ES
Un paquete sorpresa puede parecer una compra gratis, pero podría ser una señal de que ya se ha hecho un uso indebido de tus datos personales. A continuación te explicamos en qué consiste una estafa de «brushing», por qué ocurre y cómo protegerte.
En pocas palabras
Te llega una caja con tu nombre y tu dirección. No has pedido nada. Dentro hay algo pequeño y barato, quizá una funda de móvil, un par de pendientes o un paquete de semillas. Sin factura, sin remitente, nada que explique de dónde viene.
Es tentador encogerse de hombros y quedárselo. La mayoría de la gente lo hace. Pero el paquete es un síntoma de algo que ya ocurrió antes de que llegara a tu puerta: tu información personal se utilizó sin tu permiso. Esto es lo que está pasando realmente y qué hacer al respecto.
Una estafa de «brushing» se produce cuando un vendedor externo en un mercado online como Amazon, eBay, Temu o AliExpress envía un artículo a una dirección real sin que el destinatario lo haya pedido, para poder marcar la venta como entregada y publicar una reseña de «compra verificada» de cinco estrellas a nombre de esa persona.
Un usuario de Reddit recibió esta patata tan rara sin haberla pedido
El término proviene de «maquillar» las cifras de un vendedor. Las plataformas de venta clasifican los productos, en parte, según el volumen de ventas y según cuántas de sus reseñas proceden de compradores verificados, es decir, personas de las que la plataforma puede confirmar que realmente han recibido el artículo. Una reseña verificada tiene mucho más peso en el algoritmo que una anónima, y los compradores también confían más en ella. Ganarse esa confianza de forma legítima, a través de ventas reales, lleva tiempo. Falsificarla es más barato y rápido, y esa diferencia es el modelo de negocio que subyace al «brushing».
El vendedor necesita un nombre y una dirección de envío válidos que no sean los suyos. Estos datos se obtienen de sitios web de intermediarios de datos, de bases de datos filtradas tras antiguas violaciones de seguridad o de listas compradas directamente en rincones de Internet donde se comercia con datos personales robados.
Con tus datos en la mano, abren una cuenta (o varias) que parece la de un cliente normal, luego realizan un pedido de su propio producto e introducen tu dirección como destino de entrega. Lo pagan ellos mismos, normalmente con un método que no permite rastrear su identidad real. Dado que el artículo se entrega realmente, la plataforma lo registra como una transacción completada y verificada. Una vez que el seguimiento indica «entregado», el vendedor vuelve a iniciar sesión con la cuenta falsa y deja una reseña muy positiva. Si se multiplica esto por cientos de direcciones, un producto mediocre puede escalar hasta lo más alto de los resultados de búsqueda en cuestión de días.
Los artículos son casi siempre baratos y ligeros, ya que el vendedor paga el envío de su propio bolsillo y quiere mantener el coste lo más cerca posible de cero. Por eso, los paquetes utilizados para el «brushing» suelen ser cosas como gomas para el pelo, bisutería barata, accesorios para el móvil o paquetes de semillas, en lugar de artículos de verdadero valor.
Una variante más reciente, señalada por el Servicio de Inspección Postal de EE. UU., añade una tarjeta dentro de la caja con un código QR, en la que se te indica que lo escanees para averiguar quién ha enviado el regalo o para reclamar algún tipo de recompensa. Al escanearlo, se accede a una página web falsa muy convincente, a menudo diseñada para parecerse a la de un banco o a un portal gubernamental, con el objetivo de obtener tus datos de inicio de sesión o información personal. Esta táctica se denomina «quishing», abreviatura de «phishing con código QR», y convierte una estafa mayoritariamente pasiva en un intento activo de robarte directamente. Si un paquete incluye un código QR, no lo escanees, independientemente de lo que prometa.
Es fácil restarle importancia y considerarlo inofensivo, ya que no se ha cargado ningún importe en tu tarjeta. Pero piensa en lo que realmente demuestra ese paquete: alguien con quien nunca has tenido contacto ya tiene tu nombre completo y tu dirección postal, lo suficientemente precisos como para enviar un paquete a través del sistema postal. Esos datos no han aparecido de la nada. Es una clara señal de que tu información ha acabado donde no debería, ya sea a raíz de una antigua filtración de datos, de una página web de intermediarios o de una lista vendida en los rincones más oscuros de la red.
También hay un problema más sutil. Ahora hay una reseña en un mercado con tu nombre asociado a ella, sobre un producto que nunca has comprado y que nunca has visto en uso. Si el producto de ese vendedor resulta ser defectuoso, inseguro o objeto de una disputa más adelante, tu nombre quedará públicamente vinculado a un elogio que nunca has hecho.
No escanees ningún código QR que venga con el paquete, y no llames a ningún número impreso en un folleto que afirme explicarte de qué se trata ese «regalo». Legalmente, en EE. UU. tienes derecho a quedarte con la mercancía no solicitada y no le debes nada al remitente, así que no hay necesidad de intentar devolverla ni de pagarla.
Revisa tus cuentas en la plataforma de comercio electrónico de la que probablemente proceda el artículo. Inicia sesión y busca un pedido que no reconozcas o una reseña publicada a tu nombre que nunca hayas escrito. La mayoría de las principales plataformas de comercio electrónico cuentan con un procedimiento específico para denunciar precisamente esta situación. En Amazon, por ejemplo, puedes denunciarlo directamente y solicitar que se elimine cualquier reseña falsa publicada a tu nombre.
Tómate en serio la filtración de datos, aunque no se haya movido dinero. Cambia la contraseña de la cuenta vinculada a la dirección a la que se envió el paquete, sobre todo si reutilizas esa contraseña en cualquier otro sitio. Solicita tu informe crediticio y presta atención a las cuentas que no hayas abierto, ya que los mismos datos robados que se utilizan para el «brushing» a veces se reutilizan más adelante para robos de identidad más graves. Presentar una denuncia ante la FTC en reportfraud.ftc.gov ayuda a completar el panorama general que utilizan las autoridades reguladoras para perseguir a los vendedores que llevan a cabo estas estafas.
Otra cosa que vale la pena hacer: no te limites a tirar el artículo con tu nombre todavía en las etiquetas de envío o en la información de devolución del vendedor. Corta o tritura cualquier etiqueta que muestre tu dirección antes de reciclar la caja.
Si lo que ha llegado no es una baratija, sino semillas, un líquido desconocido o cualquier cosa que no puedas identificar, no lo plantes, no lo bebas ni lo tires de la forma habitual. Ya se han detectado paquetes de semillas sin etiquetar enviados desde el extranjero como parte de estafas de «brushing», y las autoridades agrícolas advierten de que pueden contener especies invasoras o enfermedades vegetales que causan daños reales si se plantan. Ponte en contacto con la oficina reguladora de plantas de tu estado o, en EE. UU., con el USDA APHIS, y sigue sus instrucciones de eliminación en lugar de tirarlo a la basura o al cubo de compostaje.
Una estafa de «brushing» no te dejará sin dinero en la cuenta bancaria, pero rara vez es toda la historia. Suele ser la parte visible de una filtración de datos que ocurrió en otro lugar, semanas o meses antes. Trata el paquete gratuito como una señal para revisar tus cuentas y reforzar la seguridad de tus datos, no como un golpe de suerte.
Los estafadores no se toman días libres, así que, ¿por qué debería hacerlo tu detector de estafas? Descarga hoy mismo la aplicación ScamAdviser y llévala siempre contigo.
Adam Collins es investigador de ciberseguridad en ScamAdviser y trabaja bajo un seudónimo por motivos de privacidad y seguridad. Con más de cuatro años de experiencia en primera línea del mundo digital, está especializado en convertir amenazas complejas en consejos prácticos. Su misión: poner de manifiesto las señales de alerta para que puedas navegar por la red con confianza.
