atención al cliente y Seguridad de la información y se introduce junto al número de teléfono o la dirección de correo a la que llegó el mensaje. La herramienta responde con un OK si la comunicación es auténtica y lanza un aviso de posible fraude cuando no lo es. Hay un atajo que evita incluso ese trámite: si el SMS dice hablar de un paquete y no lleva código, no lo ha enviado Correos. Y si el mensaje ha llegado por correo electrónico, conviene mirar el dominio del remitente antes que el diseño o el logotipo, porque el logotipo se copia en minutos.

La segunda vía, más sólida que cualquier verificación rápida, es entrar por tu cuenta al localizador. Se escribe a mano correosaduanas.es o se abre la app oficial de Correos, se introduce el número de seguimiento que facilitó la tienda y se comprueba si el envío está realmente retenido y qué importe hay que abonar. Un trámite aduanero real se liquida ahí y en la app, con el IVA de importación correspondiente y los gastos de gestión, y nunca en una página a la que se llega desde un SMS. Correos tampoco pide datos de tarjeta, PIN ni claves del banco por mensaje, ni reclama pagos por teléfono. Si no esperas ningún paquete, la respuesta ya está: se borra. Si lo esperas y el mensaje te mete prisa con plazos de horas y una cantidad ridícula, desconfía igual y comprueba el envío por tu cuenta. El SMS se puede reenviar al 017 de INCIBE para alertar de la campaña.

Qué hacer si ya has introducido la tarjeta o los datos

Si ya has tecleado los datos de la tarjeta en esa página, el problema no es el cargo de 0,27, 1,79 o 2,64 euros que te reclamaban: es que los estafadores ya tienen el número completo, la caducidad y el CVV. Llama al teléfono que figura en el reverso de tu tarjeta —no al que aparezca en mensajes o llamadas posteriores— y pide el bloqueo inmediato y la emisión de una tarjeta con numeración nueva. Comunica por escrito los cargos que no reconozcas, aunque sean de céntimos o se repitan cada mes: las suscripciones silenciosas y los cargos pequeños son un patrón habitual una vez capturados los datos. Si además facilitaste el código que te llegó por SMS, dilo expresamente al banco, porque con él pueden haber vinculado la tarjeta a una cartera digital tipo Apple Pay o Google Pay. Antes de borrar nada, haz capturas del mensaje, del remitente, de la URL y de los movimientos, y conserva el SMS original: es la prueba que te van a pedir después.

Después toca denunciar y reclamar. Con esas evidencias, presenta denuncia ante la Policía Nacional o la Guardia Civil, cuyos grupos de delitos telemáticos gestionan estos fraudes; la denuncia suele ser imprescindible para pelear la devolución del dinero. Contacta también con la línea gratuita 017 de INCIBE (o su WhatsApp 900 116 117), que asesora a la víctima y recoge el aviso para intentar tumbar la web clonada, y reclama formalmente a tu entidad al amparo del Real Decreto-ley 19/2018 de servicios de pago: los cargos hechos con tus datos sin que tú los ordenaras son operaciones no autorizadas. Si solo diste nombre, DNI, dirección y teléfono, vigila durante los próximos meses tu rastro en la Red y desconfía de quien te llame haciéndose pasar por el banco para que muevas dinero a una «cuenta segura» o leas códigos de un solo uso. Correos no reclama datos personales, bancarios ni pagos por SMS: cualquier gestión real se hace entrando tú en correos.es.

El cebo del pago pequeño: por qué el primer cargo no es el más peligroso

I’ll search for current information on this phishing scam angle.

El primer cargo nunca ha sido el negocio. Los 1,99 euros que reclama el SMS de estas horas —y los 0,27, 1,79 o 2,64 euros que INCIBE ha documentado en otras oleadas— están calibrados al céntimo para que nadie se detenga a comprobar nada: una cifra así no activa la alarma, activa la prisa. Maldita.es verificó el mensaje que pide abonar tasas aduaneras a través del dominio correos-pago-aduanas[.]com, que no coincide con el portal real de tasas (correosaduanas.es) y que ya estaba caído a principios de noviembre. La propia Correos reconoce que el falso pago de aduana figura entre los fraudes más habituales que suplantan su marca y recuerda que no reclama datos personales, bancarios ni información confidencial por correo, SMS o teléfono. El importe simbólico es, por tanto, el señuelo: sirve para que el usuario rellene el formulario completo sin sospechar de una operación que, en cualquier otro contexto, le habría hecho desconfiar.

Lo que llega después del pago es donde está el daño real. Con el número de tarjeta, la caducidad y el CVV, los estafadores pueden vincular el plástico a su Apple Pay o Google Pay y mover importes muy superiores, o pedir el código de un solo uso que envía el banco con la excusa de «verificar la operación». Los Mossos d’Esquadra documentaron en esta misma familia de timos retiradas de entre 45 y 60 euros tras el abono de un euro, una franja elegida para no disparar las alertas automáticas de las entidades. A eso se suman las suscripciones recurrentes que se camuflan durante meses en el extracto y la llamada posterior de un falso soporte bancario. El primer cargo, en realidad, es el menos peligroso: es el que legitima la estafa. Si ya has pagado, bloquea la tarjeta, revisa los movimientos de las semanas siguientes y denuncia en el 017 de INCIBE o en el 7726.