Recibir un paquete que no pediste no es una casualidad ni un error de la empresa de mensajería: puede ser la primera señal de que tus datos personales ya circulan en manos de ciberdelincuentes y de que se avecinan más fraudes. Las estafas de brushing convierten a víctimas inocentes en piezas de un engranaje de reseñas falsas en plataformas de comercio electrónico. Ignorarlo no elimina el riesgo; entenderlo es el primer paso para proteger tu identidad.
¿Qué es una estafa de brushing?
Una estafa de brushing es un tipo de fraude de comercio electrónico en el que un vendedor envía un paquete no solicitado a una persona, generalmente un artículo de bajo valor, para poder publicar una reseña positiva falsa de su producto en un marketplace. El objetivo no es regalar mercancía, sino inflar artificialmente la calificación y visibilidad del artículo. Quien recibe el paquete, sin haberlo comprado, se convierte en parte del esquema sin saberlo.
El término brushing proviene de la idea de “cepillar” o pulir la reputación de un producto mediante reseñas fraudulentas. La práctica se ha extendido tanto que plataformas como Amazon han tenido que reforzar sus sistemas de detección. En 2024, Amazon bloqueó de forma proactiva más de 275 millones de reseñas falsas sospechosas y tomó medidas de cumplimiento contra miles de personas involucradas en estas redes. El problema, sin embargo, no se limita a un solo mercado: afecta a todo el ecosistema de ventas online.
Para el consumidor, la experiencia puede resultar confusa. Llega a casa un paquete pequeño, muchas veces de origen desconocido, con un artículo que no recuerda haber comprado. Algunas personas lo ignoran, otras lo tiran, y otras incluso lo disfrutan como si fuera una promoción. Pero el verdadero propósito no tiene nada que ver con la generosidad del vendedor.
El mecanismo del fraude: cómo se fabrica una reseña de cinco estrellas
Para entender el peligro real del brushing, conviene analizar cómo funciona el esquema. No es un acto aislado de un vendedor desesperado por mejorar su reputación: es un proceso deliberado que requiere datos personales, cuentas falsas y una logística cuidadosamente orquestada. Estos son los pasos que se repiten en la mayoría de los casos:
- El estafador consigue una lista de nombres y direcciones postales. Estas listas suelen aparecer en foros de ciberdelincuencia después de una filtración de datos, o bien se extraen de sitios de búsqueda de personas. También es posible que el estafador recopile la información desde fuentes públicas de internet mediante técnicas de scraping.
- El fraude crea una cuenta de comprador falsa en una plataforma de comercio electrónico o marketplace en la que él mismo vende sus productos.
- Con esa cuenta, el estafador realiza una compra de su propio producto y lo envía a la dirección de la víctima.
- Una vez confirmado el envío, el estafador usa la cuenta falsa para publicar una reseña de cinco estrellas, con lo que mejora la reputación del artículo y su posición en los resultados de búsqueda de la plataforma.
La víctima suele enterarse del fraude cuando recibe el paquete no solicitado. Puede tratarse de una funda de móvil, unos auriculares baratos, una pulsera, un imán o cualquier producto de coste reducido. El vendedor no pierde mucho dinero en mercancía, pero obtiene un beneficio enorme en visibilidad y confianza digital, lo que después se traduce en ventas reales a otros usuarios que sí pagan por ese producto.
En algunos casos, el estafador no solo busca una reseña falsa. El envío también sirve para verificar que la dirección de la víctima es válida y activa. Esa confirmación tiene un valor estratégico para futuras campañas de fraude a mayor escala.
¿Por qué debería preocuparte un paquete gratis?
La reacción más común de quien recibe un paquete inesperado es la sorpresa. Después viene la curiosidad y, en muchos casos, una sensación engañosa de haber obtenido algo gratis. Sin embargo, el brushing no es un sorteo ni una estrategia legítima de marketing. Hay varias razones de peso para tomarlo en serio.
La primera es la más obvia: el hecho de que te hayan seleccionado como receptor de un paquete implica que alguien tenía tus datos personales. Eso significa que tu nombre, tu dirección y probablemente tu número de teléfono o correo electrónico están circulando en entornos que no controlas. Esa información puede proceder de una filtración de datos de una empresa con la que haces negocios, de un registro público sin proteger o de una base de datos comprada en la dark web.
La segunda razón es que el envío puede ser una prueba. Los delincuentes a veces envían paquetes de bajo coste para comprobar que la dirección asociada a tus datos sigue siendo válida. Una vez que confirmas que recibes paquetería en ese domicilio, tus datos adquieren más valor y pueden utilizarse en una siguiente fase del fraude, mucho más peligrosa: la suplantación de identidad.
Con tus datos personales y la confirmación de que la dirección es correcta, un estafador podría intentar abrir líneas de crédito, solicitar tarjetas de reembolso, contratar servicios a tu nombre o realizar compras con posterioridad. La entrega física de un artículo sin valor no es el final de la historia; en muchos casos, es el principio.
La trampa del código QR dentro del paquete
Existe una variante aún más preocupante del fraude de brushing. En lugar de limitarse a enviar el paquete y publicar una reseña, el estafador incluye en el interior del paquete un código QR. Puede venir impreso en una tarjeta, en un folleto o en el propio embalaje del producto. La persona que recibe el paquete, movida por la curiosidad, puede escanear el código para obtener instrucciones, promociones o información sobre el envío.
Ese código QR no lleva a una página legítima. Lo más habitual es que conduzca a un sitio de phishing diseñado para instalarte malware en el dispositivo o para engañarte y conseguir que compartas información personal adicional, como contraseñas, datos bancarios o números de tarjeta. En cuestión de segundos, un gesto aparentemente inofensivo puede poner en riesgo todas tus cuentas.
La industria del comercio electrónico ha normalizado el uso de códigos QR en envases y recibos, lo que facilita que los estafadores aprovechen esa familiaridad. Por eso, ante cualquier código QR que llegue en un paquete no solicitado, la mejor decisión es no escanearlo.
Señales para detectar si ya eres víctima de brushing
Detectar el brushing no requiere herramientas sofisticadas. Hay señales claras que deberían activar todas las alarmas. Si recibes un artículo de bajo valor y calidad deficiente que no recuerdas haber comprado, ya tienes un primer indicio. La alarma es aún mayor si el paquete no tiene un remitente reconocible o si la dirección de devolución es vaga, incompleta o no coincide con ninguna tienda conocida.
La presencia de un código QR dentro del paquete, como se ha explicado, es otro signo de alerta. También conviene sospechar si el paquete incluye una factura o un albarán que no corresponde con ningún pedido realizado en tu cuenta.
Para confirmar el fraude, revisa el correo electrónico y las cuentas que tengas abiertas en plataformas de comercio electrónico. Busca pedidos recientes que no aparezcan como realizados por ti. Es recomendable revisar también las cuentas bancarias y los informes de crédito para detectar movimientos sospechosos o líneas de financiación que no hayas solicitado, porque el estafador puede haber pasado a la siguiente fase del esquema.
Si encuentras algún pedido desconocido, un cargo no autorizado o una nueva cuenta de crédito a tu nombre, estamos ante un problema mucho mayor que un simple envío equivocado.
Qué hacer si recibes un paquete que no pediste
Si recibes un paquete no solicitado y sospechas que se trata de una estafa de brushing, actúa con rapidez para minimizar el riesgo. La mayoría de los expertos en seguridad recomiendan seguir estos pasos:
- Pregunta primero a las personas de tu hogar, amigos o familiares si alguien ha hecho un pedido a tu nombre como regalo o por error. A veces la explicación es mucho más simple de lo que parece.
- No escanees ningún código QR que venga dentro del paquete. Aunque resulte tentador, es la vía más rápida hacia un ataque de phishing o la instalación de malware.
- Comprueba que no ha salido dinero de tu cuenta bancaria y que no se han abierto nuevas líneas de crédito a tu nombre.
- Activa la autenticación multifactor (MFA) en tus cuentas de banca online y en tus tarjetas de crédito, si aún no lo has hecho. Esto dificulta que un tercero acceda a tus finanzas incluso si ha conseguido tus contraseñas.
- Activa también la autenticación multifactor en todas tus cuentas de compras online y en tu correo electrónico. El correo electrónico es la puerta de entrada a todas las demás cuentas, por lo que es la que más protección requiere.
- Reporta el fraude a la plataforma de comercio electrónico correspondiente. Amazon, por ejemplo, tiene un espacio dedicado para reportar este tipo de prácticas. La mayoría de los marketplaces grandes cuentan con mecanismos para investigar vendedores fraudulentos.
- No intentes devolver el paquete al remitente. La ley y las políticas de la mayoría de las plataformas consideran que el artículo es tuyo, y devolverlo solo implicaría asumir costes de envío y compartir más información personal.
La rapidez es importante, pero también lo es la tranquilidad. No todas las piezas de paquetería no solicitada son parte de una estafa. Sin embargo, ante la duda, es mejor comprobarlo y protegerse.
Cómo evitar que el brushing te convierta en objetivo
La prevención del brushing no consiste en vigilar tu buzón, sino en reducir la cantidad de datos personales que los estafadores pueden conseguir sobre ti. Aunque no se puede controlar por completo la información que las empresas tienen sobre nosotros, sí se puede limitar la exposición pública y estar preparado ante una posible filtración.
Reduce tu exposición pública en internet
Una parte importante de los datos que alimentan las estafas de brushing proviene de fuentes públicas. Las redes sociales son una mina de oro para los delincuentes: publicar tu dirección, tu fecha de nacimiento, tu número de teléfono o incluso fotografías que permiten identificar tu hogar ofrece información útil para los esquemas de fraude. Cuanta menos información personal compartas públicamente, menos material tendrá un atacante para utilizar en tu contra.
Vale la pena revisar la configuración de privacidad de tus redes sociales y restringir el acceso a tus publicaciones para que solo tus contactos directos puedan verlas. Elimina cualquier dato personal de tu perfil que no sea imprescindible. La fecha de nacimiento, la dirección y el número de teléfono no deberían aparecer en una cuenta pública.
Los delincuentes también recurren al scraping de la web pública, por lo que cualquier mención de tu dirección en foros, registros públicos o sitios de empresas puede terminar en una base de datos de estafadores.
Vigila el robo de datos en la dark web
Si una organización con la que haces negocios sufre una filtración de datos, poco puedes hacer para impedir que tus datos personales queden expuestos. Lo que sí puedes hacer es detectar la exposición a tiempo. Existen servicios de protección de identidad que escanean la dark web y otras fuentes de inteligencia para comprobar si tu información aparece en listas de datos robados. Algunos de estos servicios están integrados en paquetes más amplios de seguridad para el hogar.
Si descubres que alguna de tus cuentas ha sido comprometida, cambia la contraseña inmediatamente. No reutilices esa contraseña en otros servicios. Si el mismo correo electrónico y la misma contraseña se repiten en varias cuentas, el estafador podría acceder a todas ellas con un solo robo de credenciales.
Bloquea las posibilidades de fraude crediticio
La suplantación de identidad puede tener consecuencias económicas muy graves. Una medida preventiva eficaz es la congelación de crédito. Este mecanismo impide que las entidades financieras consulten tu historial crediticio para abrir nuevas cuentas a tu nombre, lo que bloquea la concesión de créditos fraudulentos. Activar una congelación de crédito no afecta a tus cuentas actuales, pero añade una barrera que el estafador tendrá que sortear para utilizar tus datos.
Es una decisión personal que depende del contexto de cada usuario, pero es especialmente recomendable si ya has sufrido una filtración de datos o has recibido señales de que tus datos están circulando. También es sensato revisar periódicamente los informes de crédito para detectar cualquier actividad que no reconozcas.
Elimina tus datos de los sitios de búsqueda de personas
Los llamados “people finder” o sitios de búsqueda de personas recopilan información pública y la organizan en perfiles que cualquiera puede consultar pagando una suscripción o incluso de forma gratuita. Estos sitios son una fuente habitual de datos para los estafadores que montan campañas de brushing. Por eso, una medida muy eficaz es solicitar la exclusión de tus datos en estas plataformas.
Servicios como BeenVerified, Spokeo o TruthFinder permiten a los usuarios completar un proceso de opt-out para que su información deje de aparecer en los resultados. El proceso requiere algo de trabajo: hay que localizar tu perfil en cada sitio, seguir las instrucciones de exclusión y verificar la solicitud. Además, no es una solución de una sola vez. Es recomendable repetir el proceso cada pocos meses, porque los sitios vuelven a incorporar información pública con el tiempo.
Aunque eliminar por completo la huella digital es casi imposible, reducir la cantidad de datos disponibles en este tipo de plataformas disminuye de forma real la probabilidad de que te conviertas en un objetivo fácil.
La confianza digital está en juego
El brushing no es un fenómeno menor ni un efecto secundario inofensivo del comercio electrónico. Detrás de cada paquete no solicitado hay una industria dedicada a la manipulación de reseñas, el robo de datos y la suplantación de identidad. Los sistemas de reseñas de los grandes marketplaces son un pilar de confianza para millones de compradores, y cada vez que un estafador logra inflar la calificación de un producto, se erosiona la credibilidad del conjunto.
Para el consumidor, la lección es clara: la protección de los datos personales requiere una vigilancia constante. No basta con cambiar una contraseña de vez en cuando o con ignorar los paquetes extraños que llegan a casa. Hay que entender cómo se obtienen, comparten y explotan los datos personales, y aplicar medidas básicas de higiene digital que incluyan la privacidad en redes sociales, la autenticación multifactor, la monitorización de la dark web y el control del crédito.
Las estafas de brushing son solo una de las muchas formas en que los delincuentes utilizan la información personal contra sus dueños. Pero suponen una advertencia tangible de que los datos robados tienen un valor inmediato y práctico. Cuando un paquete desconocido llega a tu puerta, lo que tienes delante no es un regalo: es la prueba de que alguien sabe más de ti de lo que debería. La pregunta no es si debes preocuparte, sino qué vas a hacer al respecto.
