Alguien afectado por una estafa "brushing" suele descubrirla cuando recibe un paquete pequeño con su nombre y dirección en la etiqueta, pero no tiene constancia de haberlo pedido en ninguna de sus cuentas de compra en línea.
A diferencia de los estafadores que envían mensajes falsos para intentar que la gente haga clic en un enlace, los autores de la estafa "brushing" envían un artículo real; sin embargo, algunos han empezado a añadir QR códigos en los paquetes que redirigen a sitios phishing.
¿Qué es una estafa "brushing"?
Una estafa "brushing" es un esquema en el que un vendedor en línea te envía un producto que no has pedido y luego usa la entrega para publicar reseñas falsas o inflar sus ventas. El objetivo del vendedor suele ser mejorar su posicionamiento, no cobrarte a ti.
El término proviene de la jerga del comercio electrónico chino para describir pedidos falsos destinados a mejorar el historial de ventas de una tienda. Los vendedores lo usan para engañar a otros compradores en línea que confían en las valoraciones por estrellas y las cifras de ventas, y la persona que recibe el paquete normalmente no participa en la estafa.
Un caso típico podría ser la llegada de un soporte para móvil en un sobre sencillo enviado por un vendedor que nunca has conocido.
- Las estafas "brushing" usan envíos no solicitados para publicar reseñas falsas o inflar ventas, normalmente sin cobrar nada al destinatario.
- Los estafadores suelen obtener nombres y direcciones de registros públicos, corredores de datos o de datos de clientes expuestos en una filtración de una empresa.
- Recibir un paquete de "brushing" no significa que tu cuenta de compras o tus datos de pago estén comprometidos.
- No escanees QR códigos en paquetes inesperados, porque algunos conducen a sitios de phishing que roban credenciales o datos de pago.
- En los US, la ley federal generalmente te permite quedarte con la mercancía no solicitada sin tener que pagarla.
- Informa del paquete al mercado en línea para que pueda investigar al vendedor, aunque podrían seguir llegando más envíos.
¿Cómo funciona una estafa "brushing"?
En una estafa "brushing", un vendedor puede crear una cuenta falsa en un mercado en línea usando tu nombre y dirección, comprar su propio producto y enviártelo. Luego utiliza la transacción fraudulenta para manipular reseñas o la clasificación de ventas.
Los estafadores suelen pagar con su propia tarjeta y usar su propio correo electrónico, por lo que el pedido y el cargo no aparecen en tu cuenta. Las reseñas proceden de la cuenta que controlan, a veces con un nombre que parece el tuyo.
Muchos consumidores comparan productos por valoraciones por estrellas y rankings de ventas, por lo que un anuncio con cientos de reseñas positivas puede aparecer más arriba y atraer a más compradores, lo que hace que los envíos baratos merezcan la pena para el vendedor.
Enviar un paquete no garantiza automáticamente una reseña verificada, porque cada mercado establece sus propias reglas para confirmar compras y eliminar reseñas falsas. Amazon, por ejemplo, etiqueta una reseña como "compra verificada" cuando puede confirmar que el reseñador compró el artículo en Amazon, y el "brushing" es una forma en que los vendedores intentan conseguir esa etiqueta.
¿Cómo consiguen los estafadores tu nombre y dirección?
Los estafadores suelen obtener nombres y direcciones de registros públicos, intermediarios de datos o de datos de clientes expuestos en una filtración. Tener tu dirección no significa que puedan acceder a tus cuentas de compra ni a tus datos de pago.
Quienes preguntan cómo consiguen su dirección suelen temer una cuenta de Amazon hackeada, pero un nombre y una dirección son información de identificación personal que muchas empresas y directorios ya poseen. La etiqueta de envío no te dirá si el vendedor obtuvo tus datos en una filtración, en un directorio público o en una lista comprada.
Probado de forma independiente y premiado por los laboratorios líderes del sector.
¿Cómo puede reconocer una estafa "brushing"?
Normalmente puede reconocer una estafa "brushing" por un paquete que llega de un vendedor desconocido y que no coincide con ningún pedido en su hogar. El artículo suele ser barato y a menudo no incluye nota ni factura.
Los vendedores suelen elegir mercancía de poco valor como accesorios para móviles, clips para el pelo o pequeños utensilios domésticos, porque estos artículos cuestan poco comprar al por mayor y enviar. Muchos casos denunciados implican a Amazon, pero una estafa "brushing" en Amazon funciona igual que en cualquier otro mercado en línea que clasifique productos por reseñas y ventas.
Antes de considerar que un paquete es "brushing", compruebe si podría ser un regalo, un envío por suscripción, un pedido de alguien de su hogar o un paquete para un vecino.
¿Son peligrosas las estafas "brushing"?
Las estafas "brushing" pueden suponer riesgos para la privacidad y la seguridad, aunque su propósito principal es manipular reseñas en línea más que robar dinero. Algunos paquetes sospechosos también contienen QR códigos maliciosos o productos potencialmente inseguros, lo que crea riesgos adicionales para los destinatarios.
Que un vendedor tenga su nombre y dirección no equivale necesariamente a un caso confirmado de robo de identidad, una cuenta comprometida o datos de pago robados. Sus datos pueden revenderse o reutilizarse, por lo que la misma información podría aparecer más adelante en correos de phishing, llamadas fraudulentas u otros intentos de fraude.
La gravedad de la situación depende de pruebas de uso indebido, como pedidos que no realizó o cargos desconocidos, y no del paquete en sí.
¿Pueden las estafas "brushing" incluir QR códigos maliciosos?
Sí, algunas estafas "brushing" incluyen una tarjeta o pegatina con un QR código malicioso, a menudo acompañada de una nota que le pide que lo escanee. Escanearlo puede abrir una web falsa diseñada para robar credenciales, datos de pago o códigos de verificación de un solo uso.
En su análisis de paquetes inesperados, Kaspersky describe tarjetas con QR que ofrecen una tarjeta regalo de 100 $ por dejar una reseña, prometen revelar quién envió el “regalo” o le piden que confirme la recepción del artículo gratuito. Algunas de las páginas detrás de estos códigos también le piden instalar una aplicación que resulta ser malware.
Esta táctica se conoce como quishing, abreviatura de phishing por QR código, y es una amenaza adicional que algunos estafadores añaden al "brushing" pero que no forma parte del modus operandi básico del "brushing". Escanear un código no infecta automáticamente un teléfono ni compromete una cuenta: los problemas suelen empezar solo si escribe una contraseña o datos de la tarjeta en la página o instala una aplicación que le recomiendan.
¿Qué debe hacer si recibe un paquete de una estafa "brushing"?
La mayoría de las personas solo necesita descartar la posibilidad de un pedido doméstico y denunciar el paquete. Normalmente no es necesario congelar el crédito, reemplazar tarjetas o cambiar todas las contraseñas a menos que detecte señales de compromiso de cuenta, fraude en pagos o uso indebido de identidad.
Compruebe sus cuentas de compra y la actividad de pago
Empiece por preguntar a las personas con las que vive si alguien pidió el artículo o lo envió como regalo y descarte un envío por suscripción que haya olvidado. Si no hay explicación, revise pedidos recientes en sus cuentas del mercado en línea, sus movimientos bancarios y tarjetas, y cualquier correo de seguridad sobre inicios de sesión nuevos o cambios de contraseña.
Si encuentra un pedido, un cargo o un inicio de sesión que no reconoce, cambie la contraseña de esa cuenta, active la autenticación en dos factores y contacte con la plataforma y su banco.
Denuncie el paquete a Amazon o al mercado correspondiente
Para denunciar una estafa "brushing" en Amazon, use el formulario de denuncia en su página de ayuda sobre paquetes no solicitados. En otros mercados, contacte con el servicio de atención al cliente del sitio por el que llegó el paquete. Guarde la etiqueta de envío, el número de seguimiento y la fecha de entrega, y haga fotos del paquete y su contenido, porque Amazon solicita el número de seguimiento y la cantidad de paquetes no deseados que haya recibido.
Si un paquete sospechoso llegó por USPS, también puede denunciarlo a la United States Postal Inspection Service (Oficina de Inspección Postal de Estados Unidos) (USPIS) a través de su formulario de denuncia de delitos en línea. Los informes sobre envíos repetidos pueden ayudar a que un mercado identifique al vendedor y elimine reseñas falsas publicadas a su nombre, pero no garantizan que las entregas se detengan.
¿Qué debe hacer con un paquete no solicitado?
En los US, la ley federal generalmente le permite quedarse con, usar o tirar la mercancía no solicitada sin pagarla ni notificar al remitente. Un paquete dirigido a otra persona es una entrega errónea, así que devuélvalo a través del transportista o del remitente.
Si un paquete sin abrir muestra una dirección de devolución, el US Postal Inspection Service indica que puede marcarlo como "devolver al remitente" y se enviará de vuelta sin coste para usted. Otros países tienen sus propias normas de derechos del consumidor y devolución, así que consulte la guía de la agencia nacional de protección al consumidor si vive fuera de los US.
Tenga más cuidado con aparatos electrónicos desconocidos, productos consumibles, semillas o sustancias desconocidas: no conecte unidades USB desconocidas a sus dispositivos, no plante semillas procedentes de paquetes sospechosos y denuncie líquidos o polvos sospechosos a las autoridades locales. Si va a denunciar el paquete, haga las fotos antes de tirar nada.
¿Qué hacer si ha escaneado un QR código sospechoso?
Cierre la página sin introducir ningún dato; eso suele ser suficiente si solo ha escaneado el código. Si ha introducido una contraseña, datos de la tarjeta o un código de verificación, o ha instalado una aplicación, asegure la cuenta o el dispositivo afectado.
Después de introducir una contraseña, cámbiela en la web oficial y en cualquier otra cuenta donde usara la misma contraseña; active la autenticación en dos factores y revise si hay inicios de sesión que no reconozca. Contacte con su banco o emisor de la tarjeta si ha introducido datos de tarjeta o un código de un solo uso, porque podrá bloquear la tarjeta y comprobar cargos fraudulentos.
Quien haya instalado una aplicación desde el enlace debe eliminarla y escanear el dispositivo con un software de seguridad de confianza para buscar malware.
¿Cómo puede reducir los riesgos de las estafas "brushing"?
Puede reducir los riesgos compartiendo menos información personal en línea, asegurando las cuentas de compra con contraseñas únicas y autenticación en dos factores, y evitando los QR códigos en paquetes inesperados. No puede impedir que lleguen los paquetes, porque el vendedor ya tiene su dirección.
Proteja sus datos personales y las cuentas vinculadas con estos pasos:
- Mantenga su dirección fuera de perfiles públicos en redes sociales, y solicite a los sitios de búsqueda de personas que eliminen su ficha cuando ofrezcan una opción de exclusión.
- Use una contraseña fuerte y única para cada cuenta de compra, de modo que una contraseña robada en una filtración sea más difícil de reutilizar en otros servicios. Un gestor de contraseñas puede crearlas y almacenarlas por usted.
- Active la autenticación en dos factores y las alertas de inicio de sesión en cuentas de mercado y de pago, así será más probable que detecte un intento de usurpación pronto.
- No escanee QR códigos en paquetes inesperados y use un software de seguridad con protección antiphishing, que puede ayudar a bloquear sitios falsos si por error escanea uno.
Artículos relacionados:
- ¿Qué tan seguro es comprar en línea?
- Gestión y prevención de una filtración de datos personales
- Qué hacer después de un ataque de phishing
- Más información sobre las principales estafas y cómo evitarlas
Productos recomendados:
FAQs
¿Puede una estafa "brushing" suspender mi cuenta de compra?
Recibir un paquete de "brushing" normalmente no provoca la suspensión de su cuenta de compra. Sin embargo, si se vincula actividad fraudulenta a su cuenta, el mercado puede investigarla o restringirla. Contacte con el servicio de atención al cliente si detecta actividad sospechosa.
¿Son más comunes las estafas "brushing" durante las fiestas?
Las estafas "brushing" pueden ser más difíciles de reconocer en épocas festivas porque la gente recibe más paquetes y regalos. No obstante, no hay pruebas suficientes de que estas estafas aumenten sistemáticamente en Navidad; pueden ocurrir durante todo el año.
¿Cómo detectar reseñas falsas creadas por estafas "brushing"?
Busque agrupaciones de reseñas de cinco estrellas publicadas en pocos días, elogios vagos que no describen el producto y reseñadores sin otras actividades. Una etiqueta de "compra verificada" no demuestra que una reseña sea auténtica, porque el "brushing" puede generar entregas reales.
¿Es ilegal el "brushing"?
Sí. La Postal Inspection Service de los US identifica el "brushing" como una práctica ilegal. En los US, la norma de la Federal Trade Commission de 2024 también prohíbe ciertas prácticas engañosas de reseñas asociadas a las estafas "brushing", incluida la creación o compra de reseñas falsas de clientes.
