SMS de Correos falso: señales y qué hacer si has pinchado

Un SMS de Correos falso se reconoce por lo que te pide: pagar unas tasas, «actualizar» tu dirección o escribir los datos de tu tarjeta a través de un enlace. Correos asegura que nunca solicita datos personales ni bancarios por SMS, correo electrónico o teléfono. No pinches el enlace. Busca tú el número de seguimiento en correos.es o en la app oficial, y si ya has metido los datos de la tarjeta, llama ahora a tu banco.

Estos mensajes copian el tono de los avisos de entrega reales y, como casi siempre esperamos algún paquete, parecen creíbles. Buscan tu tarjeta, tus datos personales o ambos. En TrustCamera desarrollamos una app de cámara que asigna un código de comprobación a cada foto al hacerla, así que nos fijamos mucho en cómo los estafadores se hacen pasar por otro remitente. Aquí verás qué dice Correos sobre sus comunicaciones, las señales de alerta, cómo comprobar tu envío sin riesgo, qué hacer si pinchaste y dónde denunciarlo.

Cómo saber si un SMS de Correos es falso: lo que Correos nunca te pide

Un SMS de Correos es falso si te pide pagar, confirmar tu dirección o escribir datos personales o bancarios a través de un enlace. Correos explica que no solicita esos datos por SMS, que no cobra extras por entregar un paquete y que no te pedirá actualizar la dirección. Ante la duda, consulta el envío tú mismo en correos.es.

La empresa lo repite en varias páginas de su web. En su artículo sobre el smishing detalla los tres engaños más frecuentes en su nombre: el pago de aduanas, el pago por entregar un envío y la actualización de los datos de entrega. Para los dos primeros aclara que no pide pagos directos por email o SMS y que sus envíos no tienen pagos adicionales. Sobre la dirección dice que nunca recibirás esa comunicación, porque ya tiene tus datos y los verifica antes del envío.

En nuestra opinión, el enlace pesa más que el remitente. Un mensaje se puede disfrazar de oficial, pero para consultar un envío o pagar unas tasas reales no necesitas el enlace de un SMS. Si un mensaje sobre tu paquete te lleva a una web donde tienes que pagar o escribir datos, ciérrala y entra por tu cuenta.

La estafa del SMS de Correos: entrega suspendida y tasas de aduana

El texto cambia, el guion no. INCIBE recoge ejemplos de smishing que suplantan a empresas de paquetería, como «La entrega de su paquete ha sido suspendida debido a que falta el número de la calle». Otro ejemplo de su lista avisa de unas tasas de aduana sin pagar de 2,64 €. Según INCIBE, el objetivo suele ser conseguir datos personales o bancarios, o tomar el control del móvil si instalas una app maliciosa desde el enlace.

La cantidad suele ser pequeña, y eso hace que pagar parezca inofensivo. Para nosotros, la tasa es solo el cebo. Lo que de verdad busca el estafador es el número de tu tarjeta, tu nombre y tu dirección, que puede volver a usar mucho después de que hayas olvidado esos dos euros. Correos advierte además de que la IA hace estos mensajes cada vez más realistas y parecidos a sus comunicaciones legítimas.

La página tras el enlace es una copia de una web real, a veces muy convincente. En nuestra guía sobre cómo saber si una página web es fiable verás las comprobaciones que delatan una web falsa, desde la dirección hasta las formas de pago. Aun así, la comprobación más sencilla es no llegar nunca a ella desde un SMS.

SMS de Correos con tasas de aduana: cuándo hay un pago real

La estafa de las aduanas resulta creíble porque tiene una parte de verdad. Según la página de trámites aduaneros de Correos, la mercancía que llega a la península y Baleares desde fuera de la Unión Europea, Canarias, Ceuta o Melilla está sujeta a trámites de importación. Puede haber aranceles, IVA y una tarifa de Correos por la gestión. En Canarias y Melilla, cualquier mercancía que entra está sujeta a trámites aduaneros, y en Ceuta puede estarlo.

Por eso un aviso de aduanas no siempre es mentira, pero el enlace del SMS sobra. En el artículo sobre smishing enlazado arriba, Correos indica que la única web oficial para estos trámites es correosaduanas.es. Escribe tú esa dirección en el navegador y busca el envío con el número que te dio la tienda. Si vives en la península o en Baleares y la tienda envía desde allí o desde otro país de la UE, una reclamación de aduanas es, para nosotros, una señal clara de fraude.

Si compras a menudo en tiendas de fuera de la UE, cuenta con estos gastos desde el principio. Y si un paquete que esperas de verdad aparece retenido, consulta su estado en correos.es o en la app de Correos con el número que te dio la tienda, no con el del mensaje.

Seis señales de alerta de un SMS de Correos falso

No hace falta abrir el enlace para juzgar un aviso de entrega. Estas señales delatan a la mayoría de los mensajes falsos, y con una sola ya conviene parar:

• Te pide dinero: tasas de aduana, gastos de reenvío o cualquier otro cargo.
• Te pide datos: tu dirección, tu DNI, tu tarjeta o una contraseña.
• Trae un enlace para resolver algo: pagar, confirmar datos o reprogramar la entrega, aunque la dirección contenga la palabra «correos». Ábrelo tú desde correos.es, no desde el SMS.
• Mete prisa: el paquete se devolverá o se destruirá si no actúas hoy.
• Tiene errores: faltas de ortografía o frases mal traducidas.
• No encaja contigo: no has pedido nada o el número de envío no aparece en los correos de la tienda.

INCIBE describe en su página sobre smishing casi las mismas características: remitente desconocido, errores gramaticales, solicitudes inusuales, enlaces sospechosos y amenazas o urgencia. Su consejo es no responder ni pinchar en ningún enlace. Si tienes dudas, contacta con la empresa a través de su web oficial o de su teléfono, nunca respondiendo al SMS.

Remitente «Correos»: por qué el nombre no demuestra nada

Un SMS puede llegar con «Correos» como remitente y aun así ser falso. INCIBE advierte de que cada vez es más frecuente que el remitente esté suplantado para que parezca el de la entidad legítima. El móvil agrupa los mensajes por remitente, así que el aviso falso puede aparecer en la misma conversación que los avisos reales que ya tenías, y eso lo hace mucho más creíble.

Desde el 15 de septiembre de 2026, España pone más difícil este truco. La Orden TDF/149/2025 obliga a las empresas que envían SMS con un nombre como remitente, un «alias», a inscribirlo en un registro de la Comisión Nacional de los Mercados y la Competencia (CNMC). Según su artículo 8, los operadores deben bloquear los mensajes con alias no inscritos o enviados por proveedores no habilitados. El artículo 7 añade el bloqueo de los SMS que llegan desde el extranjero con un alias español, salvo en itinerancia.

En nuestra opinión, eso reduce los SMS falsos con el nombre de Correos, pero no los hace desaparecer. Un estafador puede escribir desde un número móvil normal, por WhatsApp o por correo electrónico. La regla no cambia: lo que decide no es quién parece enviar el mensaje, sino si te lleva a pagar o a dar datos a través de un enlace.

Cómo comprobar tu envío de Correos sin pinchar el enlace

Diga lo que diga el SMS, puedes comprobar tu paquete sin él. Tardas lo mismo que en pinchar el enlace y sirve para cualquier versión del timo:

1. No pinches el enlace: ni siquiera para ver qué pone. Tampoco respondas al mensaje.
2. Busca tu propio número de envío: está en el correo de confirmación de la tienda o en tu cuenta de cliente. El número del SMS puede ser inventado.
3. Escribe tú la dirección: abre el navegador, teclea correos.es y busca el envío, o usa la app oficial de Correos o el seguimiento de la tienda.
4. Compara: si el seguimiento oficial no muestra tasas, problemas con la dirección ni intentos fallidos, trata el SMS como falso.
5. ¿Dudas de un email? Usa el verificador de email de Correos con el código del recuadro amarillo.

Si el seguimiento todavía no encuentra tu número, puede que la tienda aún no haya entregado el paquete a la empresa de transporte. Pregunta a la tienda, no a un contacto del SMS. Y si un paquete real llega roto, en nuestra guía sobre qué hacer con un paquete dañado verás cómo documentarlo y reclamar. Para los emails, Correos indica que sus comunicaciones oficiales salen de [email protected] y que la forma más segura de comunicarte con la empresa es su app.

He pinchado en un SMS de Correos falso: qué hacer ahora

Lo que tienes que hacer depende de hasta dónde llegaste. Abrir y leer el SMS no suele ser el problema, en nuestra opinión. El riesgo está en lo que escribes en la web falsa o instalas en el móvil.

Estos pasos siguen los consejos de INCIBE para quien ha caído en un smishing. Si diste datos bancarios, contacta con tu banco lo antes posible y vigila los movimientos de tus cuentas. Cambia las contraseñas afectadas, borra el mensaje y bloquea el número. Cuanto antes bloquees la tarjeta, menos margen tiene el estafador.

Si aparecen cargos que no reconoces, comunícalos a tu banco sin demora. El Real Decreto-ley 19/2018 de servicios de pago fija en su artículo 43 un plazo máximo de trece meses desde el adeudo para pedir la rectificación de una operación no autorizada. Según el artículo 45, el banco debe devolver el importe como muy tarde al final del día hábil siguiente. La excepción es que sospeche de forma fundada que el propio cliente ha actuado de forma fraudulenta y se lo comunique por escrito al Banco de España.

El artículo 46 pone un límite: si el cliente actuó de forma fraudulenta o incumplió sus obligaciones de forma deliberada o por negligencia grave, soporta todas las pérdidas. Cada caso es distinto. Si el banco rechaza la devolución, presenta una reclamación por escrito ante su servicio de atención al cliente. Recuerda que es el banco quien tiene que demostrar que actuaste con negligencia grave (artículo 44). Si no te da la razón, puedes reclamar ante el Banco de España a través de su Portal del Cliente Bancario.

En Android, no instales nada que te ofrezca el enlace de un SMS, aunque se presente como app de seguimiento o como actualización de seguridad. INCIBE recomienda mantener al día el sistema y las apps y valorar un software de seguridad para el móvil. Si pagaste en una web falsa y quieres intentar recuperar el dinero, te explicamos los pasos en cómo denunciar una página web falsa.

Cómo denunciar un SMS de Correos falso

Denúncialo aunque no hayas pinchado. El INCIBE-CERT ofrece un buzón de correo y un formulario para reportar phishing, smishing y otros fraudes. Pide una descripción del incidente, tus datos de contacto y, si es posible, la prueba del fraude. Puedes reenviar el mensaje, hacer una captura o mandar la URL, sin abrirla. Para dudas, INCIBE atiende gratis en el 017, por WhatsApp en el 900 116 117 y por Telegram (@INCIBE017).

Avisa también a Correos. En su artículo sobre smishing, la empresa invita a informar del intento de fraude a su atención al cliente. INCIBE aconseja, igualmente, contactar con la empresa suplantada por sus canales oficiales. Después, bloquea el número en tu móvil y borra el mensaje.

Si has perdido dinero o has dado datos, presenta una denuncia en la Policía Nacional, la Guardia Civil o, según dónde vivas, los Mossos d'Esquadra, la Ertzaintza o la Policía Foral. La Policía Nacional permite adelantarla en su Oficina Virtual de Denuncias. Luego tienes que firmarla en la comisaría que elijas en un máximo de 72 horas, porque sin firma carece de validez jurídica.

Antes de denunciar, guarda capturas del SMS con el remitente y la fecha, de la web falsa y de los cargos en tu cuenta. Lo que hace útil una captura como prueba lo explicamos en nuestra guía sobre fotos como prueba en juicio.

El mismo truco con SEUR, GLS, Wallapop y otras compras online

Correos no es el único nombre que aparece en estos mensajes. INCIBE habla de suplantaciones de empresas de paquetería y transporte en general, y la regla vale para todas, ya sea SEUR, GLS, MRW, Correos Express, DHL o InPost. Entra tú en la web o en la app de la empresa y escribe el número de seguimiento de tu confirmación de pedido. Si hay un problema real con la entrega, aparecerá allí.

Los trucos con envíos también aparecen en la compraventa entre particulares. En Wallapop hay falsos compradores que mandan enlaces que imitan un pago o un envío para quedarse con los datos de tu tarjeta. Lo explicamos en nuestra guía sobre estafas en Wallapop, con las señales de alerta para quien compra y para quien vende.

En esa guía también verás por qué conviene seguir un envío en la web de la empresa de transporte y no en un enlace del chat. Qué formas de pago te protegen de verdad lo comparamos en cómo pagar en Wallapop. Y si compras en una tienda que no conoces, revisa antes de pedir cómo saber si un producto es falso.

Preguntas frecuentes sobre los SMS falsos de Correos

¿Correos envía SMS para pagar aduanas?

Correos dice que nunca pide pagos directos por email o SMS y que la única web oficial para los trámites de aduanas es correosaduanas.es. Un paquete de fuera de la UE puede tener gastos de importación reales. Aun así, los consultas y los pagas tú en esa web, escribiendo la dirección y usando el número de envío que te dio la tienda.

¿Qué pasa si solo he abierto un SMS de Correos falso?

En nuestra opinión, normalmente nada. Las advertencias de Correos e INCIBE se centran en el enlace y en los datos que escribes en la web falsa. Si solo has leído el mensaje, no respondas, no pinches, denúncialo y bórralo. Si pinchaste pero no escribiste nada, cierra la página y comprueba en Android que no se haya instalado ninguna app.

¿Correos me puede pedir que actualice mi dirección por SMS?

No. Según Correos, nunca recibirás una comunicación para actualizar la dirección de entrega, porque la empresa ya tiene tus datos y los verifica antes de hacer el envío. Un SMS que dice que falta el número de la calle y trae un enlace encaja con los ejemplos de smishing que publica INCIBE.

He metido los datos de mi tarjeta: ¿recupero el dinero?

Llama a tu banco en cuanto te des cuenta para bloquear la tarjeta y comunica los cargos que no reconozcas. La normativa de servicios de pago (Real Decreto-ley 19/2018) da un plazo máximo de trece meses para reclamar operaciones no autorizadas. El banco debe devolverlas salvo que sospeche de forma fundada que el propio cliente ha actuado de forma fraudulenta. Si actuaste con negligencia grave, puedes tener que asumir las pérdidas, aunque es el banco quien tiene que demostrarlo.

¿Dónde se denuncia un SMS falso de Correos?

Repórtalo al INCIBE-CERT con una captura o el texto del mensaje, avisa a Correos a través de su atención al cliente, bloquea el número y bórralo. Si has perdido dinero o has dado datos, denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica. Para dudas, llama gratis al 017 de INCIBE.

¿Cómo sé si un email de Correos es real?

Correos indica que sus comunicaciones oficiales llegan desde [email protected] y que los emails de envíos llevan un código seguro en un recuadro amarillo al final. Ese código y tu dirección de correo se introducen en el verificador de email de Correos, que te dice si el mensaje es legítimo o un posible fraude.

Conclusión: nunca arregles una entrega desde el enlace de un SMS

Un SMS de Correos falso solo funciona si actúas sobre el propio mensaje: pinchas el enlace, pagas la pequeña tasa, escribes la tarjeta. Correos no pide pagos ni datos por SMS, y hasta unas aduanas reales se gestionan sin ese enlace. Diga lo que diga el aviso, comprueba el número de envío tú mismo en correos.es o en la web de la tienda, y esquivarás todas las versiones del timo.

Si algo ya ha salido mal, actúa rápido. Llama a tu banco, cambia las contraseñas y revisa el móvil si instalaste algo. Después, denuncia el SMS ante INCIBE y, si perdiste dinero, ante la policía.