Estafa del paquete por SMS: cómo saber si un aviso es falso

¿Cómo saber si un SMS de Correos es falso?

Estos mensajes son phishing: se hacen pasar por el transportista para sacarte datos o dinero. Un SMS falso suele tener varias de estas señales:

• No esperas ningún paquete. Es la primera pregunta que propone Correos: si no esperas ningún envío, no eres cliente ni tienes contratado ningún servicio desde el que te puedan escribir, ignora el mensaje y bórralo.
• Te pide dinero o datos para entregarlo. «Correos nunca solicita datos personales, bancarios o movimientos económicos por correo electrónico o mensaje de texto (SMS)». InPost dice que nunca te pedirá el pago de ningún servicio directamente por SMS, y GLS que no pide datos de pago por correo o SMS para confirmar que recibes un envío.
• Te mete prisa. Correos lo resume así: «las prisas nunca son buenas». InPost y GLS añaden las amenazas: que vas a perder el paquete o que habrá consecuencias si no haces algo ya.
• El enlace no es del transportista. Enlaces acortados como bit.ly (los cita DHL), imitaciones como inpost-es.com o inpost.entrega-paquete.com (ejemplos de InPost). GLS solo enlaza a gls-group.com/ES/, e InPost te pide comprobar que el enlace lleva a inpost.es.
• El remitente no cuadra. DHL avisa de SMS sin número visible, con un nombre genérico como «Entrega», o con un número que empieza por el prefijo de otro país (su ejemplo: +235). GLS te pide desconfiar si te llaman, por WhatsApp o por teléfono, con un prefijo que no es el +34. Un email desde @gmail o @yahoo no es de DHL ni de GLS.
• Te pide llamar, descargar algo o pagar por un canal raro. InPost nunca te pedirá que llames a un número de tarificación adicional (807, 906…), que descargues un archivo de Dropbox o WeTransfer ni que hagas una transferencia para liberar un paquete. Correos recuerda que las entidades oficiales nunca envían adjuntos ni ejecutables.
• Está mal escrito. Correos y GLS señalan las faltas de ortografía y los fallos gramaticales; según GLS, muchas de estas estafas pasan por un traductor automático.

Que el SMS llegue con el nombre del transportista no demuestra nada. Desde el 15 de septiembre de 2026, los operadores de telefonía en España tienen que bloquear los SMS, MMS y RCS que llegan con un alias (el nombre que sale como remitente, como el de una marca) que no esté inscrito en el Registro de Alias de la CNMC. Ayuda, pero GLS avisa de casos en los que los estafadores suplantan también el número de teléfono, y una empresa sin alias registrado puede seguir escribiéndote desde un número normal. Ni el nombre ni el número garantizan nada: compruébalo siempre por tu cuenta.

Cómo leer un enlace antes de pulsarlo

Los enlaces falsos suelen empezar por el nombre del transportista. El dueño de la dirección es lo que va justo antes de la primera / sola. El ejemplo, inventado, usa Royal Mail, el servicio postal británico, pero el truco es el mismo con correos.es o gls-group.com:

Aunque un enlace parezca bueno, no lo uses: escribe tú la dirección del transportista.

¿Correos, GLS, DHL e InPost envían SMS de verdad?

Sí, casi todos, y por eso los falsos funcionan. Esto es lo que cada uno dice en su propia página:

Los transportistas de verdad envían enlaces, así que un enlace por sí solo no demuestra nada. Los pocos pagos reales son casi todos de aduanas, como el enlace de DHL a su plataforma de pago, identificado con el número de albarán, o el aviso de GLS Spain por correo, SMS o carta para un paquete de fuera de la UE: la guía de paquete retenido en aduanas explica cómo te los piden de verdad.

Qué dicen los SMS falsos de paquetes

Se repiten los mismos guiones. Estos salen de los avisos de los propios transportistas y de INCIBE:

• Entrega suspendida por falta del número de casa. INCIBE avisó en diciembre de 2025 de SMS que dicen que el paquete no se pudo entregar porque falta el número. La web falsa te pide una franja horaria para volver a intentarlo, luego tus datos y al final la tarjeta.
• Confirma tu dirección. Correos dice que pedir un pago o completar la dirección de entrega son los dos ganchos más usados con su nombre. InPost cita «Confirma tu dirección para recibir tu envío».
• Paquete retenido. «Tu paquete está retenido», en emails falsos con un enlace a una web que imita la suya (InPost).
• Gastos de envío. En 2022, INCIBE avisó de correos y SMS que suplantaban a SEUR y pedían 2,99 € de gastos de envío. Después de la tarjeta, la web pedía un código que iba a llegar por SMS (nunca llegaba) y contestaba «código incorrecto» para parecer creíble: para entonces ya tenían los datos de la tarjeta.
• Tasas de aduana. InPost cita SMS que piden «pagar una tasa de aduana» con un enlace. Si de verdad esperas algo de fuera de la UE, compruébalo en la web del transportista, como se explica más arriba.
• Una llamada. InPost avisa de falsos agentes que llaman por un problema con tu envío y piden datos personales o bancarios. GLS confirma que el 911 118 768 es suyo: lo usa para revisar la calidad de las entregas con una reclamación abierta, nunca con fines comerciales.
• WhatsApp en vez de SMS. DHL avisa de cuentas falsas que intentan llevarte a WhatsApp o Telegram. GLS dice que, si alguna vez diste tu teléfono, los estafadores pueden llamarte por WhatsApp, muchas veces desde números extranjeros, para pedirte datos bancarios o un pago.
• Un «transportista» para tu venta de segunda mano. GLS y DHL no hacen de intermediarios ni de depositarios en la compraventa de artículos de segunda mano, ni usan plataformas de compraventa para anunciar sus envíos. Si alguien en Wallapop o Milanuncios te manda un enlace de «GLS» o «DHL» para cobrar, es un engaño.

Cómo comprobar un SMS de paquete sin caer en la estafa

Ninguno de estos pasos usa el mensaje:

1. 1Piensa si esperas algo¿Ningún pedido y nadie que te vaya a mandar nada? Entonces trátalo como una estafa.
2. 2Busca el número de seguimiento realEn el correo de envío o en el pedido de la tienda, nunca el número que viene en el SMS.
3. 3Entra tú en la web del transportistaEscribe su dirección o abre su app. No pulses, no escanees ni llames a nada del mensaje.
4. 4Mira si de verdad te piden algoSi hay algo que pagar, compruébalo en la web o la app del transportista, no en el mensaje.
5. 5Repórtalo y bórraloManda una captura a INCIBE y bloquea al remitente (más abajo te contamos cómo).

InPost lo dice claro: haz siempre el seguimiento desde su página oficial y nunca metas tu número en un enlace de un SMS sin comprobar antes que lleva a inpost.es. ¿No encuentras el número? Mira cómo localizar un paquete sin número de seguimiento. También puedes pegarlo en Peek, que consulta al transportista y, si hace falta, otras fuentes de seguimiento, para que veas los últimos escaneos sin acercarte al enlace. Peek no puede pagar nada por ti: si hay algo pendiente, se paga en la web o la app del transportista.

Cuando Correos no puede entregarte un paquete, te lo dice con un SMS o un correo que sustituye al aviso de llegada de papel, y luego con otro SMS con la oficina donde recogerlo, sin pedirte nada a cambio. Cómo funciona un aviso de verdad y cómo pedir otro intento lo tienes en la guía sobre el intento de entrega «ausente».

Qué hacer si pinché en el enlace o di los datos de mi tarjeta

Un SMS falso no hace daño mientras no pulses, contestes, llames o escribas algo. Lo que toca ahora depende de hasta dónde hayas llegado:

1. 1Cierra la páginaNo escribas nada más en ella y no contestes al mensaje.
2. 2Llama a tu bancoAl número que aparece en tu tarjeta o en la app del banco, y pide que bloqueen la tarjeta y los movimientos sospechosos.
3. 3Cambia tus contraseñasSi escribiste una en la web falsa, cámbiala en todas partes donde la uses.
4. 4Desconfía de las llamadas¿Te llama alguien, aunque diga ser del banco o del transportista? Cuelga y llama tú a un número que hayas buscado por tu cuenta.
5. 5DenúncialoAnte la Policía Nacional o la Guardia Civil si has perdido dinero o datos.

¿Solo has pinchado el enlace? InPost aconseja cerrar el navegador y pasar un análisis de seguridad al móvil o al ordenador. Después, haz lo que INCIBE pide con cualquier SMS de este tipo: avísale, bórralo y bloquea al remitente.

¿Has metido la tarjeta o has pagado? Llama a tu banco lo antes posible para que bloquee la tarjeta y los movimientos sospechosos, como recomienda INCIBE. Guarda todas las pruebas que puedas, incluidos los enlaces, y presenta una denuncia con ellas. Y no te fíes de que un cargo pequeño sea inofensivo: lo que buscan es tu tarjeta, no los 2,99 €.

Para la denuncia, la Oficina Virtual de Denuncias de la Policía Nacional te deja empezarla por internet, pero tienes que firmarla en la comisaría que elijas lo antes posible y nunca más tarde de 72 horas; sin esa firma no tiene validez. Si tienes dudas sobre qué hacer, INCIBE atiende en el 017, gratis y de forma confidencial, todos los días de 8:00 a 23:00, y también por WhatsApp (900 116 117) y Telegram (@INCIBE017).

Cómo denunciar un SMS falso de paquetes

Repórtalo aunque no hayas pinchado nada, y después bórralo.

En el iPhone, debajo de un mensaje de un remitente desconocido aparece Mensaje no deseado: tócalo y luego Eliminar e informar. Si ya has contestado al mensaje, no podrás informar de él. En Mensajes de Google, en Android, mantén pulsada la conversación, toca Bloquear, marca Marcar como spam y pulsa Aceptar.