Estafa del paquete de Correos o SEUR por SMS: qué hacer

Te llega un SMS que dice que tu paquete está retenido en aduana, que falta un dato de dirección o que debes pagar 1,99 € para que se entregue. Trae un enlace corto y un logo de Correos, SEUR, MRW o similar. Es phishing por SMS —smishing— y su objetivo no es cobrarte 2 euros: es quedarse con los datos completos de tu tarjeta bancaria para hacer cargos mucho mayores después.

Qué es y a quién afecta

El SMS de paquetería es una de las variantes de smishing más repetidas en España desde 2021, y se dispara en campañas coincidiendo con Black Friday, Navidad y rebajas, cuando hay más gente esperando envíos reales. El mensaje suplanta a Correos, SEUR, MRW, DHL o Amazon Logistics y usa dos ganchos habituales:

• Pago pendiente: "Tu paquete no se pudo entregar. Paga 1,50 € de gastos de gestión aquí: [enlace]".
• Dato incompleto: "Falta información de tu envío. Verifica tu dirección y datos de pago en: [enlace]".

Afecta sobre todo a quien ha comprado algo online recientemente (coincide "por casualidad" con un pedido real) y a personas mayores, menos familiarizadas con este tipo de fraude y con menos costumbre de comprobar remitentes o enlaces antes de pulsar. El Instituto Nacional de Ciberseguridad (INCIBE) recoge este patrón como uno de los más denunciados en su servicio de ayuda ante ciberestafas.

Qué hacen con tus datos si pulsas

El enlace lleva a una web clonada, casi idéntica a la de Correos o SEUR, con formulario de "pago de tasa". Ahí no solo te piden el importe simbólico: piden número de tarjeta completo, fecha de caducidad, CVV y, en muchos casos, el código SMS que envía el banco para confirmar la operación (código 3D Secure). Con esos tres datos —tarjeta, CVV y código de verificación— el estafador puede:

1. Hacer un cargo pequeño de prueba (a veces los 1,99 € reales, para no levantar sospechas).
2. Encadenar cargos mayores en minutos, en comercios online o mediante retirada de dinero a monederos digitales.
3. Vender tus datos completos en foros de fraude si no los usa de inmediato.

Si el formulario falso pide también DNI, fecha de nacimiento o dirección completa, el riesgo se amplía a robo de identidad: con esos datos pueden intentar abrir líneas de crédito o duplicar tu SIM (ver estafa relacionada de SIM swapping).

Cómo detectar el SMS falso: paso a paso

Paso 1. Mira el remitente. Un SMS legítimo de Correos suele llegar bajo el nombre "Correos" en la misma conversación que avisos anteriores reales. Si es un número suelto de móvil (+34 6XX o extranjero), desconfía.

Paso 2. No toques el enlace. Los enlaces suelen ir acortados (bit.ly, t.co o dominios raros tipo "correos-tasas-es.info"). Correos y SEUR jamás usan dominios que no sean los suyos oficiales (correos.es, seur.com).

Paso 3. Comprueba si esperas un paquete. Si no has comprado nada recientemente, es phishing con probabilidad prácticamente total.

Paso 4. Verifica por canal oficial. Entra directamente escribiendo tú la dirección en el navegador (correos.es o seur.com) e introduce tu número de seguimiento ahí, nunca desde el enlace del SMS.

Paso 5. Revisa el tono de urgencia. "Tu paquete será devuelto en 24 horas si no pagas" es una presión típica de ingeniería social para que no pienses.

Paso 6. Si dudas, llama al servicio de atención al cliente de la empresa, buscando el teléfono tú mismo (no el que aparezca en el SMS).

Qué pasa si ya metiste los datos de la tarjeta

Actúa en este orden y sin esperar al día siguiente:

La reclamación al banco por cargo no autorizado se rige por la normativa de servicios de pago aplicable en España (transposición de la directiva europea PSD2), que obliga a las entidades a reembolsar de forma inmediata las operaciones no autorizadas salvo que demuestren negligencia grave por tu parte. El plazo para reclamar suele ser de 13 meses desde el cargo, pero cuanto antes avises, más fácil es que el banco frene operaciones en cadena. Consulta el detalle de plazos y modelo de reclamación en nuestro artículo específico sobre cómo reclamar al banco un cargo no autorizado.

Ejemplo real: el caso de Antonio

Antonio, 68 años, jubilado en Valladolid, había pedido dos días antes unas zapatillas por 45 €. Le llega un SMS de "SEUR" avisando de que el paquete está retenido por "1,50 € de gastos de aduana no cubiertos". Como coincidía con su compra real, no sospechó. Metió los datos de su tarjeta en la web del enlace, incluido el código que le llegó por SMS del banco pensando que era para confirmar el pago de 1,50 €.

En los 20 minutos siguientes le hicieron tres cargos: 340 €, 280 € y 199 €, en comercios online que no reconocía. Llamó a su banco esa misma tarde, bloqueó la tarjeta y presentó reclamación por escrito al día siguiente. El banco le devolvió los 819 € en 9 días hábiles tras confirmar que las operaciones no llevaban su autenticación reforzada real (el código se lo había dado él mismo a la web falsa, pero el banco consideró que hubo suplantación y no negligencia grave, dado el patrón habitual de esta estafa). No todos los casos se resuelven así de rápido ni con reembolso total: depende de cómo valore cada entidad el nivel de "negligencia grave" del cliente.

Errores habituales

• Pulsar el enlace "solo para ver qué es": basta con entrar en la web falsa para que quede registrado tu número y a veces se descargue código malicioso, aunque no rellenes nada.
• Pagar el importe pequeño pensando que "total, son 2 euros": ese pago mínimo es el anzuelo, no el objetivo.
• Dar el código SMS del banco a la web de paquetería: ningún trámite de aduana o de paquetería necesita nunca ese código, que es exclusivo de tu banco.
• Esperar al día siguiente para avisar al banco: cada hora cuenta, porque las operaciones fraudulentas se encadenan rápido.
• No denunciar porque "es poco dinero": la denuncia ayuda a que la Policía Nacional y la Guardia Civil rastreen redes de fraude más grandes, y además la exige el banco en muchos casos para tramitar la devolución.
• Reenviar el SMS a familiares sin avisar de que es una estafa, lo que puede acabar propagando el enlace sin querer.

Cuándo conviene un profesional

Si has perdido una cantidad relevante (a partir de unos cientos de euros) y el banco rechaza la devolución alegando negligencia grave, puede compensar consultar con un abogado especializado en consumo o acudir al Servicio de Reclamaciones del Banco de España, que resuelve controversias entre clientes y entidades financieras cuando el banco no atiende la reclamación en plazo (normalmente dos meses). También conviene asesoramiento legal si detectas que, además del cargo, te han abierto una línea de crédito o financiación a tu nombre: ahí ya hablamos de usurpación de identidad, con implicaciones distintas y más complejas que un simple cargo fraudulento.

Nuestra recomendación

En Vurnix creemos que la defensa más eficaz contra este fraude es simple y gratuita: no pulses enlaces de SMS de paquetería, nunca. Si esperas un paquete, comprueba el estado escribiendo tú la web oficial en el navegador o abriendo la app de la empresa. Ese único hábito elimina el 100 % del riesgo de este tipo de smishing, sin necesidad de analizar remitentes ni comprobar dominios sospechosos. Y si en tu casa hay personas mayores que compran online, vale más quince minutos explicándoles esta regla que gestionar después una reclamación bancaria de varios cientos de euros.