Si te llega un SMS o un correo diciendo que tu paquete está retenido y que pagues unos euros de aduanas o de gastos de envío, esta guía te ayuda a saber si es verdad sin tocar el enlace. La regla rápida: Correos dice que nunca pide pagos por SMS ni por correo; DHL sí puede pedirlos, pero solo de aduanas y con un sistema que puedes verificar. Y si ya has pagado, lo primero es llamar al banco.Correos lo reconoce en su página sobre phishing: como principal proveedor de paquetería en España, se ha convertido en objetivo habitual de estas campañas, y los ganchos más usados son pedir un pago o completar la dirección de entrega. Si estás esperando un pedido, dudas, y esa duda es todo lo que necesita el estafador.¿Cómo funciona exactamente el timo del paquete retenido?Es un embudo de dos pasos: primero te piden datos personales y después los de la tarjeta, a menudo con una tasa de pocos euros como cebo. El INCIBE describió una de estas campañas en su aviso sobre fraudes que suplantan a empresas de paquetería, actualizado en septiembre de 2022: un SMS en nombre de SEUR decía que había un paquete retenido en aduanas por impago de tasas. El enlace llevaba a una web parecida a la legítima que pedía primero los datos personales y, tras pulsar «confirmar», los bancarios, que acababan en manos de los delincuentes.El mismo aviso recoge dos variantes con DHL: un correo de supuesta entrega fallida con un código de seguimiento y un botón que terminaba en una página de pago falsa, y otro con el asunto «Notificación de envío de DHL» que traía un adjunto con malware. Hay una cuarta trampa que el INCIBE menciona aparte: si el enlace del SMS te lleva a descargar una aplicación, no la instales, porque las apps enviadas así suelen estar infectadas.El cebo puede ser una cantidad ridícula: Maldita.es analizó en febrero de 2023 un correo falso de Correos que pedía 4,80 euros de «tasa de aduanas». La lectura más razonable es que el importe no es el botín. Lo que buscan son los datos completos de la tarjeta, que valen para cargos mucho mayores. Un pago de un par de euros no despierta alarmas y hace que muchas víctimas ni lo comenten.Cómo comprobar si un envío es real (sin pinchar en el enlace)Empieza por la pregunta que propone el propio Correos: ¿estás esperando un envío, eres cliente o tienes algún servicio contratado con ellos? Si la respuesta es no, borra el mensaje. Si es sí, no uses el enlace: abre tú la web o la aplicación oficial de la empresa y busca allí tu número de seguimiento.Después, cada empresa tiene sus reglas, y no son iguales.Correos. Su postura es tajante: nunca solicita datos personales, bancarios ni pagos por correo electrónico o SMS. Para los correos electrónicos tiene además un verificador de email: los mensajes legítimos de envíos y paquetería llevan al final un código único de letras y números que puedes comprobar en su web junto con tu dirección. Si el verificador devuelve OK, es suyo. Si un correo de paquetería en nombre de Correos llega sin código, la empresa lo dice claro: no es de Correos.Las aduanas de verdad. Cuando compras fuera de la Unión Europea, el paquete pasa un trámite aduanero que, según explicaba Correos en 2022, realiza únicamente la Agencia Tributaria, y puede haber IVA o aranceles que pagar. En ese artículo, el pago se gestionaba desde la aplicación de Correos, introduciendo tu número de envío, para pedidos de hasta 150 euros; por encima de esa cifra, o si pedían documentación, desde la web ADT Postales. Si te toca pagar aduanas con Correos, lo verás ahí, no en un SMS.DHL. Aquí está el matiz que casi nadie cuenta. Según su página de concienciación sobre el fraude, los únicos pagos que DHL solicita por correo electrónico o SMS son los de derechos de aduana e impuestos, siempre antes de la entrega y con un enlace a su plataforma identificado con el albarán. Antes de procesar el pago, envía una contraseña de un solo uso al contacto registrado del destinatario. Sus comunicaciones salen de @dhl.com y subdominios, nunca de cuentas gratuitas como Gmail, y no enlazan a webs que no sean suyas. Avisa también de que los SMS falsos suelen llevar una URL acortada y un remitente genérico en lugar de un número.Con DHL, por tanto, un aviso de aduanas puede ser legítimo: compruébalo en su web con el número de seguimiento que te dio la tienda.El nombre del remitente. Desde el 15 de septiembre de 2026, según la CNMC, los operadores están obligados a bloquear los SMS, MMS y RCS con alias (el nombre de una marca en lugar de un número) que no estén inscritos en su Registro de Alias, en aplicación de la Orden TDF/149/2025. El objetivo es poder verificar que el nombre que aparece como remitente corresponde a quien envía el mensaje. Mi lectura: es un filtro útil contra el falso «Correos» que se cuela en el mismo hilo que los avisos reales, pero no te protege de un SMS que llega desde un número cualquiera, que sigue siendo el formato habitual de muchos de estos timos.¿Qué hago si ya he pagado o he dado mis datos?Llama a tu banco cuanto antes para contar lo ocurrido e intentar cancelar los cargos. Es la primera recomendación del INCIBE, y la que más dinero salva. Después:Revisa los movimientos de los días siguientes. Si aparece un cargo que no reconoces, la ley te da plazos para reclamarlo, y te los explicamos en cómo reclamar al banco un cargo que no reconoces en la tarjeta.Desconfía de lo que venga después. Si diste teléfono o correo, el INCIBE avisa de que pueden usarlos para otros fraudes o para suplantarte. Una llamada del «banco» al día siguiente pidiéndote un código es el siguiente capítulo clásico. Qué hacer cuando tus datos ya circulan lo contamos en cómo saber si tus datos están en una filtración y qué hacer.Si instalaste una app desde el enlace, desinstálala y no metas en ese móvil claves del banco hasta revisarlo.Denuncia ante la Policía Nacional o la Guardia Civil.Pide ayuda en el 017, la Línea de Ayuda en Ciberseguridad del INCIBE, que también atiende por WhatsApp en el 900 116 117.Si el aviso suplanta a DHL, la empresa pide además que reenvíes el mensaje a phishing@dhl.com; con los SMS, una captura que muestre el número.El falso aviso de paquete es el timo más rentable de la mensajería porque se apoya en algo que hacemos a diario: comprar online y esperar un envío. Lo que sí puedes cambiar es el reflejo: el enlace de un SMS nunca es la forma de pagar nada, ni siquiera cuando el pago es real.Creo que las empresas de paquetería deberían ir más lejos en la dirección de Correos y no pedir pagos por mensaje en ningún caso. Mientras convivan políticas distintas, como la de DHL, el usuario necesita saber qué hace cada una, y eso es pedir demasiado a quien solo espera unas zapatillas. Si además vendes o compras de segunda mano, los envíos falsos tienen su propia variante, explicada en los timos de envío y pago en Wallapop y Vinted.La noticia SMS de paquete retenido: cómo funciona el timo del falso Correos, DHL o SEUR y cómo comprobar un envío real fue publicada originalmente en Wwwhatsnew.com por Natalia Polo.