Regalos de Reyes que nunca llegan

El paquete de Reyes que nunca llegó: cómo funciona la estafa que vacía cuentas en minutos

Un SMS de 1,95 euros puede costarte miles. Las estafas de paquetería se han disparado un 86% en la campaña de Reyes, aprovechando que millones de españoles esperan envíos y bajan la guardia ante cualquier mensaje de seguimiento.

En este artículo te explicamos cómo operan los estafadores, qué señales delatan el fraude, qué hacer si ya has caído en la trampa y cuándo puedes reclamar al banco para recuperar tu dinero.

Las cifras del fraude: por qué Reyes es temporada alta para los ciberdelincuentes

Según datos del Ministerio del Interior, en 2024 se registraron 412.850 denuncias por estafas informáticas en España, un 488% más que en 2016. La pérdida media por víctima ronda los 1.010 euros, aunque hay casos que superan con creces esa cantidad.

La campaña de Reyes concentra un pico de actividad criminal. Un informe de NordVPN revela que las webs falsas que imitan a empresas de paquetería aumentaron un 86% durante las fiestas. DHL fue la marca más suplantada, con un incremento del 206% en páginas fraudulentas.

¿Por qué estas fechas? Porque millones de personas esperan paquetes, revisan compulsivamente el móvil y confían en cualquier mensaje que parezca de Correos, SEUR o DHL.

Así funciona la estafa del paquete retenido

El modus operandi es sencillo pero devastadoramente efectivo:

1. Recibes un SMS o email supuestamente de una empresa de paquetería informando de que tu envío está retenido por falta de pago de tasas aduaneras o gastos de gestión.
2. El importe es ridículo: 1,95€, 2,50€... una cantidad que no levanta sospechas.
3. Pulsas el enlace y accedes a una web que imita perfectamente a la oficial.
4. Introduces los datos de tu tarjeta para pagar esos supuestos 2 euros.
5. En minutos, los estafadores vacían tu cuenta: compras online, transferencias, suscripciones...

Lo que la víctima no sabe es que no está pagando 2 euros: está entregando las llaves de su cuenta bancaria. Con los datos de la tarjeta y el código CVV, los delincuentes pueden operar antes de que el banco detecte nada.

Caso real: 4.200 euros en menos de una hora

Esta semana atendimos a una clienta que perdió 4.200 euros en menos de sesenta minutos. Recibió un SMS de "Correos" informando de que su paquete estaba retenido. Pagó 1,95€ en una web clonada. Veinte minutos después, los estafadores habían realizado tres compras online y dos transferencias.

Cuando el banco le alertó por movimientos sospechosos, ya era tarde.

Señales de alerta: cómo detectar el fraude antes de caer

Las estafas de paquetería tienen señales claras si sabes identificarlas:

• Enlaces acortados o sospechosos: bit.ly, tinyurl o dominios extraños (correos-es.com, dhl-entrega.net).
• Solicitud de pago por SMS: Correos, DHL, SEUR y otras empresas legítimas nunca piden datos bancarios por mensaje de texto.
• Urgencia extrema: "Tienes 24 horas para reclamar tu paquete" o "Último aviso antes de devolución".
• Errores ortográficos: faltas de ortografía, traducciones mal hechas o frases sin sentido.
• Web sin candado de seguridad: la URL no empieza por https:// o el navegador muestra advertencias.
• No esperabas ningún paquete: si no has comprado nada, desconfía automáticamente.

Para más información sobre cómo protegerte, consulta la guía del Instituto Nacional de Ciberseguridad (INCIBE).

Qué hacer si ya has caído en la estafa

Si has introducido tus datos en una web fraudulenta, el tiempo es crítico. Actúa inmediatamente:

1. Contacta con tu banco: bloquea la tarjeta y comunica el fraude. Muchas entidades pueden revertir operaciones si actúas rápido.
2. Cambia las contraseñas: especialmente la de tu banca online y cualquier servicio donde uses la misma clave.
3. Guarda todas las pruebas: capturas del SMS, la web fraudulenta, los movimientos bancarios sospechosos y cualquier comunicación relacionada.
4. Presenta denuncia: puedes hacerlo en comisaría o a través de la web de la Policía Nacional. La denuncia es imprescindible para reclamar al banco.
5. Reclama por escrito al banco: tienes 13 meses desde la fecha de la operación para solicitar el reembolso.

Cuanto antes actúes, más posibilidades hay de rastrear el dinero y minimizar el daño.

¿Puede el banco devolverme el dinero? Esto dice la ley

Sí, en muchos casos el banco está obligado a devolverte el dinero. La normativa europea de servicios de pago (Real Decreto-ley 19/2018, que transpone la Directiva PSD2) establece un régimen de responsabilidad cuasi objetiva para las entidades financieras.

En términos sencillos: si no autorizaste la operación, el banco debe reembolsarte, salvo que demuestre que actuaste con negligencia grave o fraude.

Cuándo el banco DEBE devolverte el dinero

• No autorizaste la operación (phishing, clonación de tarjeta, robo de datos).
• Comunicaste el fraude en cuanto lo detectaste.
• No actuaste con negligencia grave (ver siguiente punto).
• El banco no implementó medidas de autenticación reforzada (doble factor).

Según el artículo 45 del RDL 19/2018, el banco tiene la obligación de devolver el importe de forma inmediata o, a más tardar, al final del día hábil siguiente a la notificación del fraude.

Cuándo el banco puede negarse

• Negligencia grave: si facilitaste voluntariamente tus claves completas (PIN, contraseñas, códigos OTP) de forma manifiestamente imprudente.
• Fraude del propio cliente: si participaste en la estafa o la simulaste.
• Comunicación tardía: si tardaste más de 13 meses en reclamar.

El problema es que muchos bancos consideran "negligencia grave" haber introducido los datos en una web fraudulenta. Sin embargo, los tribunales están matizando esta interpretación.

Qué dicen los tribunales

La jurisprudencia reciente está siendo favorable a los consumidores. Los jueces entienden que:

• Las webs de phishing son cada vez más sofisticadas y difíciles de detectar.
• El banco tiene la obligación de implementar sistemas de seguridad robustos.
• Si el banco no exigió autenticación reforzada (SCA), la responsabilidad es suya.
• Introducir datos en una web falsa no es automáticamente "negligencia grave" si la réplica era convincente.

Sentencias de Audiencias Provinciales como la de Madrid, Alicante o Barcelona han condenado a bancos a devolver el dinero a víctimas de phishing que habían facilitado sus datos en webs clonadas.

Cómo reclamar al banco paso a paso

1. Reclamación al Servicio de Atención al Cliente del banco: por escrito, adjuntando denuncia policial, capturas del SMS/email fraudulento y extracto con las operaciones no autorizadas. El banco tiene 15 días hábiles para responder.
2. Si el banco rechaza la devolución: puedes acudir al Servicio de Reclamaciones del Banco de España. Es gratuito, aunque sus resoluciones no son vinculantes.
3. Vía judicial: si el banco sigue negándose, puedes demandar. Para cantidades inferiores a 2.000€ no necesitas abogado ni procurador (aunque es recomendable). Para importes superiores, sí es obligatorio.

Si tu banco rechaza la devolución, un abogado especialista en estafas puede ayudarte a reclamar.

¿Y el seguro de la tarjeta?

Muchas tarjetas incluyen un seguro de protección de compras o de uso fraudulento. Revisa las condiciones de tu tarjeta porque podrías tener cobertura adicional.

Normalmente estos seguros cubren:

• Uso fraudulento por robo o clonación de la tarjeta.
• Compras online no autorizadas.
• Phishing y suplantación de identidad.

El límite de cobertura varía según la tarjeta (desde 3.000€ hasta 150.000€ en tarjetas premium). Contacta con tu banco o aseguradora para activar la reclamación.

¿Qué penas tiene la estafa en España?

Estas conductas constituyen un delito de estafa tipificado en el artículo 248 del Código Penal.

Las penas varían según la cuantía defraudada:

• Estafa básica (más de 400€): prisión de 6 meses a 3 años.
• Estafa agravada (más de 50.000€, múltiples víctimas o banda organizada): prisión de 1 a 6 años y multa.

Si quieres profundizar en las consecuencias legales, consulta nuestro artículo sobre las penas en el delito de estafa.

Por qué no debes sentir vergüenza si te han estafado

Muchas víctimas tardan días en denunciar porque sienten vergüenza. Creen que han sido ingenuos o que deberían haberlo visto venir.

Eso es exactamente lo que quieren los estafadores.

Estas redes criminales operan a escala industrial: envían millones de mensajes y engañan a miles de personas cada día. Entre las víctimas hay profesionales con formación, empresarios, funcionarios, incluso expertos en tecnología. Nadie está completamente a salvo de un momento de despiste.

Denunciar no solo te ayuda a ti: aporta información a la Policía para desmantelar estas redes y proteger a futuras víctimas.

Consejos finales para unas fiestas sin sustos

• Nunca pulses enlaces de SMS que te pidan pagar para recibir un paquete.
• Accede siempre desde la web oficial: escribe tú mismo la dirección en el navegador.
• Activa las alertas del banco: así detectarás movimientos sospechosos al instante.
• Desconfía de las urgencias: los estafadores juegan con el miedo y la prisa.
• En caso de duda, llama a la empresa: Correos, DHL y SEUR tienen teléfonos de atención al cliente donde puedes verificar cualquier mensaje.
• Revisa el seguro de tu tarjeta: puede que ya tengas cobertura ante fraudes.

Para más consejos sobre cómo protegerte del fraude online, visita nuestra guía completa sobre ciberdelitos y estafas online.

¿Necesitas ayuda legal?

Si has sido víctima de una estafa o te enfrentas a una acusación relacionada con fraudes online, en Sanahuja Abogados Penalistas podemos ayudarte. Contamos con sedes en Madrid y Castellón, además de Valencia.

Ofrecemos defensa penal tanto a víctimas como a investigados, con servicio de urgencias 24 horas para detenciones y declaraciones en comisaría.

Contacta con nosotros para una valoración de tu caso.