Por qué el SMS falso de Correos sigue apareciendo en el mismo hilo que los mensajes reales aunque bloquees el número

Bloqueas el número, borras el SMS y das el asunto por cerrado. Y a los pocos días, un mensaje casi idéntico se cuela justo en la misma conversación de tu móvil donde tienes guardados los avisos reales de Correos, como si el bloqueo no hubiera servido de nada.

No es un fallo de tu operadora ni una casualidad rara. Es una técnica conocida como suplantación del remitente, y explica por qué bloquear un número casi nunca frena el SMS falso de Correos de verdad, aunque parezca la solución más lógica del mundo.

Por qué bloquear el número no sirve de nada contra este SMS

Cuando piensas en un número de teléfono sospechoso, imaginas una cifra concreta que puedes bloquear y olvidarte del problema. El problema es que muchas campañas de smishing de paquetería no usan un número fijo real, sino un campo de remitente alfanumérico que el atacante puede escribir a su gusto, igual que tú escribes el asunto de un correo. Ese campo es el que hace que tu móvil muestre la palabra «Correos» en la pantalla, exactamente igual que hacen los avisos legítimos de la empresa.

Bloquear un número concreto solo impide que ese número exacto vuelva a escribirte, un problema parecido al que ocurre con las llamadas de números fantasma que en realidad no existen. Si la siguiente oleada llega desde otro origen técnico, pero con el mismo remitente alfanumérico falsificado, tu móvil la sigue agrupando en la misma conversación de siempre, y el bloqueo previo no pinta nada. Esta es la razón técnica por la que tanta gente jura que «el SMS estafa vuelve aunque lo bloqueé»: en realidad no es el mismo origen, solo lo parece.

Las empresas de paquetería y las operadoras que envían avisos legítimos usan lo que se conoce como un código corto o remitente registrado, un canal contratado y verificado que no puede usar cualquiera. Los estafadores, en cambio, se apoyan en plataformas de envío masivo de SMS (muchas veces alojadas fuera de España) que permiten escribir cualquier texto en el campo del remitente sin ningún tipo de verificación previa. Esa diferencia de origen es invisible para el usuario, pero es la que explica por qué una empresa real no puede «hacerse pasar» por otra sin que salte ninguna alarma, y un estafador sí. Es también la razón por la que un SMS falso de Correos puede convivir sin problema en el mismo hilo que los avisos legítimos durante meses, sin que el operador detecte nada raro en el envío.

¿Por qué el SMS aparece justo en la conversación de los avisos reales de Correos?

La mayoría de aplicaciones de mensajes no agrupan las conversaciones por número de teléfono cuando el remitente usa ese campo alfanumérico, sino por el nombre que llega en ese campo. Si el sistema de mensajería del móvil lee «Correos» tanto en el aviso real como en el falso, los mete en el mismo hilo sin distinguir el origen real detrás de cada uno.

Esto tiene una consecuencia incómoda: cuanto más confías en ese hilo por llevar meses recibiendo ahí avisos legítimos de tus envíos, más fácil es que bajes la guardia con el mensaje falso que aparece justo debajo. El cerebro asocia el contexto (la conversación de siempre) con la confianza, y no repara en que el contenido, no el hilo, es lo que hay que revisar cada vez.

Este mismo mecanismo de agrupación por nombre, y no por origen real, es la base de otras suplantaciones de remitente que ya hemos visto con organismos públicos, como en la estafa del SMS de la DGT sobre una multa pendiente: una campaña de smishing puede escribir «DGT», «Hacienda» o cualquier otro nombre reconocible en ese campo y lograr el mismo efecto de mezcla con avisos legítimos anteriores. El disfraz cambia según la temporada (paquetería en campañas de compras, tráfico y multas en otros momentos del año), pero la vulnerabilidad técnica que lo hace posible es siempre la misma.

Las señales que sí delatan el timo, aunque el hilo parezca de fiar

Ya que el remitente y el hilo no sirven como referencia para distinguir un SMS falso de Correos de uno real, conviene fijarse en otros detalles que sí son fiables. El primero es el enlace en sí: Correos nunca pide el pago de una tasa de aduana ni la confirmación de una entrega a través de un enlace corto o de un dominio que no termine exactamente en correos.es. Si el enlace lleva a una dirección acortada, con guiones añadidos o con una extensión rara, ya tienes la respuesta.

El segundo detalle es el propio mecanismo de pago. Correos nunca solicita que introduzcas los datos completos de tu tarjeta bancaria directamente desde un SMS para «liberar» un paquete; ese paso, si existiera, siempre pasaría por su web oficial o por su app, nunca por un formulario improvisado tras un enlace de texto. El tercero es la ausencia de un número de seguimiento real verificable: los avisos legítimos siempre incluyen una referencia que puedes comprobar de forma independiente, no solo una frase genérica sobre una tasa pendiente.

Fíjate también en el tono general del texto. Un mensaje del tipo «tu envío está retenido en aduana, paga la tasa pendiente en las próximas horas o será devuelto» combina justo los dos ingredientes que hacen efectivo este fraude: una fecha límite corta y una cantidad que suena razonable, para que no te pares a pensarlo dos veces. Cuando un SMS junta esos dos elementos y además incluye un enlace fuera del dominio oficial, ya tienes prácticamente confirmado que no viene de Correos, sin necesidad de fijarte en qué conversación ha aparecido.

Qué hacer si ya has abierto el enlace o metido tus datos

Si solo has abierto el enlace de un SMS falso de Correos pero no has introducido ningún dato, basta con cerrar la pestaña y borrar el mensaje; no necesitas hacer nada más en el móvil. El escenario cambia por completo si llegaste a escribir los datos de tu tarjeta o cualquier contraseña en la página que se abrió después del enlace.

En ese caso, el primer paso es llamar a tu banco para bloquear la tarjeta de inmediato y revisar los movimientos recientes, antes incluso de seguir leyendo cualquier guía. Después conviene cambiar la contraseña de cualquier cuenta donde uses esa misma clave, reportar el SMS al 7726 (el número gratuito habilitado para denunciar smishing en España, válido para casi todos los operadores) y, si ha habido pérdida económica, poner una denuncia ante la Policía Nacional o la Guardia Civil aportando capturas del mensaje y del enlace.

Conviene además vigilar la bandeja de entrada del correo electrónico durante los días siguientes, aplicando la misma cautela que conviene tener para proteger tu correo electrónico del phishing y los accesos no autorizados. Es habitual que, tras un primer ataque de smishing con éxito, el mismo número de teléfono acabe recibiendo también correos de phishing más elaborados, porque el atacante ya sabe que ese contacto ha caído una vez y prueba suerte por otra vía distinta. No hace falta obsesionarse, pero sí revisar con algo más de calma cualquier correo de un banco o una tienda online que llegue en esos días.

Cómo comprobar de verdad si tienes un paquete pendiente

Para no depender nunca de identificar a simple vista un SMS falso de Correos, la forma más segura de saber si de verdad tienes un envío en camino es no usar nunca el enlace del mensaje y entrar directamente en la app oficial de Correos o en su web escribiendo tú mismo la dirección en el navegador. Ahí puedes introducir el número de seguimiento (si lo tienes) o consultar el estado de tus envíos asociados a tu cuenta, sin depender de ningún enlace recibido por mensaje.

Esta misma lógica de desconfiar del canal y verificar por la vía oficial sirve para otras suplantaciones parecidas, como la estafa de la DGT por SMS que circula con el mismo mecanismo de remitente falseado, o las llamadas de números que parecen reales pero no existen, otra variante del mismo problema de fondo: la suplantación del identificador de origen.

Preguntas frecuentes