Correos de confirmación de pedido falsos: ¿reales o estafa? Cómo distinguirlos

Un correo llega a tu bandeja de entrada: "¡Tu pedido ha sido enviado!" — salvo que no recuerdas haber pedido nada. O sí pediste algo, y ahora un mensaje te pide "confirmar los datos de pago" antes de que pueda entregarse. Las confirmaciones de pedido falsas son uno de los trucos de phishing más comunes porque secuestran dos reacciones fuertes: la preocupación de que alguien haya cargado tu tarjeta, y la ilusión de un paquete en camino.

La buena noticia: estos correos casi siempre se delatan si sabes dónde mirar. Aquí te explicamos cómo distinguir un recibo real de una estafa — sin hacer clic en nada peligroso.

Por qué funcionan las confirmaciones de pedido falsas

Los estafadores envían estos correos por varias razones distintas:

• Phishing: el botón "Ver pedido" o "Cancelar pedido" lleva a una página de inicio de sesión falsa que roba tus credenciales de Amazon, PayPal o tu banco.
• Estafas de devolución de llamada: el correo muestra un cargo elevado y un número de teléfono para "disputarlo". La persona que responde te convence de dar acceso remoto a tu ordenador o de aceptar un "reembolso" que vacía tu cuenta.
• Malware: el archivo adjunto de "factura" o "etiqueta de envío" instala software malicioso al abrirse.
• Estafas de tarifas: un mensaje falso de mensajería dice que tu paquete está retenido hasta que pagues una pequeña tarifa de "aduana" o "reentrega" — el verdadero objetivo es el número de tu tarjeta.

En todos los casos, el correo en sí es la trampa. El pedido no existe, o el mensaje no proviene de la tienda en la que realmente compraste.

Seis comprobaciones que delatan un recibo falso

1. Inspecciona la dirección real del remitente

Toca o haz clic en el nombre del remitente para revelar la dirección de correo completa. Las tiendas reales envían desde su propio dominio — amazon.com, apple.com, ups.com. Los estafadores usan imitaciones (amazon-orders-support.net), buzones gratuitos (@gmail.com, @outlook.com) o dominios aleatorios que no tienen nada que ver con la marca. El nombre para mostrar no significa nada; solo cuenta la parte después de la @.

2. Busca tu nombre y los detalles reales del pedido

Una confirmación genuina te saluda por tu nombre y detalla exactamente lo que compraste, el precio y la dirección de envío que introdujiste. Las falsas dicen "Estimado cliente", muestran artículos vagos ("Pedido #8837-XZ, 1 artículo") o mencionan un producto que nunca tocaste. Los detalles ausentes o genéricos son una fuerte señal de alerta.

3. Pasa el cursor sobre cada enlace antes de hacer clic

En un ordenador, pasa el ratón sobre el botón o enlace y lee el destino en la esquina de tu pantalla; en un teléfono, mantén pulsado el enlace para previsualizarlo. Si "Rastrear tu paquete" apunta a una URL acortada o a un dominio desconocido en lugar del sitio web de la tienda, es phishing. Ante la duda, no hagas clic en absoluto — la siguiente sección muestra una forma más segura.

4. Verifica el número de seguimiento tú mismo

Un correo de envío real incluye un número de seguimiento que puedes verificar. Escríbelo manualmente en el propio sitio del transportista — ups.com, fedex.com, usps.com, dhl.com — nunca a través del enlace del correo. Si el número no existe, no tiene el formato que usa ese transportista, o el correo no menciona ningún transportista, trátalo como falso.

5. Contrástalo con tus propios registros

Cruza el cargo con el extracto de tu tarjeta o banco y con el historial de pedidos de tu cuenta en el sitio de la tienda. Un correo alarmante de "se te cobraron $499" sin ninguna transacción que coincida en ningún sitio es un farol diseñado para que llames a su número o hagas clic en su enlace.

6. Atención a la presión y a rarezas en los pagos

Los correos de pedidos reales no exigen acción urgente. Desconfía de los temporizadores de cuenta atrás, las amenazas de cancelar tu cuenta, las solicitudes de "volver a introducir" los datos de la tarjeta, o las tarifas pagaderas únicamente con tarjeta de regalo, transferencia bancaria o criptomonedas. Ningún servicio de mensajería legítimo cobra tarifas en tarjetas de regalo — jamás.

La forma más segura de verificar: ve directo

Nunca verifiques un pedido a través del propio correo. En su lugar:

1. Abre una nueva pestaña del navegador y escribe tú mismo la dirección de la tienda, o usa su aplicación oficial.
2. Inicia sesión y abre Tus pedidos (o el equivalente). Si el pedido no está ahí, el correo es falso — elimínalo.
3. Si necesitas contactar con soporte, usa el número de teléfono o el chat del sitio web oficial, nunca el que aparece en el correo.

Si el correo dice ser de una tienda de la que nunca has oído hablar, busca la tienda en HasTrust antes de interactuar — verás si el sitio está establecido y cómo lo valoran otros compradores. Los correos de suplantación imitan con mayor frecuencia a grandes nombres como Amazon, PayPal y las principales empresas de mensajería, precisamente porque muchísimas personas están esperando genuinamente un paquete de ellos. Y si tienes dudas sobre el mensaje en sí, pégalo en el verificador de estafas de HasTrust para obtener una lectura rápida de si se parece a un patrón de estafa conocido.

Qué hacer si ya hiciste clic o pagaste

Actúa rápido — la velocidad limita el daño:

• ¿Introdujiste una contraseña? Cámbiala de inmediato en el sitio real, además de en cualquier lugar donde la hayas reutilizado, y activa la autenticación de dos factores.
• ¿Introdujiste datos de tarjeta? Llama a tu banco o emisor de la tarjeta, reporta la tarjeta como comprometida, y pídeles que la bloqueen y disputen cualquier cargo.
• ¿Abriste un archivo adjunto? Desconéctate de internet y ejecuta un análisis antivirus completo antes de iniciar sesión en cualquier sitio.
• ¿Diste acceso remoto a alguien? Apaga el ordenador, cambia tus contraseñas desde otro dispositivo y contacta con tu banco.

Después denuncia el correo: reenvíalo a [email protected], usa el botón "Denunciar phishing" de tu aplicación de correo, y — en EE. UU. — presenta una denuncia en reportfraud.ftc.gov. Las suplantaciones de Amazon pueden enviarse a [email protected].

En resumen

Una confirmación de pedido real coincide con una compra que hiciste, proviene del propio dominio de la tienda, te nombra a ti y a tus artículos, y nunca te presiona. Cuando falta cualquiera de esas piezas, omite los enlaces, revisa tu cuenta directamente y verifica al remitente antes de hacer cualquier otra cosa. Treinta segundos de comprobación superan semanas deshaciendo un fraude.