SMS falsos de entrega de paquetes y qué pasa si tocas el enlace

Cómo es en realidad un SMS falso de entrega

Los ejemplos de abajo son inventados. El número y la dirección que aparecen en ellos no son de nadie.

De 0555 000 00 00: Tu envío está retenido en aduana. Paga los 2,90 de gestión aduanera para liberar la entrega: ejemplo-envio.example.com/es

De 0555 000 00 00: Tu paquete no se pudo entregar porque tu dirección está incompleta. Actualízala aquí: ejemplo-envio.example.com/direccion

De 0555 000 00 00: Tienes 1 nuevo aviso oficial pendiente. Inicia sesión para verlo: aviso.gov.ejemplo-paquete.com

Los tres comparten la misma forma: un motivo para correr, un importe pequeño o una petición de inicio de sesión, y un solo enlace. Una empresa de reparto real nunca ata un pago a un enlace de un SMS. Si un paquete internacional debe aranceles de verdad, los pagas en la propia aplicación del transportista o en su propio sitio.

El vocabulario también es sorprendentemente estrecho. Cuando has visto uno, reconoces el resto:

• Tasa de aduana, código de despacho, retenido en aduana. Un paquete nacional nunca pasa por la aduana.
• Dirección incompleta, actualiza tu dirección, se devuelve al remitente. Una dirección se corrige en la aplicación del transportista, nunca desde un enlace de un SMS.
• Últimas 24 horas, paga hoy o el paquete vuelve. La prisa existe para que no pienses.
• Importes pequeños y raros como 2,90 o 3,45. Una cifra baja parece inofensiva, y el objetivo real es el número de tarjeta.
• Tu cuenta ha sido suspendida, tu tarjeta está bloqueada, se ha abierto un procedimiento legal contra ti.
• Gramática torpe y tildes que faltan. Por sí solo no prueba nada, pero suma con lo demás.

La pista más rápida es la forma del enlace

Muchas veces puedes decidir sin leer el mensaje. Una dirección web pertenece a la parte que va justo antes del último punto. Lo que haya a su izquierda no cambia nada sobre quién es el dueño de la página.

Añade a la lista las terminaciones baratas que se reparten sin control: desconfía cuando una dirección acaba en icu, cfd, tk o sbs. Y las direcciones escritas con letras extranjeras que imitan a las latinas, o que empiezan por xn--, no se distinguen a simple vista. Turkcaller trata esas terminaciones, los enlaces acortados y las direcciones clonadas como prueba estructural, independientemente de lo que diga el mensaje.

Mirar al remitente suele bastar

Transportistas, bancos y servicios públicos envían casi siempre desde un número corto registrado o desde un nombre de marca, no desde un número con pinta de móvil personal. Un aviso de tono oficial que llega de un móvil corriente merece tratarse como suplantación, por muy correcto que sea el texto.

Un nombre de marca en la cabecera tampoco garantiza nada, porque ese nombre lo escribe quien envía el mensaje. Así que el orden es: leer primero el dominio que va justo antes del último punto y después comprobar si el remitente es un número o un nombre. Si las dos cosas fallan, bórralo.

Qué pasa cuando se abre el enlace

Tocar un enlace no vacía tu cuenta por sí solo. El daño depende de lo que hagas en la página que se abre.

1. Se abre una página que copia al transportista o al organismo con todo detalle, hasta el logotipo y la tipografía.
2. Para pagar el importe pequeño te pide el número de tarjeta, la fecha de caducidad y los tres dígitos del reverso.
3. Después te pide el código de verificación que tu banco acaba de enviarte. Si escribes ese código, has aprobado una operación en nombre del estafador.
4. Algunas páginas ofrecen una aplicación de seguimiento y te empujan un archivo de instalación de fuera de la tienda. Una vez instalada puede leer los mensajes entrantes, así que también ve los códigos siguientes.
5. Con los datos de la tarjeta y un código en la mano empieza el gasto. No el importe pequeño, sino todo lo que permita la tarjeta.

Abrir la página y cerrarla sin escribir nada te deja en una posición mucho mejor. Si escribiste algo, la siguiente sección es para ti.

Qué hacer si ya tocaste el enlace

El pánico no ayuda, el orden sí. Empieza por lo que entregaste.

1. Cierra la página, no vuelvas a tocar el enlace y haz una captura del mensaje antes de borrarlo.
2. Si escribiste los datos de la tarjeta, llama a tu banco a su línea oficial. Saca ese número del reverso de tu tarjeta o de la aplicación del banco, nunca del mensaje.
3. Si escribiste un código de verificación en la página, llama al banco igual. El código es de un solo uso, pero se puede pedir otro.
4. Si instalaste una aplicación que ofrecía la página, desconecta el teléfono de internet y desinstálala.
5. Si escribiste una contraseña, cámbiala desde la dirección propia del servicio, escrita por ti en la barra de direcciones.
6. Denuncia el número como spam en Turkcaller para que el mismo mensaje quede marcado para quienes lo reciban.

Después, repórtalo. Muchos operadores aceptan mensajes de spam reenviados a un número corto propio. Avisa también a la unidad de ciberdelincuencia o a la autoridad de consumo de tu país. Guarda la captura en cualquier caso, el informe la pedirá.

No tienes que hacer estas comprobaciones a mano

Pon Turkcaller como tu aplicación de mensajes predeterminada y las mismas señales, la forma del enlace, si el remitente es un número o un nombre, y el lenguaje corporativo del texto, se comprueban antes de que el mensaje te llegue. Un SMS falso de entrega cae en una carpeta aparte: sin notificación y sin nada en tu bandeja.

Ninguna palabra suelta decide nada. La forma del enlace, el tipo de remitente, las palabras disfrazadas con letras parecidas y el mismo texto llegando desde varios números en poco tiempo se pesan juntos.

• Tocar un enlace no abre el navegador de inmediato. Si la dirección es una web de phishing conocida, primero recibes un aviso, y la decisión de abrirla sigue siendo tuya. Una conversación con un enlace sospechoso también mantiene un aviso fijo encima.
• Busca el número y verás cuánta gente lo ha denunciado, junto con el país y el operador del que viene. Un aviso de entrega supuestamente local enviado desde el extranjero salta a la vista.
• Las líneas de atención de empresas toman su nombre del directorio de negocios, así que tu banco o tu transportista real aparecen con nombre cuando llaman y la imitación no. La misma identificación funciona en las llamadas entrantes, sin permiso del registro de llamadas.
• Los códigos de verificación quedan fuera de todo filtro automático. Perder un código que estás esperando cuesta más que dejar un SMS fraudulento en la bandeja.
• Un fallo se arregla con un toque: marca No es spam, la conversación vuelve a tu bandeja y ese remitente deja de estar marcado.

En una instalación nueva la clasificación se hace en el teléfono, lo que la pantalla Protección llama protección básica, y la protección avanzada está apagada hasta que tú la elijas. Si llegaste actualizando la aplicación, la protección avanzada se enciende una vez por ti, y en ese modo el contenido de los mensajes entrantes lo clasifica una IA en nuestro servidor, que capta patrones más finos. En cualquier caso la pantalla Protección muestra cuál está activa y puedes cambiarla cuando quieras.

A cuánta gente ha llegado un remitente en las últimas 24 horas se muestra aparte, como aviso informativo encima de la conversación. Ese recuento usa solo la dirección del remitente, nunca el contenido de tus mensajes.

Por qué el mensaje llegó justo en el momento adecuado

El mensaje no iba dirigido a ti. El mismo texto sale hacia cientos de miles de números en un día. Al que lo envía le basta con la parte de la gente que está esperando un paquete justo entonces, y como casi todos tenemos algo en camino casi cada semana, esa parte no es pequeña.

Lo que hace que funcione no es el miedo, es lo normal que parece. Las cantidades grandes despiertan sospechas, así que la tasa se mantiene baja a propósito. La técnica tiene nombre: smishing, phishing por mensaje. La entrega de paquetes es el disfraz más común, pero el mismo esqueleto aparece como aviso oficial, alerta del banco o citación judicial.

Versión gratuita y Premium

La carpeta de spam, el aviso de enlaces y la identificación de llamadas funcionan en la versión gratuita; la versión gratuita muestra anuncios y trae un cupo diario de búsquedas. Ver quién llama cuando suena el teléfono no gasta ese cupo. Premium quita los anuncios, sube el cupo diario y te avisa cuando alguien busca tu número.

Preguntas frecuentes

Toqué un enlace falso de entrega, ¿y ahora qué?

Si no escribiste datos de tarjeta, ni contraseña, ni código, y no instalaste nada, casi seguro que estás bien. Vigila los movimientos de tu tarjeta unos días y denuncia el número.

Puse los datos de mi tarjeta en un SMS falso. ¿Qué hago?

Llama a tu banco de inmediato, con el número del reverso de tu tarjeta o de la aplicación del banco, nunca con el del mensaje. Pide que bloqueen la tarjeta y que revisen los movimientos recientes. Si además escribiste un código de verificación en la página, dilo en la misma llamada.

¿Cómo compruebo si un SMS de entrega es real?

No uses el enlace ni el número del mensaje. Abre la aplicación del transportista, o la página del pedido en la tienda donde compraste, y mira ahí el estado del envío. Un problema de entrega real aparece en los dos sitios.

¿Un SMS con el nombre del transportista puede ser falso?

Sí. El nombre del remitente lo escribe quien envía el mensaje, así que se puede imitar. Juzga el enlace: lee el dominio que va justo antes del último punto y nunca aceptes un aviso de entrega que ate un pago a un enlace.

¿Dónde denuncio un SMS falso de entrega?

Muchos operadores aceptan mensajes de spam reenviados a un número corto propio. Avisa también a la unidad de ciberdelincuencia o a la autoridad de consumo de tu país. Haz una captura antes de borrar el mensaje, el informe pedirá los detalles.

¿Bloquear el número frena los SMS falsos de entrega?

La misma campaña llega desde un número nuevo cada vez, así que bloquear de uno en uno siempre va por detrás. Una clasificación que lee la forma del enlace y el tipo de remitente pilla el patrón aunque cambie el número.

¿Turkcaller lee mis mensajes?

En una instalación nueva la clasificación se hace en el teléfono, lo que la aplicación llama protección básica. Si llegaste actualizando la aplicación, la protección avanzada se enciende una vez por ti, y en ese modo el contenido de los mensajes entrantes lo clasifica una IA en nuestro servidor. La pantalla Protección muestra cuál está activa y puedes cambiarla cuando quieras.

¿Los códigos de verificación del banco se tratan como spam?

No. Los códigos de verificación quedan fuera de todo filtro automático, porque perder un código que esperas es el error más caro. Tus propias decisiones siguen valiendo: si bloqueas a un remitente o añades tu propia palabra bloqueada, sus códigos también se ocultan, y la aplicación te avisa antes de bloquear.

Artículos relacionados