Si recibes un paquete que no pediste, nunca escanees el código QR que viene dentro.

La inquietante proliferación de los "paquetes fantasma" y las trampas con códigos QR

La caja tiene un aspecto completamente normal: cartón marrón, tu nombre impreso con claridad en la etiqueta, el mismo repartidor de siempre que aparece varias veces por semana con cosas tan poco emocionantes como detergente o calcetines. Rasgas el precinto esperando encontrar ese artículo que recuerdas vagamente haber pedido casi dormido. Dentro: cachivaches baratos, gadgets extraños… y una pequeña tarjeta blanca con un código QR y un mensaje pidiéndote que "actives la garantía" o "confirmes la entrega para evitar la suspensión de tu cuenta".

Sientes ese pico de ansiedad. No recuerdas haber comprado eso. No quieres que te bloqueen la cuenta. El móvil está justo ahí. Un escaneo rápido y todo queda aclarado, ¿verdad?

Es exactamente para ese segundo —el segundo de la duda— para lo que ha sido diseñada la trampa. Y es ahí donde todo puede salir muy mal.

Cómo funciona el engaño: sorpresa, duda y miedo combinados

Las compras online nos han confundido la memoria: entre compras impulsivas, promociones, muestras gratuitas y scroll nocturno, casi todos hemos aceptado alguna vez un paquete pensando "algo habré pedido yo". Los estafadores han identificado esa nebulosa mental y han aprendido a explotarla.

El esquema actual es tan discreto como eficaz: te envían un paquete inesperado y, dentro, te empujan hacia un código QR. Sin llamadas agresivas, sin correos de phishing demasiado obvios. Solo un cuadradito silencioso esperando tu curiosidad —y tu miedo a "perder el acceso".

Considera el caso de Emma, 34 años, que vive en un piso pequeño y compra con frecuencia material para su oficina en casa. Un martes recibió una caja con unas luces LED baratas que estaba segura de no haber pedido. Dentro venía una tarjeta brillante con el mensaje: "Escanea este código QR para confirmar tu cuenta Amazon o tus próximos pedidos podrían sufrir retrasos." Tenía un aspecto demasiado oficial: colores similares a los de la marca, lenguaje convincente, tono familiar.

Lo escaneó sin pensar. La página que se abrió en el móvil parecía un formulario de inicio de sesión como cualquier otro. Entre remover el café y atender su rutina, introdujo usuario y contraseña. Al final del día, ya se habían realizado tres compras costosas desde su cuenta y alguien intentaba cambiar el correo electrónico asociado.

Este método funciona porque activa tres resortes psicológicos a la vez: sorpresa, duda y miedo a perder el acceso. La sorpresa de una caja que no esperabas. La duda sobre tu propia memoria en un mundo de compras exprés. Y el miedo a una consecuencia inmediata ("cuenta suspendida", "última oportunidad", "confirma ahora"). El código QR es el vehículo perfecto porque no ves el destino antes de abrirlo: tu móvil se convierte en el puente entre tu puerta y un sitio web malicioso capaz de robar credenciales, datos bancarios o incluso instalar software dañino.

Qué hacer cuando llega un paquete misterioso

La regla número uno es sencilla: si no lo pediste, trata cualquier código QR que venga dentro como si fuera material tóxico. No lo escanees, no lo fotografíes "solo para ver", no lo pruebes con otro móvil. Aparta la tarjeta y mantenla lejos de la mano, igual que harías con un enlace sospechoso en un correo electrónico.

A continuación, observa la etiqueta de envío con calma:

• ¿Quién figura como remitente?
• ¿Es una empresa identificable o un almacén genérico?
• ¿El número de seguimiento corresponde a alguna compra reciente en las plataformas donde sueles comprar?

Si no hay ninguna coincidencia, podrías estar ante una operación de brushing —envíos para inflar valoraciones online— o, en casos más graves, ante un intento de phishing.

Una verificación rápida ayuda mucho: abre las aplicaciones de compras que usas y revisa los pedidos de las últimas semanas. No hace falta remontarse al pasado; con el último mes basta. Si la entrega no aparece en ningún sitio, no le debes nada a esa caja. Nadie hace esta comprobación a diario, pero cuando el paquete resulta sospechoso, bien merece tres minutos de tu tiempo.

Si la tarjeta lleva un logotipo conocido, no te fíes solo por eso. En lugar de seguir el "atajo", accede al sitio oficial escribiendo la dirección tú mismo en el navegador o utilizando la app que ya tienes instalada. Las empresas legítimas casi nunca te piden que escanees un código QR dentro de un paquete aleatorio para "mantener tu cuenta activa".

Cuando tengas dudas, consulta con alguien antes de actuar: un amigo, un compañero, ese familiar aficionado a la ciberseguridad o, si hay dinero de por medio, directamente tu banco. Verbalizar en voz alta lo que está pasando suele desactivar el efecto de urgencia.

"Todo el sistema está montado sobre la velocidad y el miedo", explicó un analista de ciberseguridad. "Si frenas treinta segundos, el fraude pierde su fuerza."

Lista de verificación práctica

• Comprueba tus pedidos recientes en los marketplaces antes de reaccionar a nada.
• Ignora cualquier código QR de un paquete que claramente no esperabas.
• Accede a tus cuentas únicamente desde apps oficiales o escribiendo la URL tú mismo.
• Denuncia el paquete sospechoso a la plataforma o a la empresa de transporte si hay un remitente identificable.
• Confía más en esa sensación de "algo raro hay aquí" que en una tarjeta bien impresa.

Dos pasos adicionales que refuerzan tu protección (y casi nadie hace)

1) Protege tus cuentas antes de que surja el problema: activa la autenticación en dos pasos (2FA) en tus cuentas de compras y en tu correo principal. Muchos ataques comienzan comprometiendo el email y, a partir de ahí, "restableciendo contraseñas" en cadena.

2) Reduce el riesgo en el móvil: mantén el sistema operativo y el navegador actualizados, utiliza un gestor de contraseñas y evita introducir credenciales después de abrir enlaces de forma impulsiva. Aunque un sitio web "parezca idéntico", la dirección puede ser una imitación perfectamente diseñada.

Por qué funciona este fraude y cómo hablarlo con quienes te rodean

Estos "paquetes fantasma" tocan algo más profundo que la simple curiosidad: el temor a ser la persona que "no reaccionó a tiempo". El mensaje de la tarjeta raramente es neutro; viene cargado de urgencia y amenaza sutil: "última oportunidad", "confirma ahora", "recompensa esperándote", "evita la suspensión". La intención no es que pienses, sino que obedezcas.

Además, los códigos QR se han normalizado en todas partes: restaurantes, transportes, eventos, servicios públicos. El cerebro ha aprendido a leerlos como "atajos útiles", no como "puertas a posibles trampas". Y en casa —en la cocina, con el café en la mano— es fácil bajar la guardia.

Hablar de esto abiertamente es una de las mejores defensas. Los familiares de más edad pueden no ser conscientes de lo realistas que son las páginas falsas; los adolescentes, en cambio, tienden a confiar demasiado en el móvil y a creer que "se darían cuenta" de cualquier fraude. Contar un caso concreto, como el de Emma, suele calar mucho mejor que repetir advertencias genéricas.

No hace falta vivir en paranoia ni analizar cada código como si fueras un experto. Basta con una regla clara, fácil de recordar y repetida en casa: paquete inesperado + código QR = no escanear. Dilo en la cena. Escríbelo en el grupo familiar. Simplifícalo hasta que nadie lo olvide.

Hay un factor silencioso más: la vergüenza. Mucha gente evita admitir que escaneó algo que no debía, y ese silencio ayuda a los estafadores. Si caes en la trampa, no lo ocultes: cambia contraseñas, contacta con el banco, activa el 2FA donde puedas y cuéntaselo a alguien. Tu experiencia puede evitar la próxima víctima.

Una verdad fundamental: nadie es "demasiado listo" para ser engañado —y esto no es un insulto. Estas estafas están construidas, probadas y perfeccionadas para atrapar a personas cansadas, distraídas y ocupadas. Tener cuidado con un código QR en un paquete aleatorio no es exagerado: es higiene digital, el nuevo cinturón de seguridad del mundo online.

Preguntas frecuentes

• ¿Qué debo hacer con un paquete que no he pedido?
  No escanees ningún código QR ni sigas las instrucciones de la tarjeta. Revisa el historial de pedidos en las principales plataformas; si no hay ningún registro, puedes conservarlo, desecharlo o contactar con la plataforma o la empresa de transporte si hay un remitente identificable.

• ¿Pueden cobrarme algo que nunca encargué?
  No de forma legítima sin tu consentimiento, pero es posible que alguien haya utilizado tu cuenta o tu tarjeta. Accede a tus cuentas desde apps oficiales, revisa transacciones y pedidos recientes, y contacta con tu banco si detectas algo anómalo.

• Ya escaneé el código QR e inicié sesión. ¿Qué hago ahora?
  Cambia inmediatamente la contraseña de la cuenta afectada —idealmente desde otro dispositivo—, activa la autenticación en dos pasos y revisa la actividad reciente. Si hay datos de pago asociados, avisa a tu banco y monitoriza cualquier cargo inusual.

• ¿Son peligrosos todos los códigos QR?
  No. Los códigos QR en contextos de confianza —la app oficial de tu banco, un restaurante conocido, servicios públicos— son generalmente seguros. El riesgo mayor aparece con códigos no solicitados en cartas, correos electrónicos o paquetes inesperados.

• ¿Cómo enseño a mi familia a reconocer esta estafa?
  Usa una regla única y clara: "Si no pedimos la caja, nunca escaneamos el código que viene dentro." Cuenta una historia breve y real —como la de Emma—, muestra que las páginas falsas pueden ser muy convincentes e incentiva a todos a pedir opinión antes de actuar cuando algo "no encaja".