Correos falsos de confirmación de pedido: ¿reales o estafa? Cómo distinguirlos

Un correo de confirmación de pedido solo es real si coincide con una compra que de verdad hiciste, y la forma más rápida de comprobarlo es abrir tú mismo el sitio web o la app de la tienda y revisar tu historial de pedidos, sin hacer clic en nada del correo. Te llega un correo a la bandeja de entrada: "¡Tu pedido ha sido enviado!", pero no recuerdas haber pedido nada. O sí pediste algo, y ahora un mensaje te pide que "confirmes los datos de pago" antes de poder entregarlo. Las confirmaciones de pedido falsas son uno de los trucos de phishing más comunes porque se aprovechan de dos reacciones fuertes: la preocupación de que alguien haya hecho un cargo en tu tarjeta y la ilusión de que un paquete está en camino.

La buena noticia: estos correos casi siempre se delatan solos si sabes dónde mirar. Así puedes distinguir un recibo real de una estafa sin hacer clic en nada peligroso.

Por qué funcionan las confirmaciones de pedido falsas

Los estafadores envían estos correos por varios motivos:

• Phishing: el botón "Ver pedido" o "Cancelar pedido" lleva a una página de inicio de sesión falsa que roba tus credenciales de Amazon, PayPal o de tu banco.
• Estafas de devolución de llamada: el correo muestra un cargo elevado y un número de teléfono para "disputarlo". La persona que contesta te convence para que le des acceso remoto a tu ordenador o para un "reembolso" que vacía tu cuenta.
• Malware: el archivo adjunto de la "factura" o la "etiqueta de envío" instala software malicioso al abrirlo.
• Estafas de tarifas: un mensaje falso de mensajería dice que tu paquete está retenido hasta que pagues una pequeña tarifa de "aduanas" o de "nueva entrega"; el verdadero objetivo es tu número de tarjeta.

En todos los casos, el propio correo es la trampa. El pedido no existe, o el mensaje no procede de la tienda en la que realmente compraste.

Seis comprobaciones que desenmascaran un recibo falso

1. Revisa la dirección real del remitente

Toca o haz clic en el nombre del remitente para ver la dirección de correo completa. Las tiendas reales envían desde su propio dominio: amazon.com, apple.com, ups.com. Los estafadores usan dominios parecidos (amazon-orders-support.net), buzones gratuitos (@gmail.com, @outlook.com) o dominios aleatorios que no tienen nada que ver con la marca. El nombre que se muestra no significa nada; solo cuenta la parte que va después de la @.

2. Busca tu nombre y los datos reales del pedido

Una confirmación auténtica te saluda por tu nombre y detalla exactamente lo que compraste, el precio y la dirección de envío que introdujiste. Las falsas dicen "Estimado cliente", muestran artículos imprecisos ("Pedido n.º 8837-XZ, 1 artículo") o incluyen un producto que nunca has tocado. La falta de datos o los datos genéricos son una señal de alerta importante.

3. Pasa el cursor por encima de cada enlace antes de hacer clic

En un ordenador, pasa el ratón por encima del botón o enlace y lee el destino en la esquina de la pantalla; en un teléfono, mantén pulsado el enlace para ver una vista previa. Si "Rastrear tu paquete" apunta a una URL acortada o a un dominio desconocido en lugar del sitio web de la tienda, es phishing. Si tienes dudas, no hagas clic en absoluto; la siguiente sección muestra una forma más segura.

4. Comprueba tú mismo el número de seguimiento

Un correo de envío real incluye un número de seguimiento que puedes verificar. Escríbelo manualmente en el sitio oficial de la empresa de transporte (ups.com, fedex.com, usps.com, dhl.com), nunca a través del enlace del correo. Si el número no existe, no tiene el formato que usa esa empresa o el correo no menciona ninguna empresa de transporte, trátalo como falso.

5. Compáralo con tus propios registros

Contrasta el cargo con el extracto de tu tarjeta o de tu banco y con el historial de pedidos de tu cuenta en el sitio de la tienda. Un correo alarmante de "se te ha cobrado $499" sin ninguna transacción que coincida en ningún sitio es un farol diseñado para que llames a su número o hagas clic en su enlace.

6. Desconfía de la presión y de las rarezas en el pago

Los correos de pedidos reales no exigen una acción urgente. Desconfía de las cuentas atrás, las amenazas de cancelar tu cuenta, las peticiones de "volver a introducir" los datos de la tarjeta o las tarifas que solo se pueden pagar con tarjeta regalo, transferencia bancaria o criptomonedas. Ninguna empresa de mensajería legítima cobra tarifas con tarjetas regalo, nunca.

La forma más segura de verificar: ve directamente

Nunca verifiques un pedido a través del propio correo. En su lugar:

1. Abre una nueva pestaña del navegador y escribe tú mismo la dirección de la tienda, o usa su app oficial.
2. Inicia sesión y abre Mis pedidos (o el apartado equivalente). Si el pedido no aparece, el correo es falso: bórralo.
3. Si necesitas contactar con el servicio de atención al cliente, usa el número de teléfono o el chat del sitio web oficial, nunca el que aparece impreso en el correo.

Si el correo dice proceder de una tienda de la que nunca has oído hablar, busca la tienda en HasTrust antes de interactuar: verás si el sitio está consolidado y cómo lo valoran otros compradores. Los correos de suplantación suelen hacerse pasar por grandes nombres como Amazon, PayPal y las principales empresas de mensajería, precisamente porque mucha gente está esperando de verdad un paquete de ellas. Y si no estás seguro del mensaje en sí, pégalo en el verificador de estafas de HasTrust para saber rápidamente si parece un patrón de estafa conocido.

Qué hacer si ya hiciste clic o pagaste

Actúa rápido; la rapidez limita el daño:

• ¿Introdujiste una contraseña? Cámbiala de inmediato en el sitio real y en cualquier otro lugar donde la hayas reutilizado, y activa la autenticación en dos pasos.
• ¿Introdujiste los datos de tu tarjeta? Llama a tu banco o al emisor de la tarjeta, informa de que la tarjeta está comprometida y pide que la bloqueen y que disputen cualquier cargo.
• ¿Abriste un archivo adjunto? Desconéctate de internet y ejecuta un análisis antivirus completo antes de iniciar sesión en cualquier sitio.
• ¿Diste acceso remoto a alguien? Apaga el ordenador, cambia tus contraseñas desde otro dispositivo y contacta con tu banco.

Después, denuncia el correo: reenvíalo a [email protected], usa el botón "Denunciar phishing" de tu aplicación de correo y, en EE. UU., presenta una denuncia en reportfraud.ftc.gov. Las suplantaciones de Amazon pueden enviarse a [email protected].

En resumen

Una confirmación de pedido real coincide con una compra que hiciste, procede del propio dominio de la tienda, menciona tu nombre y tus artículos, y nunca te presiona. Cuando falta alguno de esos elementos, no uses los enlaces, revisa tu cuenta directamente y verifica el remitente antes de hacer cualquier otra cosa. Treinta segundos de comprobación son mejores que semanas deshaciendo un fraude.