El mensaje llega un martes a las 11:12:
«Hola María, tu paquete n.º FR-4471209 no ha podido entregarse en la calle de los Lilas, 14 (edif. B). Elige una nueva franja horaria: suivi-relais-colis.net/es»
Tu nombre. Tu calle. Tu edificio. Un número de seguimiento clavado a los que recibes de verdad. A estas alturas, la pregunta que se hace la mayoría de la gente ya no es «¿esto es una estafa?», sino «¿cómo lo saben?».
Ese es exactamente el desplazamiento que buscaban los estafadores. Durante años, el SMS fraudulento de entrega era una red lanzada al azar: «Tu paquete está en espera», enviado a millones de números con la esperanza estadística de que unos cuantos estuvieran esperando algo de verdad. En 2026 ya no es una red. Es un disparo dirigido, alimentado por datos personales muy reales. Y entender de dónde salen cambia por completo la forma de defenderse.
El vuelco: del mensaje genérico al mensaje documentado
Conviene medir la diferencia. Un SMS genérico convierte poco —las estimaciones de los actores de la lucha antifraude rondan unas décimas de porcentaje de clics—. Un SMS que cita tu nombre y tu dirección exacta dispara esa tasa, porque cortocircuita el único reflejo de defensa que la mayoría hemos aprendido: «si el mensaje no me conoce, es falso».
Ese atajo mental nunca fue un criterio fiable. Hoy lo es todavía menos. La Commission nationale de l'informatique et des libertés (CNIL) registra cada año varios miles de notificaciones de violaciones de datos personales en Francia, y una parte significativa afecta a ficheros de clientes con nombre, dirección postal, correo electrónico y número de móvil. Esos cuatro campos bastan para fabricar un SMS de entrega creíble.
Dicho de otro modo: la personalización no demuestra nada. Solo demuestra que alguien, en algún sitio, tiene una línea de base de datos sobre ti. Lo cual, estadísticamente, ya es cierto para la práctica totalidad de la población adulta.
¿De dónde salen realmente esos datos? Cinco canales
1. Las brechas en comercios y transportistas
Es la fuente más abundante. Una tienda de comercio electrónico, una plataforma de venta de entradas, una cadena de bricolaje, un servicio de reparto de comida a domicilio: todos conservan ficheros de clientes con exactamente lo que hace falta. Cuando se produce una intrusión, esos ficheros salen en bloque.
La particularidad de transportistas y comerciantes es cruel: sus datos contienen el contexto de entrega. No solo tu dirección, sino también la existencia de un pedido, su fecha y a veces el nombre de la marca. Eso es lo que permite que el SMS mencione «tu paquete de Decathlon» en lugar de un vago «tu paquete».
2. Los agregadores y revendedores de ficheros
Entre la brecha y el SMS existe una industria intermedia. Hay actores que compran, cruzan y enriquecen bases de datos: combinan un fichero con nombre + correo electrónico con otro que tiene correo + teléfono, y obtienen un registro completo. Ese trabajo de cruce explica por qué datos robados en 2023 pueden producir un SMS perfectamente actualizado en 2026: tu dirección, probablemente, no ha cambiado.
3. Lo que publicas tú mismo
Un anuncio de venta con el barrio indicado, una reseña de Google firmada con tu nombre y tus apellidos, un perfil profesional que menciona tu ciudad, una foto del buzón publicada sin pensarlo. Por separado, cada elemento es inocuo. Ensamblados, forman un perfil.
4. Las etiquetas de los paquetes tiradas tal cual
Es el canal más subestimado y, paradójicamente, el más fácil de cortar. Una etiqueta de envío incluye tu nombre completo, tu dirección exacta, a menudo tu número de teléfono y un código de barras con el número de seguimiento. Tirada intacta en un cuarto de basuras o un contenedor de reciclaje, la puede leer cualquiera.
Una pequeña destructora de documentos de corte cruzado colocada junto a la papelera resuelve el asunto en tres segundos por paquete. Y si no, basta con pasar un rotulador opaco tapador sobre la etiqueta antes de tirarla: para el día a día es más que suficiente.
5. El marketing «legal» mal encuadrado
No todos los ficheros son robados. Algunos circulan mediante consentimientos obtenidos en condiciones dudosas: casillas premarcadas, concursos, formularios de «presupuesto gratuito». Después el dato se cede a socios, y luego a socios de los socios. En la quinta reventa ya nadie controla quién lo explota.
Lo que el SMS pide en realidad (y por qué casi nunca son 1,50 €)
El guion más extendido reclama una cantidad ridícula: 1,49 €, 2,30 €, «gastos de reenvío». Ese importe no es el objetivo. Sirve para tres cosas:
- Conseguir un número de tarjeta bancaria completo, con fecha de caducidad y código de seguridad.
- Validar que la tarjeta está activa, mediante una microtransacción que pasa sin levantar sospechas.
- Preparar el siguiente paso, es decir, la llamada de un falso asesor bancario que, unos días después, te pedirá «bloquear una operación sospechosa».
La Banque de France, en sus trabajos sobre el fraude en los medios de pago, subraya desde hace varios ejercicios el avance de las estafas llamadas «por manipulación»: aquellas en las que la propia víctima realiza la operación, convencida de estar protegiéndose. El SMS de entrega suele ser solo el primer ladrillo de ese edificio.
Una variante más reciente no pide ningún pago: propone «reprogramar la entrega» a través de una aplicación que hay que instalar. La aplicación es un programa malicioso que lee los SMS entrantes, es decir, los códigos de validación bancaria. Ninguna tarjeta introducida, ningún pago visible y, aun así, la cuenta se vacía.
Las seis señales que delatan el fraude, por muy documentado que esté
| Señal | En qué fijarse |
|---|---|
| El dominio del enlace | El transportista real usa su propio dominio. laposte.fr, no laposte-suivi-fr.co ni lapostefr.info |
| La petición de pago | Ningún transportista reclama por SMS un pago por un segundo intento de entrega |
| La urgencia con cifras | «En 24 h», «último aviso antes de la devolución»: la presión temporal es un indicio |
| El canal de respuesta | Un seguimiento real se comprueba en la aplicación o en la web, nunca a través del enlace recibido |
| La ortografía de la dirección | Los datos revendidos suelen estar algo degradados: tildes que faltan, abreviaturas extrañas |
| El remitente | Un número de móvil particular para una notificación automatizada: anomalía |
Este último punto merece un matiz importante: la ausencia de anomalías tampoco demuestra nada. Las técnicas de suplantación de remitente permiten mostrar un nombre de marca creíble. La única prueba verdaderamente fiable sigue siendo esta: nunca partir del mensaje, siempre volver a la fuente. Abre tú mismo la aplicación del transportista, o escribe tú mismo la dirección del sitio en el navegador.
Comprobar si tus datos ya circulan
No podrás recuperar lo que se ha filtrado, pero sí puedes saber hasta qué punto estás expuesto y, por tanto, calibrar tu vigilancia.
Los servicios de verificación de brechas. Hay herramientas independientes que permiten introducir una dirección de correo electrónico y obtener la lista de filtraciones conocidas que la contienen. Algunas admiten también el número de teléfono. Si tu dirección aparece en cinco incidentes, da por hecho que tu nombre y tu dirección postal también circulan.
Las alertas de tu banco. Activa las notificaciones para cualquier operación, incluidos los importes inferiores a 5 €. La mayoría de las entidades lo ofrecen gratis en los ajustes de su aplicación. Es el mejor detector de microtransacciones de prueba.
El derecho de acceso previsto por el RGPD. Puedes escribir a cualquier empresa para preguntarle qué datos tiene sobre ti, de dónde los ha obtenido y a quién se los ha cedido. La respuesta debe llegar en el plazo de un mes. La CNIL pone a disposición modelos de carta en su web. Este ejercicio, tedioso, tiene un efecto secundario útil: permite eliminar tu ficha en empresas cuya existencia habías olvidado.
Las listas de exclusión publicitaria. Inscribirse en la lista de oposición a las llamadas comerciales (Bloctel en Francia, la Lista Robinson en España) no detiene a los estafadores —ignoran la ley por definición—, pero reduce el ruido de fondo legal y hace más visibles los mensajes sospechosos.
Reducir la superficie de exposición, en la práctica
No existe un botón de «borrar mis datos de internet». Lo que sí existe es una serie de gestos que, sumados, reducen realmente la cantidad de información disponible sobre ti.
Compartimentar las identidades. Usa una dirección de correo dedicada a las compras en línea, distinta de la principal. Varios proveedores ofrecen alias desechables: si un alias empieza a recibir spam, sabes exactamente qué comerciante ha dejado escapar tu ficha.
Plantéate un segundo número. Una tarjeta SIM de prepago dedicada a registros, entregas y anuncios clasificados aísla tu número principal. El día en que ese número secundario se ahogue en SMS fraudulentos, lo cambias sin perder contactos ni cuentas.
Limitar los datos que das. Al hacer un pedido, el campo «datos adicionales de la dirección» no necesita contener «3.º izquierda, código 4512B». El número de teléfono a veces es opcional: cuando lo sea, déjalo en blanco.
Preferir los puntos de recogida siempre que se pueda. Así tu dirección personal no circula por la cadena logística.
Destruir los soportes físicos. Etiquetas, albaranes, extractos, cartas de la aseguradora. Una destructora de documentos de corte cruzado no es un capricho: es el único equipo que aborda la parte fuera de línea del problema.
Filtrar en el propio teléfono. Los sistemas móviles recientes saben separar a los remitentes desconocidos en una pestaña aparte y señalar los mensajes sospechosos. Tanto en Android como en iOS, esta opción está en los ajustes de la aplicación de Mensajes. No lo bloquea todo, pero rompe el efecto sorpresa.
Si has hecho clic: la secuencia de los primeros treinta minutos
Hacer clic no es fatal. Introducir los datos lo es mucho más. Este es el orden de prioridades.
- No vuelvas a usar la página abierta. Cierra la pestaña. No «corrijas» ningún dato introducido ni intentes «darte de baja».
- Si has introducido datos bancarios, llama de inmediato al número de bloqueo que figura en el reverso de tu tarjeta o en tu aplicación bancaria, nunca a un número recibido por mensaje. Pide el bloqueo de la tarjeta.
- Si has instalado una aplicación, corta los datos móviles y el Wi-Fi y desinstálala. Si dudas de que la infección haya desaparecido, restaurar los valores de fábrica sigue siendo la solución más segura.
- Cambia las contraseñas de las cuentas cuyas credenciales hayan podido pasar por ahí, empezando por el correo electrónico. Un gestor de contraseñas evita reutilizar la misma combinación en todas partes y acelera muchísimo este paso.
- Denuncia el mensaje al 33700, el dispositivo nacional francés de denuncia de SMS no deseados, reenviando el texto y luego el número del remitente. Es gratuito y alimenta el trabajo de bloqueo de los operadores.
- Notifica el incidente en Cybermalveillance.gouv.fr y, si hay perjuicio económico, presenta denuncia. Existe la denuncia previa en línea para las estafas sin autor identificado.
- Vigila tus extractos durante varios meses. Los datos robados a veces se explotan con semanas de retraso.
Para recordar: en materia de fraude por SMS, el derecho francés está del lado de la víctima. El artículo L.133-18 del Code monétaire et financier obliga al banco a reembolsar una operación de pago no autorizada, salvo negligencia grave del cliente. El debate gira precisamente en torno a esa noción de negligencia; de ahí la importancia de conservar las pruebas: capturas de pantalla del SMS, marcas de fecha y hora, intercambios con el banco.
Lo que cambia con la IA — y lo que no
Las redacciones especializadas han documentado en 2026 campañas que usan imágenes generadas por inteligencia artificial: la falsa foto del paquete «dejado ante tu puerta», adaptada al tipo de vivienda. La falta de ortografía como indicio de fraude pertenece al pasado, y la imagen ya no da fe de nada.
Lo que no cambia, en cambio, es la estructura de la estafa. Siempre necesita tres cosas: que hagas clic en un enlace que ella te proporciona, que introduzcas algo de valor y que lo hagas deprisa. Elimina una de las tres y el ataque fracasa, por sofisticado que sea.
Por eso las reglas sólidas no se refieren al aspecto del mensaje —que llegará a ser perfecto—, sino al camino que se toma. Volver a la fuente. Comprobar en la aplicación. Llamar a un número que has buscado tú mismo. Estos reflejos funcionan igual de bien frente a un SMS plagado de faltas que frente a un mensaje impecable que cita tu dirección con el número exacto.
Una guía divulgativa sobre ciberseguridad doméstica, dejada en una estantería y hojeada en familia, suele valer más que una alerta leída en diagonal: son los hábitos compartidos, y no los conocimientos individuales, los que protegen un hogar.
Para profundizar
- Cybermalveillance.gouv.fr: fichas prácticas sobre el phishing y notificación de incidentes.
- CNIL: modelos de carta para ejercer tus derechos de acceso, rectificación y supresión.
- 33700: denuncia gratuita de SMS y llamadas no deseadas, gestionada con los operadores franceses.
- Banque de France / Observatoire de la sécurité des moyens de paiement: informes anuales sobre el fraude, útiles para entender las tendencias.
- Signal Conso (DGCCRF): para denunciar a un comerciante o una práctica comercial dudosa.
El SMS que sabe tu nombre no es señal de que te hayan elegido personalmente. Es señal de que tus datos figuran en un fichero entre otros millones. La buena noticia, si se puede llamar así, es que esa banalidad te afecta igual que a tus vecinos, y que los gestos de protección siguen estando al alcance de cualquiera.
