Phishing en avisos de entrega y pago: qué vigilar

Por qué un aviso de entrega es un disfraz tan eficaz

Un mensaje sobre un paquete funciona tan bien como estafa precisamente porque resulta creíble. La mayoría de las personas que compran online esperan al menos una entrega en cualquier momento dado, así que un SMS que anuncia un problema con un paquete encaja con naturalidad en algo que ya esperabas, a diferencia de, por ejemplo, un mensaje sobre un premio al que nunca te apuntaste. Esta estafa incluso tiene nombre propio en la literatura sobre prevención del fraude: smishing, phishing realizado por SMS en lugar de por correo electrónico, y las autoridades de ciberseguridad y protección al consumidor de muchos países lo tratan como una categoría de fraude específica y bien conocida, con sus propias campañas y patrones que se repiten.

Cómo funciona realmente el falso aviso de entrega

El patrón se repite de forma muy parecida en cada campaña. Llega un SMS que dice venir de una empresa de transporte o de un servicio postal, a menudo usando el nombre de una compañía real y conocida, con un supuesto código de seguimiento y un enlace para «actualizar tus preferencias de entrega» o resolver un problema con la dirección. Al pulsar el enlace se llega a una página pensada para parecerse al sitio real de la empresa de transporte, donde se pide a la víctima que introduzca datos personales o bancarios, o a veces que pague una pequeña «tasa de reenvío» que va directamente al estafador. Un detalle útil: las empresas de transporte y los servicios postales, por lo general, no envían avisos de seguimiento por SMS a menos que te hayas dado de alta expresamente para recibirlos, así que un SMS de entrega inesperado ya resulta algo sospechoso antes incluso de leer su contenido.

Los canales de denuncia oficiales existen, aunque varían por país

Lo habitual que se ha vuelto este tipo de estafa ha llevado a muchos países a crear canales de denuncia específicos. Un correo sospechoso suele poder reenviarse al servicio de denuncia de phishing de tu proveedor de correo o de la autoridad de ciberseguridad de tu país, y bastantes operadores de telefonía ofrecen una forma sencilla de reenviar un SMS sospechoso para que lo analicen y, si procede, lo bloqueen antes de que llegue a más gente. El procedimiento exacto y el número o dirección a la que reenviar el mensaje varían de un país a otro, así que lo más fiable es consultar la propia web de tu operador o del organismo nacional de ciberseguridad correspondiente. Lo que no cambia de un país a otro es la recomendación de fondo: nunca facilites datos bancarios ni contraseñas en respuesta a un mensaje sobre una entrega, por oficial que parezca.

Los avisos de pago usan el mismo truco, con otro objetivo

Un pariente cercano del falso SMS de entrega es el falso aviso de pago o de cuenta: un mensaje que asegura que un pago con tarjeta ha fallado, que una suscripción está a punto de renovarse a un precio más alto, o que una cuenta ha sido bloqueada, de nuevo con un enlace para «solucionar» el problema. El mecanismo es el mismo que en las estafas de entrega, urgencia más un enlace a una página falsa convincente, solo que aquí el objetivo es conseguir directamente credenciales de acceso o números de tarjeta, en lugar de pasar por una falsa tasa de reenvío. Se aplica la misma precaución: un problema de pago real con una tienda o un banco normalmente no se resuelve pulsando un enlace de un SMS o un correo inesperado, sino accediendo por tu cuenta a la web o la aplicación oficial.

Hábitos que hacen este fraude mucho menos eficaz

• No pulses ningún enlace de un SMS o correo inesperado sobre una entrega o un pago; si crees que puede ser real, abre la aplicación de la empresa de transporte o de la tienda, o escribe tú mismo su dirección conocida en el navegador.
• Comprueba si realmente te diste de alta para recibir avisos de seguimiento de esa empresa de transporte en concreto; un SMS de entrega que no solicitaste ya es, por sí solo, un motivo de sospecha.
• Nunca introduzcas un número de tarjeta o una contraseña en una página a la que has llegado pulsando un enlace de un SMS, por oficial que parezca.
• Denuncia los SMS y correos sospechosos a través de los canales oficiales de tu país; esto ayuda a esos sistemas a detectar patrones de fraude que se repiten mes a mes.

Nada de esto tiene relación con un código de descuento o cupón real de una tienda, que se aplica en la propia web del vendedor en el momento de pagar, nunca a través de un enlace enviado después con la excusa de un problema de entrega o de pago. En daily-coupons.info listamos códigos comprobados en cientos de tiendas de muchos países en daily-coupons.info, y nunca pedimos datos de tarjeta ni contraseñas de cuenta para usar un código publicado, como se explica en nuestra página de preguntas frecuentes.

Este artículo ofrece información general de seguridad, no asesoramiento legal. Si crees que has sido objetivo de un intento de phishing o ya has facilitado datos, contacta cuanto antes con tu banco y con el servicio de denuncia correspondiente de tu país.