Un hacker en una imagen de archivo.
Juan Antonio, abogado, alerta sobre las estafas en internet para los Reyes Magos: "Cuando el banco alerta, ya es tarde"
El fraude del "paquete retenido" se ha convertido así en uno de los ganchos favoritos de los ciberdelincuentes en plena campaña navideña y de Reyes.
Más información: El 2026 empieza con 14 detenidos por una masiva estafa desde Alicante: engañaban con falsos mensajes de DGT y banca
La campaña de Reyes se ha convertido en uno de los momentos más críticos del año para las estafas por SMS y webs falsas de paquetería, hasta el punto de que un supuesto pago de 2 euros puede acabar vaciando una cuenta bancaria en cuestión de minutos.
Y es que el auge de este tipo de fraude encaja en un contexto preocupante. En España se registraron 412.850 denuncias por estafas informáticas en 2024, un 488 % más que en 2016.
Durante estos días, millones de personas esperan regalos, rastrean paquetes y consultan el móvil de forma compulsiva, lo que reduce la vigilancia ante cualquier mensaje de seguimiento.
Los estafadores aprovechan esa ansiedad con notificaciones que imitan a Correos, DHL o SEUR y piden pequeños importes para "liberar" envíos supuestamente retenidos.
Informes recientes apuntan a que las webs fraudulentas que copian la imagen de empresas de mensajería han crecido un 86 % en estas fechas, siendo DHL la marca más suplantada, con un aumento del 206 % en páginas falsas.
El fraude del "paquete retenido" se ha convertido así en uno de los ganchos favoritos de los ciberdelincuentes en plena campaña navideña y de Reyes.
El SMS que acabó en 4.200
Uno de los casos recientes ilustra con crudeza cómo funciona este engaño. Una mujer recibió un SMS, supuestamente de "Correos", informándole de que su paquete estaba retenido por tasas aduaneras de 1,95 euros.
Al pulsar en el enlace, fue redirigida a una web calcada a la oficial, donde introdujo los datos de su tarjeta sin sospechar que estaba entregando el control de su cuenta.
En menos de una hora, los delincuentes realizaron tres compras en línea y dos transferencias por un total de 4.200 euros. Un pequeño cargo simbólico se convirtió en la puerta de entrada para vaciar su cuenta con una rapidez que apenas da margen de reacción.
Cómo actúan
El modos operando sigue un patrón muy definido: un SMS o correo reproduce logotipos, colores corporativos y nombre de la empresa, acompañado de un enlace acortado o una URL que, a simple vista, parece legítima.
En la página fraudulenta se solicitan datos completos de la tarjeta, e incluso códigos de verificación enviados por el banco, simulando un procedimiento de seguridad estándar.
Una vez en posesión de esta información, los delincuentes pueden operar en cuestión de minutos, haciendo compras de elevado importe, transferencias inmediatas o vinculando la tarjeta a monederos digitales difíciles de rastrear.
Para cuando el banco lanza una alerta, el dinero suele haber salido ya de la cuenta y haberse dispersado a través de cuentas pantalla o sistemas más opacos.
Las señales de alerta
A pesar de la sofisticación visual de muchos mensajes, las señales de alerta se repiten y son relativamente fáciles de identificar cuando se está atento. Entre los indicios más claros destacan:
- SMS o emails con enlaces acortados o direcciones web que no coinciden exactamente con el dominio oficial de la empresa.
- Solicitudes de pago para "liberar" paquetes, abonar tasas aduaneras mínimas o evitar la devolución de un envío.
- Páginas sin candado de seguridad (sin hotos) o con detalles de diseño y maquetación que no encajan con la web oficial.
- Mensajes con faltas de ortografía, frases extrañas y una urgencia extrema ("tienes 24 horas para reclamar tu paquete").
- Petición de datos bancarios completos o códigos de verificación por SMS, algo que las empresas legítimas de mensajería no solicitan nunca por mensaje de texto.
Las propias compañías del sector y organismos públicos vienen advirtiendo de campañas masivas que suplantan su identidad, siempre con el mismo cebo: un paquete que en realidad nunca existió.
Qué hacer
Cuando alguien introduce sus datos en una web fraudulenta, cada minuto cuenta y la rapidez puede marcar la diferencia entre un susto limitado y la ruina económica. Los pasos básicos de actuación inmediata son:
- Llamar de inmediato al banco para bloquear la tarjeta y tratar de frenar compras y transferencias en curso.
- Cambiar las contraseñas de banca online y del correo electrónico asociado, así como de otros servicios vinculados.
- Guardar capturas del SMS, del remitente, de la web fraudulenta y de los movimientos de la cuenta para aportar como prueba.
- Presentar denuncia en comisaría o a través de las vías telemáticas habilitadas por la Policía Nacional o la Guardia Civil.
![La presentación del Plan Mayor en la Comisaría Central de Alicante este miércoles.](["https:\/\/s3.elespanol.com\/2025\/10\/15\/actualidad\/1003743970590_259377723_320x180.jpg"])
Cuanto antes se actúa, más opciones existen de rastrear el dinero y de que las Fuerzas y Cuerpos de Seguridad vinculen el caso a redes ya investigadas.
Claves legales
Desde el punto de vista jurídico, estos hechos encajan en el delito de estafa recogido en el artículo 248 del Código Penal, que sanciona el engaño bastante utilizado para obtener un beneficio económico en perjuicio de otro.
Si la cuantía defraudada supera los 50.000 euros o afecta a un elevado número de víctimas, las penas pueden llegar hasta los 6 años de prisión.
Además de la vía penal contra los autores, la víctima puede abrir una reclamación frente a su entidad bancaria si demuestra que no autorizó las operaciones y actuó con diligencia, comunicando el fraude en cuanto tuvo conocimiento.
La normativa de servicios de pago obliga al banco a devolver el importe de muchas operaciones no autorizadas, especialmente cuando se aprecian fallos en los sistemas de autenticación o en los controles antifraude.
El papel del abogado
En este escenario, la figura del abogado penalista especializado en delitos económicos resulta clave para guiar a la víctima desde el primer momento, tanto en la denuncia como en la reclamación al banco.
Despachos como Sanahuja Abogados Penalistas, con sedes en Valencia, Madrid y Castellón, han convertido estas estafas y ciberdelitos en una parte central de su trabajo diario, ofreciendo defensa tanto a perjudicados como a investigados.
Su director, Juan Antonio Signes García, abogado penalista colegiado en el ICAV y miembro de asociaciones europeas como la European Criminal Bar Association (ECBA) y la European Fraud avd Compliance Lawyers (EFCL), ha visto cómo se repite un patrón preocupante.
"Muchas víctimas tardan días en pedir ayuda porque sienten vergüenza", asegura. Además, asegura que tras el fraude, el dinero tarda en volver y cuando el banco alerta, "ya es tarde".
De este modo, asegura que no hay nada de lo que avergonzarse, porque estas organizaciones engañan a miles de personas cada año, "incluidas personas con alta formación y experiencia digital".
