1Qué ocurre en los segundos posteriores al clic
El clic tarda menos de un segundo en tener consecuencias: el móvil sale de la aplicación de mensajes y abre un navegador que carga una réplica de la web de Correos. La pantalla muestra un estado de entrega inventado —el paquete retenido, un aviso de que faltan datos de la dirección o de que las tasas de aduana siguen sin pagar— y un botón para continuar. Nada de eso existe. INCIBE documentó el recorrido exacto de una de estas campañas: primero un formulario con nombre, dirección, teléfono y correo; después, una pantalla de pago que pide los datos completos de la tarjeta por una cantidad mínima, 0,27 euros en aquel caso y 1,99 euros en la versión que verificó Maldita.es. El anzuelo es precisamente lo ridículo del importe. Por detrás hay dominios registrados días o incluso horas antes, muchos alojados en servicios gratuitos, y direcciones que imitan la marca sin ser correos.es. El clic, además, confirma a los estafadores que ese número está activo y responde.
Lo que se juega en los segundos siguientes no son dos euros, sino la tarjeta y, sobre todo, el código de verificación. Introducidos el número, la caducidad y el CVV, la web reclama el código que el banco manda por SMS; INCIBE comprobó que la pantalla acepta cualquier cadena de números y da el trámite por bueno aunque no llegue ningún mensaje, porque el objetivo ya está cumplido: los datos han viajado a un servidor de los delincuentes. Con ellos se vincula la tarjeta a un monedero móvil del estilo de Apple Pay o Google Pay, o se autorizan transferencias, y los cargos llegan en cuestión de minutos u horas. Un afectado contó a RTVE que, tras facilitar los datos y bloquear la tarjeta, recibió intentos de cobro de 70 y 30 euros en tiendas online que su doble verificación frenó. En la variante más agresiva se ofrece una supuesta aplicación de Correos que en realidad es un troyano bancario: intercepta los códigos de entidades como CaixaBank, BBVA y Santander y reenvía el mismo SMS a todos los contactos de la agenda.
