Impuesto de la UE sobre paquetes pequeños: los estafadores se adelantaron

La entrada en vigor el 1 de julio de 2026 de la nueva tasa europea sobre los paquetes de bajo valor crea exactamente la niebla en la que viven las campañas de phishing "paquete retenido". Numerama documenta una ola ya instalada.

Hechos

Desde el 1 de julio de 2026, la Unión Europea aplica una nueva tributación sobre los paquetes de bajo valor importados fuera de la UE, una medida tomada para reequilibrar la competencia con las plataformas de comercio electrónico asiáticas (Shein, Temu, AliExpress). En concreto, una parte creciente de pedidos que antes llegaban "con todos los impuestos pagados" ahora está sujeta a una regularización en el momento de la entrega.

Numerama documenta el resultado operativo desde el lado de la ciberdelincuencia: un aumento de los SMS y correos electrónicos de phishing que aprovechan esta confusión, con el modelo « Su paquete está retenido a la espera del pago de los derechos de aduana. Haga clic aquí para pagar 2,99 € ». El enlace redirige a un falso formulario que recopila datos de tarjetas bancarias, coordenadas y, en ocasiones, credenciales bancarias con vistas a un fraude más amplio.

Análisis

Es un caso manual de manual de "superficie de fraude inducido por políticas" —cuando una decisión regulatoria, correcta sobre el papel, abre una nueva categoría de estafa perfectamente legitimada socialmente—. El escenario cumple todos los requisitos:

• Novedad: nadie tiene una experiencia clara de cómo es un verdadero aviso de regularización.
• Micro-pago: entre 2 y 5 euros, un importe que se paga "para zanjar el tema" sin verificar.
• Personalización suficiente baja: "su paquete procedente de X" encaja con la mayoría de compradores recientes.
• Urgencia artificial: "será devuelto en 48 horas".

Ya habíamos visto la misma mecánica en 2021 con el despliegue masivo de entregas a domicilio durante la Covid, y luego con el paso a los pagos sin contacto. Con cada evolución de uso, surge una ola de phishing temático.

Las autoridades francesas (Cybermalveillance.gouv.fr) y europeas han emitido alertas. No serán suficientes para frenar la ola: la experiencia de 2021-2022 demostró que estas campañas de "paquetes" siguen estando entre las más rentables del catálogo delictivo.

Qué hacer ahora

Para los usuarios, regla única:

• Ningún transportista ni aduana reclama el pago de un impuesto por SMS con un enlace para hacer clic. En caso de duda, acceder directamente al sitio web del transportista escribiendo la URL uno mismo, con el número de seguimiento del paquete.
• Verificar el remitente del SMS/correo electrónico: un aviso real rara vez proviene de un número móvil con prefijo +33 6 o de un dominio sospechoso.
• Las verdaderas regularizaciones aduaneras suelen realizarse a través del transportista en el momento de la entrega, no por adelantado mediante SMS.

Para las empresas: actualizar la base de ejemplos utilizada en la formación anti-phishing con estas variantes de "impuesto UE". La sensibilización de la semana siguiente a una noticia de este tipo tiene una tasa de retención notablemente superior a la de la formación genérica anual.