La cuota de aduanas de $1,99 es la forma más barata de robar tu tarjeta completa

Dos dólares. Ese es el precio de tu confianza, y los estafadores saben que es una ganga.

Aquí está el texto que probablemente ya recibiste: tu paquete está atrapado en aduanas, o una reentrega falló, y hay una pequeña cuota para liberarlo — $1,99, £2,99, alguna cantidad insignificante. Toca el enlace, ingresa tu tarjeta, y el paquete está de camino. Excepto que no hay paquete. No hay cuota. Solo está el formulario, y el formulario es todo el robo.

El genio del número pequeño es que desactiva la parte de tu cerebro que huele una estafa. Nadie imagina una empresa criminal construida alrededor de recaudar $1,99. Se siente demasiado trivial para molestarse en falsificar. Ese instinto es exactamente la vulnerabilidad siendo explotada. Los dos dólares son teatro. Lo que los criminales realmente quieren es lo que escribes en la siguiente pantalla: número de tarjeta completo, fecha de vencimiento, CVV, y cada vez más un nombre, dirección, y un código de un solo uso que amablemente enviarás cuando tu banco envíe un texto para "verificar".

La escala aquí no es pequeña. Los datos del Consumer Sentinel de la FTC muestran que los reportes de fraude por texto han explotado, con consumidores reportando aproximadamente $470 millones perdidos en textos de estafa en un solo año — y los avisos falsos de paquetes y entregas están consistentemente entre los abrimientos más reportados. No es $1,99 a la vez. Son tarjetas drenadas, revendidas en foros de carding, y pasadas por lavadores de tarjetas de regalo antes de que termines tu café.

La pista está en quién pregunta, y cómo

USPS emitió una alerta clara al consumidor sobre este esquema exacto, y dice la parte silenciosa en voz alta: el Servicio Postal no envía mensajes de texto pidiendo información personal o pago para reentrega de un paquete. Royal Mail dice lo mismo. UPS, FedEx, DHL — lo mismo. Ninguno de ellos cobra una cuota de entrega o aduanas a través de un enlace en un texto.

Ese último punto es uno para tatuarse en algún lugar. Los cargos reales de aduanas, cuando existen, son manejados por el transportista en la puerta, a través de su aplicación oficial que ya instalaste, o en una página de pago a la que llegaste escribiendo la dirección tú mismo. No son cobrados por un SMS de un extraño a las 9 p.m. con un enlace acortado y una vibra de cuenta atrás.

Mira el enlace y las pistas se acumulan. El dominio nunca es usps.com o royalmail.com. Es un look-alike lleno del nombre de la marca como subdominio — algo como usps-trackfee.help o una dirección raw .top/.xyz. Los transportistas reales usan su propio dominio. Si el remitente es una dirección Gmail aleatoria o un número de teléfono de un país del que nunca ordenaste, ese es el sonido de la máscara cayéndose.

Por qué el correo electrónico enseña la misma lección

La ola de smishing rima con el email de phishing que ya conoces. En correo electrónico podemos verificar la fontanería — si un mensaje pasó SPF, DKIM, y DMARC, las tres verificaciones que prueban que el remitente es realmente quien dice ser. Una nota que dice que es de FedEx pero falla DMARC está usando una chaqueta prestada. SMS elimina todo eso. No hay encabezado para inspeccionar, ninguna autenticación para fallar, solo una oración y un enlace. Es precisamente por eso que los criminales lo aman — el medio oculta la evidencia.

Así que trata cada texto de entrega inesperado como ficción hasta que se pruebe lo contrario. No toques. Abre la aplicación real del transportista o escribe la dirección a mano. Si realmente esperas algo, encontrarás la verdad allí en diez segundos.

¿Y si ya escribiste tu tarjeta en uno de estos? Llama a tu banco ahora, no mañana. Lo único que esa estafa acertó fue tu dinero — y los criminales están contando con que estés demasiado avergonzado por $1,99 para moverte rápido.