« Su paquete GLS-FR ha quedado retenido en el centro de clasificación: quedan impagados 2,99 € de gastos de despacho aduanero. Pague antes de 48 h para evitar la devolución al remitente: gls-regularisation-fr[.]top »
Martine, 61 años, de Angers, esperaba efectivamente dos paquetes: un par de zapatos comprado en un marketplace y un regalo de cumpleaños enviado por su hija. Pagó los 2,99 € sin dudar: el importe era tan irrisorio que ni siquiera se preguntó si estaba justificado. Once días más tarde, su extracto mostraba tres cargos de 59,90 € a favor de un «servicio de suscripción» domiciliado en Chipre. Los 2,99 € nunca habían sido el objetivo.
Ahí reside todo el ingenio de esta estafa, y por eso sobrevive desde hace años aunque todo el mundo crea conocerla: no intenta robarle dinero, intenta que usted mismo teclee sus dieciséis cifras en un teclado. El precio de entrada es deliberadamente ridículo porque un importe ridículo desactiva la desconfianza.
Por qué el paquete es el pretexto más rentable de Francia
Estadísticamente, usted casi siempre está esperando algo
Es la base del sistema. El falso SMS de entrega no necesita conocer sus pedidos: juega con las probabilidades. Con más de 1.500 millones de paquetes entregados cada año en Francia, según las cifras de la Arcep sobre el mercado de la paquetería, un adulto conectado tiene bastantes posibilidades de tener un envío en curso en cualquier momento del mes, y casi con total seguridad entre octubre y enero.
El estafador envía su mensaje a cientos de miles de números. Le basta con que un pequeño porcentaje de los destinatarios esté esperando un paquete en el momento exacto en que llega el SMS. Para esas personas, el mensaje no parece una estafa: parece una explicación.
El transportista es impreciso, y es intencionado
Probablemente haya notado que estos SMS rara vez citan el transportista correcto. Es porque, en el ecosistema del comercio electrónico, nadie sabe realmente quién entrega qué. Usted compra en un marketplace, el vendedor envía a través de un intermediario, que subcontrata la última milla a un proveedor local cuyo nombre nunca ha oído. Recibir un SMS de un transportista desconocido se ha vuelto algo banal.
Los nombres utilizados rotan constantemente: La Poste, Colissimo, Chronopost, Mondial Relay, DPD, GLS, UPS, DHL, Evri y, desde 2025-2026, nombres totalmente inventados que suenan a «logística» («EuroParcel», «FR-Logistics», «ColisExpress24»). Un nombre desconocido ya no le alerta. Es exactamente el efecto buscado.
La aduana es una zona gris para casi todo el mundo
Desde el fin de la exención del IVA para los paquetes pequeños importados y los debates europeos sobre las tasas aplicables a las plataformas extracomunitarias, la idea de que «hay que pagar algo en aduana por un paquete que viene del extranjero» se ha instalado en las cabezas. Y por una vez no es falsa: esos gastos existen realmente.
La Direction générale des douanes et droits indirects (DGDDI) lo recuerda en su web: los derechos e impuestos sobre los envíos procedentes de terceros países son recaudados por el transportista o por Correos, en el marco de la entrega, nunca mediante un SMS con enlace enviado por un remitente desconocido. Pero entre «es falso» y «es plausible», al estafador solo le hace falta lo plausible.
El verdadero objetivo: la tarjeta bancaria, no los 2,99 €
Por qué un importe tan pequeño
Un importe elevado activa la reflexión. Un importe con dos decimales activa un reflejo. Se superponen tres mecanismos:
- El importe por debajo del umbral de dolor. Pagar 2,99 € no «cuesta» nada psicológicamente: incluso si es un error, no es grave. El cerebro decide a favor de la tranquilidad.
- La coherencia narrativa. Unos gastos de despacho aduanero de 300 € por un par de zapatos sonarían falsos. 2,99 € es exactamente el importe de una tasa administrativa creíble.
- El pago como prueba de vida de la tarjeta. Una microtransacción que se aprueba valida tres cosas para el estafador: la tarjeta está activa, el límite está disponible y el titular valida los pagos sin fijarse demasiado.
Lo que realmente se captura en la página falsa
El formulario de pago es el corazón del dispositivo. Siempre pide más de lo que necesitaría un pago real de 2,99 €:
| Dato solicitado | Uso real por parte del estafador |
|---|---|
| Número de 16 cifras, fecha, CVV | Pagos en línea, reventa del «kit tarjeta» |
| Nombre, dirección completa | Elusión de los controles AVS, credibilidad de las llamadas posteriores |
| Número de teléfono | Llamada del falso asesor bancario en los minutos siguientes |
| Banco y credenciales | Toma de control del área de cliente |
| Código recibido por SMS (3-D Secure) | Validación de una operación mucho mayor que 2,99 € |
Es este último punto el que marca la diferencia entre una estafa de 3 € y una de 3.000 €. La página muestra «Confirmación del pago de 2,99 €: introduzca el código recibido por SMS». Pero ese código lo ha emitido su banco real para una operación cuyo importe usted no ve: una suscripción recurrente, la incorporación de la tarjeta a un monedero móvil o una recarga de cuenta de pago.
Las tres salidas posibles después del clic
- La suscripción oculta. La tarjeta queda inscrita en un «servicio premium» de 39 €, 49 € o 59 € al mes, con sede en el extranjero y condiciones generales en letra minúscula. El cargo no aparece hasta unas semanas después.
- La reventa del conjunto de datos. Su información acaba en un mercado donde se compra por lotes. El cargo puede producirse meses más tarde, lo que hace casi imposible relacionarlo con el SMS.
- La escalada telefónica. Un «asesor de su banco» le llama en menos de 48 h, menciona su nombre real, su banco real y un «cargo sospechoso de 2,99 €», y le hace validar transferencias «de anulación». Es el escenario más costoso.
Detectar el fraude en doce segundos
Mire el dominio, no el nombre mostrado
El único elemento imposible de falsificar limpiamente sigue siendo la dirección del sitio. Los transportistas reales usan dominios sencillos y cortos: laposte.fr, chronopost.fr, mondialrelay.fr, dpd.fr, gls-group.com. Los falsos acumulan palabras clave antes de una extensión exótica:
laposte-colis-suivi-regularisation[.]icuchronopost-fr[.]supportmondialrelay-paiement-securise[.]topcolissimo[.]fr-tracking[.]cc— aquí el nombre real es solo un subdominio, el sitio real esfr-tracking.cc
La regla práctica: lea el nombre de dominio de derecha a izquierda a partir de la extensión. La palabra situada justo antes del punto final es el propietario real. Todo lo que queda a la izquierda puede decir cualquier cosa.
El número de seguimiento que no sigue nada
Un número de seguimiento real se puede verificar en la web oficial del transportista, introduciéndolo a mano. Los SMS fraudulentos muestran referencias con un formato convincente, pero inventadas. Bastan dos minutos: abra usted mismo la aplicación o la web del transportista, pegue el número y compruebe que no existe. Es la prueba más fiable de todas y no requiere ninguna competencia técnica.
Las señales secundarias
- Un plazo de 48 h o 24 h antes de la «devolución al remitente». Los transportistas guardan los paquetes varios días y le avisan por varios canales.
- La ausencia de su nombre. Los avisos de paso reales casi siempre lo mencionan.
- Un remitente con +33 6 o +33 7. Los transportistas usan números cortos o remitentes alfanuméricos, no un móvil particular.
- Una petición de datos de tarjeta bancaria por SMS, cuando los gastos de aduana reales se reclaman a través del cartero, en el punto de recogida o en su área de cliente.
En caso de duda, no haga clic nunca desde el mensaje. Ciérrelo, abra la aplicación oficial del transportista y compruebe el estado de sus envíos. Si no hay nada bloqueado, no hay nada que pagar.
Reducir la superficie de ataque antes incluso del primer SMS
Una tarjeta virtual para todo lo que no sea esencial
La mayoría de los bancos franceses ofrecen ya un número de tarjeta efímero o con límite para las compras en línea. Usar sistemáticamente ese número para los pedidos en sitios desconocidos cambia radicalmente las cosas: aunque sus datos sean capturados en una página falsa, quince días después no valdrán nada.
Para quienes acumulan compras y pierden el hilo, una libreta de seguimiento de pedidos llevada a mano suele bastar para saber, de un vistazo, si realmente se está esperando un paquete. Es básico, pero es precisamente lo que el estafador apuesta que usted no tiene.
Un punto de recogida mejor que el buzón
Pedir la entrega en punto de recogida o en taquilla limita el número de SMS legítimos que recibe, y por tanto el ruido en el que se esconde el mensaje falso. Si recibe muchos paquetes en casa y nunca está allí, un buzón de paquetes seguro también reduce esos «avisos de paso» inoportunos que sirven de modelo a los estafadores.
No leer los SMS sensibles de cualquier manera
Parte de la trampa está en la lectura: en una pantalla de 5 pulgadas, caminando, la dirección del sitio aparece truncada y el ojo solo ve «laposte». Acostumbrarse a revisar los mensajes financieros estando quieto y, si hace falta, con unas gafas de lectura a mano, evita buena parte de los clics reflejos. Para las personas mayores con un teléfono de teclas grandes, ampliar la fuente en los ajustes de accesibilidad es el gesto más útil: un enlace en cuerpo 20 se lee, un enlace en cuerpo 11 se adivina.
Bloquear el pago, no solo el teléfono
Tres ajustes que conviene activar una vez y para siempre en la aplicación de su banco:
- Notificación instantánea de cada operación, aunque sea de un euro;
- Límite de pago en línea reducido a lo que realmente necesita;
- Bloqueo de los pagos fuera de la zona euro si no compra en el extranjero.
Una estafa que fracasa ante un límite de 150 € no le cuesta nada, aunque haya hecho clic.
Ha pagado los 2,99 €: qué hacer
En la primera hora
- Bloquee la tarjeta desde la aplicación bancaria o a través del servicio interbancario en el 0 892 705 705. Bloquearla no anula los cargos ya realizados, pero detiene todo lo demás.
- No responda a ninguna llamada que se presente como su banco en los días siguientes. Cuelgue y llame usted mismo al número que figura en el reverso de su tarjeta.
- Cambie la contraseña de su banca en línea y de su correo electrónico si los introdujo.
- Haga capturas de pantalla del SMS, de la dirección del sitio y del extracto: será su expediente.
En los días siguientes
- Denuncie el SMS al 33700 reenviándolo (gratuito, servicio común de los operadores franceses contra los mensajes fraudulentos) y envíe después el número del remitente cuando se lo pidan.
- Denuncie la dirección del sitio en la plataforma Phishing Initiative y el hecho fraudulento en cybermalveillance.gouv.fr, que ofrece un itinerario de asistencia adaptado a los particulares.
- Presente denuncia en línea o en comisaría. El artículo L.133-18 del Code monétaire et financier prevé el reembolso de las operaciones de pago no autorizadas; el banco puede, sin embargo, alegar negligencia grave, y la denuncia pesa en la discusión.
- Vigile sus extractos durante seis meses. Las suscripciones ocultas y los cargos diferidos son la verdadera factura de esta estafa. Si su banco se niega, acuda al defensor del cliente bancario y, en su caso, al Banque de France.
¿Y si solo hizo clic, sin introducir nada?
El riesgo es bajo, pero no nulo. Un simple clic en un enlace de smishing confirma sobre todo que su número está activo: espere un aumento de mensajes en las semanas siguientes. En Android, si en esa ocasión se instaló alguna aplicación fuera de Play Store, desinstálela de inmediato y revise los permisos de acceso a los SMS en los ajustes. El consejo habitual también vale: guardar regularmente sus datos en una memoria USB cifrada le permite restablecer un teléfono sospechoso sin perder nada.
Lo que esta estafa dice del resto
El falso SMS de aduanas se ha convertido en un clásico porque se basa en un principio que va más allá de los paquetes: pedir poco para obtener mucho. Lo encontramos en los falsos SMS de multa de 35 €, en las falsas renovaciones de tarjeta sanitaria por 1 €, en los falsos gastos de reenvío de 1,79 €. Cada vez, el importe minúsculo actúa como anestesia.
La contramedida es, por tanto, conductual y no técnica: considerar que un importe pequeño solicitado por SMS es más sospechoso que uno grande. Un estafador que le reclama 2.000 € le pone en alerta. El que le reclama 2,99 € cuenta precisamente con que no se pondrá en alerta. Invertir ese reflejo es lo esencial del trabajo; y en los hogares donde varias personas comparten una tarjeta o una cuenta, una pequeña guía de seguridad digital colocada junto al ordenador familiar suele hacer más bien que diez recomendaciones olvidadas.
El resto se resume en una frase: ningún paquete se pierde jamás por tres euros. Si un envío está realmente bloqueado, esperará a que usted lo haya comprobado.
