Los $2.99 que te dicen que un mensaje de entrega es una estafa

Hay una sola línea enterrada en casi todos los mensajes de entrega falsos, y una vez que la ves no puedes dejarla de ver: una pequeña tarifa para liberar tu paquete. Dos dólares. Quizá tres. Un "cargo de reentrega" o un "ajuste de envío impago" tan trivial que lo pagarías sin pensarlo. Ese es el punto. La estafa no está diseñada para llevarse tus $2.99. Está diseñada para llevarse el número de tarjeta que escribes para pagarlo.

Esta es la temporada de estafas de entrega, y funciona según un calendario. El Anti-Phishing Working Group ha rastreado que el volumen de phishing sube en el cuarto trimestre durante años, con marcas de logística y envíos entre las categorías más falsificadas — exactamente cuando todos esperan una caja de alguien. El Servicio Postal de Estados Unidos ha sacado advertencias repetidas sobre mensajes de texto "smishing" que suplantan el rastreo de USPS, y Royal Mail de Gran Bretaña ha hecho lo mismo, advirtiendo a los clientes sobre falsos mensajes de "se debe una tarifa" que afirman que un paquete está atrapado. Países diferentes, guión idéntico.

El correo electrónico y el mensaje de texto son el mismo plan de juego con ropaje diferente. La versión de texto: un enlace corto, un número de rastreo que parece plausible, "USPS: tu paquete está en espera pendiente de una tarifa de $1.99". La versión de correo electrónico: un logo de transportista sacado del sitio real, un aviso falso de fallo de entrega, un botón que dice Reprogramar entrega o Pagar tarifa de aduanas. Ambos te canalizan a una página que pide tu nombre, dirección y una tarjeta para cubrir la tarifa. Algunos van más allá y piden un código de "verificación" que en realidad es la contraseña de un solo uso de tu banco.

Aquí está el detalle que quiebra ambos de una vez. Los transportistas legítimos no te cobran una tarifa para reentregar un paquete, y no cobran esa tarifa a través de un enlace en un mensaje de texto o correo electrónico. USPS reentreg gratis — lo programas en usps.com, sin tarjeta requerida. UPS y FedEx reentregan entregas fallidas sin cargo. La única excepción del mundo real es el arancel aduanal genuino en un envío internacional, y aun así el transportista te factura a través de tu cuenta o una factura documentada, no un SMS del mismo día con una cuenta atrás. Entonces la regla es casi insultantemente simple: un mensaje de entrega que te pide que pagues una tarifa por enlace es una estafa. Punto final. No necesitas inspeccionar nada más.

Pero si quieres confirmar, los indicios técnicos están ahí. Pasa el ratón sobre el remitente en una computadora real y el correo electrónico "USPS" viene de algún dominio de marketing comprometido, no de usps.com. El texto del enlace dice una cosa y señala a otro lugar. Y la autenticación falla silenciosamente — un dominio de remitente falsificado no pasará DMARC, que es por qué una bandeja de entrada de IA puede marcar estos antes de que jamás leas la palabra "tarifa". Eso es la mayoría de lo que hacemos en xmail cuando llega un mensaje con forma de transportista: verificar si el dominio realmente tiene derecho a enviar como esa marca, y luego buscar el patrón de enlace de pago más tarifa pequeña.

Los datos de la Federal Trade Commission respaldan por qué el número pequeño funciona. En 2023, los consumidores reportaron una pérdida mediana de $800 en estafas basadas en texto en general, pero la variedad de entrega prospera precisamente porque la solicitud se siente demasiado pequeña para ser un robo. Personas que se reirían de un correo electrónico de "transferencia bancaria de $5,000" escribirán un número de tarjeta para liberar un sudadera.

Si un mensaje de texto o correo electrónico dice que tu paquete está atrapado y el dinero lo liberará, ciérralo. Ve al sitio real del transportista y pega tu número de rastreo tú mismo. El paquete, si existe, está bien. Tu tarjeta es lo que realmente está en tránsito.