Qué intenta conseguir el mensaje

El smishing es phishing enviado por SMS. En las campañas de paquetería suele utilizar una entrega fallida, una dirección incompleta o una pequeña tasa pendiente para llevarte a una web falsa. Allí pueden pedir datos personales y bancarios o intentar que instales una aplicación maliciosa.

El importe reducido no hace inocente al cobro. Precisamente busca que pagues sin pensarlo demasiado.

Señales que justifican detenerse

Compara el mensaje con el canal oficial

Una comunicación verificable

  • El número de seguimiento coincide con un envío que puedes abrir desde la cuenta oficial.
  • La incidencia aparece también en la aplicación o web escrita por ti.
  • El dominio pertenece claramente a la empresa y utiliza una ruta coherente.
  • La gestión no exige instalar aplicaciones desde fuera de la tienda oficial.

Un mensaje que busca precipitarte

  • Habla de un paquete sin identificar pedido ni transportista de forma verificable.
  • Usa una URL acortada, un dominio parecido al real o caracteres añadidos.
  • Pide una tasa pequeña, datos completos de tarjeta o credenciales.
  • Amenaza con devolver o destruir el paquete en pocas horas.
  • Solicita descargar un archivo o una aplicación mediante enlace directo.

La ortografía perfecta no demuestra legitimidad. Las estafas también han descubierto el corrector.

Protocolo de comprobación

Verifica el envío sin tocar el enlace2 minutos
  1. Cierra el mensaje. No respondas ni abras adjuntos.
  2. Entra por un acceso conocido. Usa la aplicación instalada, un marcador propio o escribe el dominio oficial.
  3. Localiza el pedido o seguimiento. Comprueba estado, transportista y cualquier incidencia registrada.
  4. Contrasta con el transportista. Si el envío existe pero el aviso no aparece, utiliza el teléfono o formulario publicado en su web oficial.
  5. Reporta y bloquea. Conserva una captura si vas a denunciar o pedir ayuda; después marca el mensaje como spam.

Caso práctico: “falta el número de tu casa”

Aplicación realista Un pretexto diseñado para parecer razonable

Recibes un SMS que afirma que la dirección está incompleta. Coincide con una semana en la que esperas dos paquetes, así que el contexto parece creíble. El enlace abre un dominio que imita al transportista y pide datos personales y un pago.

En lugar de continuar, abres la tienda desde su aplicación. Los dos pedidos tienen dirección completa y seguimiento normal. No necesitas demostrar que cada píxel del SMS es falso: ya tienes un canal seguro que contradice su historia.

Decisión: Mensaje reportado y entrega comprobada desde el seguimiento oficial.

Si ya interactuaste con el enlace

Actúa según lo que ocurrió
Solo abriste la página
Ciérrala, no concedas permisos ni descargues archivos. Actualiza navegador y sistema; si observas descargas, avisos o comportamiento extraño, analiza el dispositivo.
Diste contraseña o datos personales
Cambia la contraseña desde el servicio oficial, cierra sesiones, activa autenticación reforzada y vigila intentos de acceso o suplantación.
Diste tarjeta, pagaste o instalaste una app
Contacta de inmediato con tu entidad bancaria, bloquea o sustituye la tarjeta cuando corresponda y conserva pruebas. Si instalaste software, desconecta el dispositivo cuando sea necesario y busca ayuda especializada.

Pulsar no equivale automáticamente a perder dinero, pero tampoco garantiza que no haya pasado nada. El riesgo depende de la página, las descargas, los permisos y los datos entregados.

Evidencias que conviene conservar

✅ Antes de borrar el mensaje

Errores que facilitan el trabajo al estafador

  • Buscar el pedido entrando por su enlace.
  • Confiar en el nombre visible del remitente.
  • Pensar que una tasa pequeña no justifica una estafa.
  • Reutilizar la contraseña comprometida en otros servicios.
  • Borrar todas las pruebas después de pagar.
  • Instalar una aplicación porque el navegador “no permite continuar”. Eso no es una incidencia logística; es una salida de emergencia.

Preguntas frecuentes

¿Si el pedido no aparece en mi cuenta, el mensaje es falso?
Es una señal fuerte cuando el aviso afirma pertenecer a esa tienda. Aun así, puede tratarse de un envío realizado por otra persona o de un transportista distinto. Comprueba por canales oficiales y no uses el enlace recibido.
¿Una empresa de transporte puede cobrar una gestión real?
Puede haber aduanas u otros costes legítimos según el envío. La diferencia está en cómo los verificas: localiza primero el seguimiento oficial y contacta con la empresa mediante datos obtenidos de su propia web.
¿Dónde puedo pedir ayuda en España?
INCIBE ofrece la Línea de Ayuda en Ciberseguridad 017. Si hay cargos, robo de identidad o malware, contacta además con el banco, la plataforma afectada y, cuando proceda, las Fuerzas y Cuerpos de Seguridad.

Fuentes y verificación

Contenido verificado: 2026-07-16Ámbito: EspañaSe han revisado campañas de smishing de paquetería y las recomendaciones de respuesta publicadas por INCIBE.
Fuentes consultadas
  1. Campaña de smishing que suplanta empresas de paqueteríaINCIBEConsultado: 2026-07-16
  2. Smishing para descargar una aplicación maliciosaINCIBEConsultado: 2026-07-16