La estafa del paquete retenido: avisos falsos, tasas de aduana y enlaces de seguimiento

Cómo funciona el SMS falso de paquete retenido

El SMS de paquete retenido es un mensaje que imita un aviso de envío para llevarte a una página que cobra un pago o pide una contraseña. Suele llegar por SMS, a veces por correo o por WhatsApp, y casi siempre trae un enlace de «seguimiento». Funciona porque casi todas las casas tienen algo en camino: el estafador manda el mismo mensaje a muchísimos teléfonos y le basta con que llegue a quien espera una caja.

Las empresas de paquetería cuyo nombre aparece en estos mensajes no los mandan ni ganan nada con ellos. Son víctimas de la suplantación igual que quien recibe el SMS. Correos lo dice con todas las letras en su aviso de marzo de 2025: Correos no te pide dinero por SMS. Explica que estos mensajes usan palabras como «último aviso» para meter prisa y llevan a webs falsas pensadas para robar datos personales y bancarios.

INCIBE avisó en diciembre de 2025 de una campaña que suplanta a empresas de paquetería con la excusa de que faltaba el número de la casa. La web falsa pedía datos personales, una franja horaria de entrega y, al final, la tarjeta, con el pretexto de un intento de entrega fallido.

Qué cargos de aduana son reales desde julio de 2026

Hay cargos reales ligados a un envío, y los estafadores los aprovechan. Desde el 1 de julio de 2021, todo lo que compras fuera de la Unión Europea paga IVA, aunque cueste poco. Y desde el 1 de julio de 2026, según la Agencia Tributaria en su página sobre compras por internet de hasta 150 euros, esas compras también pagan derechos de aduana: una cantidad fija de 3 euros por cada tipo de producto del envío.

Quién te lo cobra también está explicado:

• Lo normal, según Hacienda, es que la tienda o la plataforma cobre el IVA y el arancel en el momento de la compra, y que el precio que ves ya lo incluya.
• Si no lo cobró la tienda, lo cobra la empresa de transporte al destinatario antes de entregar el paquete, junto con sus gastos de gestión.
• Hacienda no te cobra directamente a ti, salvo que hagas tú mismo los trámites de aduana.

Eso quiere decir que sí puede haber un pago pendiente por un paquete que viene de fuera de la Unión Europea. Lo que no cambia es cómo se paga: en la web o la aplicación oficial de la empresa de transporte, a la que entras tú, o al repartidor según el procedimiento de esa empresa. Y si no has comprado nada fuera de la Unión Europea, un aviso de aduana pendiente ya es motivo para ir con calma.

Un ejemplo inventado del mensaje falso que aprovecha el cambio: «Por la nueva normativa europea, su envío requiere el pago de 3,00 euros de aranceles. Abone en 24 horas o será devuelto al remitente». La cantidad coincide con la real a propósito. El canal es lo que la delata.

Por qué la tasa siempre es pequeña

La tasa es pequeña a propósito: uno o dos euros por volver a intentar la entrega, unos pocos de aduana, un ajuste de franqueo. Es tan poco que nadie llama a preguntar antes de pagarlo.

Lo que buscan no es esa tasa. Es el número de tarjeta, la fecha de caducidad, el código de seguridad, el nombre y la dirección que escribes para pagarla. Con eso pueden hacer otros cargos o probar la tarjeta con cargos pequeños antes de uno grande. Algunas versiones no piden pago y van a por otra cosa: la contraseña de la tienda o del correo, tus datos personales para «soltar» el paquete, una llamada a un número de tarificación especial o una aplicación que instalar. No instales nada que te llegue por un mensaje.

Cómo comprobar un envío sin tocar el enlace

Se trata de salir del mensaje y empezar desde la empresa. Escribir tú el número de seguimiento en una web a la que has llegado por tu cuenta es la comprobación, y lleva un minuto.

1. No pulses el enlace. Puedes dejar el mensaje abierto si quieres copiar algo, pero no abras nada de lo que ofrece.
2. Busca el número de seguimiento que ya tienes. Está en la confirmación del pedido de la tienda, en el historial de pedidos de tu cuenta o en la aplicación de la empresa de transporte si la usas. Si el único número que tienes es el del mensaje sospechoso, trátalo como no comprobado y ve al pedido.
3. Entra tú en la web de la empresa de transporte. Escribe la dirección en el navegador o usa la aplicación que ya tenías instalada. Correos recomienda su localizador de envíos en correos.es. No busques el nombre de la empresa y pulses el primer resultado, porque los resultados patrocinados los puede comprar cualquiera.
4. Compara lo que ves con lo que decía el mensaje. Si la web oficial muestra el paquete avanzando con normalidad, o no muestra nada con ese número, el mensaje no hablaba de un problema real.
5. Si de verdad hay un paquete retenido, resuélvelo con la empresa. Usa las opciones de su web o su aplicación, o el teléfono que aparece en el aviso en papel que te dejen en el buzón. Nunca un teléfono que venga en el SMS.

Nuestro artículo sobre qué es el smishing explica por qué un SMS puede aparecer en la misma conversación que los avisos de verdad, y cómo saber si un enlace es seguro cuenta cómo leer una dirección antes de abrirla.

Otras versiones del mismo engaño

La historia del paquete también se usa para pedir otras cosas.

La llamada que viene detrás

Después del SMS puede llamar alguien que se presenta como la empresa de transporte, la tienda o el departamento de fraude de tu banco, y habla de un cargo raro relacionado con el envío. Es otra estafa con el mismo disfraz. Nuestro artículo sobre qué es el vishing explica cómo cortar esa llamada.

El paquete que no pediste

Llega un paquete sin explicación y después un mensaje que te pide pagarlo o escanear un código que viene dentro. La ley de consumidores prohíbe enviar productos no solicitados: no estás obligado a devolverlos ni a guardarlos, y no te pueden reclamar el pago.

El aviso en el buzón

Un papel en el buzón se puede falsificar igual que un SMS, con un teléfono o un código QR que lleva a la misma página. Compruébalo con el número de seguimiento en la web de la empresa, como en la sección anterior.

El premio que solo pide el envío

Una marca conocida te ha elegido para recibir un producto y solo pagas el envío. INCIBE describe esta campaña en su aviso sobre marcas suplantadas con premios: el pago de un euro falla, pero los datos de la tarjeta ya se han quedado en la página falsa.

Si ya has pagado o has metido tus datos

Trata la tarjeta que escribiste como expuesta, aunque el cargo fuera mínimo y aunque parezca que todo fue normal.

1. En la primera hora, llama a tu banco al número de la tarjeta o de la aplicación. Di que metiste los datos en una página falsa, pide que bloqueen la tarjeta y te hagan otra, y que vigilen los cargos. El Banco de España explica en su página sobre el uso fraudulento de la tarjeta que, desde que lo comunicas, el banco se hace cargo de las operaciones que no hiciste, y que de las anteriores respondes hasta 50 euros, salvo negligencia.
2. Cambia la contraseña de cualquier cuenta en la que entraras desde el enlace, entrando tú en la web real, y cámbiala donde usaras la misma. Activa la verificación en dos pasos.
3. Revisa los movimientos buscando cargos pequeños. Un cargo de uno o dos euros que no reconoces suele ser una prueba antes de algo mayor, así que avisa al banco en lugar de dejarlo pasar.
4. Guarda el mensaje. Haz una captura antes de borrarlo, con el remitente y la dirección de la página. INCIBE pide guardar todas las pruebas, también los enlaces.
5. Denuncia en comisaría o cuartel, o por internet con la Oficina Virtual de Denuncias de la Policía Nacional, que hay que firmar en comisaría como muy tarde en 72 horas, o con la denuncia telemática de la Guardia Civil.

Si diste datos personales como el DNI o la fecha de nacimiento, INCIBE recomienda buscar tu nombre en internet de vez en cuando para ver si aparecen tus datos donde no deben.

Dónde avisar de un SMS falso de paquetería

En España no hay un número único al que reenviar los SMS fraudulentos, como existe en otros países. Lo que sí funciona:

• Bloquea el número y márcalo como spam en el móvil.
• Avisa a INCIBE con su reporte de fraude, por correo o formulario, con la captura y la dirección de la página. Si tienes dudas sobre qué hacer, el 017 es gratuito y atiende de ocho de la mañana a once de la noche todos los días. También por WhatsApp en el 900 116 117.
• Avisa a la empresa suplantada por los canales de su web oficial, para que pueda alertar a sus clientes.
• Si perdiste dinero, denuncia, como se explica arriba.

Hay una medida nueva que debería reducir algunos de estos mensajes. La CNMC explica en su blog que, desde el 15 de septiembre de 2026, los operadores tienen que bloquear los SMS que llegan con un nombre de remitente, como el de una empresa, que no esté inscrito en el Registro de alias. La CNMC también anunció un portal público para consultar qué alias están registrados y quién es su titular.

Lo que esta comprobación no puede hacer

Ir tú a la empresa de transporte es fiable, pero tiene límites. No para los mensajes: el Registro de alias bloquea los SMS que usan sin permiso el nombre de una empresa como remitente, pero no los que llegan desde un número de teléfono normal. Tampoco te dice si un paquete se ha retrasado de verdad, porque los envíos se pierden y los escaneos fallan. Solo te dice que el mensaje no era la forma de enterarte.

Y no recupera el dinero que ya se fue. Un cargo en tarjeta se puede reclamar al banco, pero eso no asegura el reembolso, y un pago por transferencia, Bizum, tarjeta regalo o criptomonedas casi nunca se recupera. Estos mensajes están hechos para leerse en tres segundos mientras haces otra cosa, y contestar a uno solo quiere decir que te llegó un mensaje creíble el día que esperabas un paquete.

Preguntas frecuentes sobre la estafa del paquete