El Cibeer Ataque de Paquetería Express

INTRODUCCIÓN: El enemigo en la puerta

 

El "Ciber ataque de Paquetería Express" —con este añadido de "Express"— está ganando en estos últimos años una fuerza brutal, de magnitud incontrolable. Define perfectamente la velocidad y la inmediatez con la que operan estas mafias: te entregan el paquete hoy y en menos de 48 horas ya tienes en tu teléfono extrañas llamadas o inquietantes mensajes de SMS de alertas Bancarias. En ellos se te avisa con urgencia de que hay un cargo pendiente de ser aprobado, o cualquier otra alerta crítica. Es la artillería pesada de los ciber delincuentes intentando derribar tus defensas psicológicas, definiendo a la perfección la realidad de la ingeniería social moderna que sufre cualquier persona en este mismo instante. Es el ritmo de un thriller tecnológico real. No me estoy inventando una fantasía con la que aterrorizar al lector, así que aquí voy a explicar, sin rodeos y de forma tan directamente clara, los pasos hipotéticos del desarrollo del ataque:

FASE 1: La primera traición (AliExFress)

 

El viaje de estos ciber ataques no empieza inmediatamente, sino hasta 8 semanas antes (e incluso a veces hasta seis meses antes) en la pantalla de tu ordenador personal. Generalmente todo comienza cuando realizas una compra aparentemente inofensiva —pongamos, un taladro de impacto atornillador para tu taller— en plataformas globales muy conocidas como AliExFress, Armazon, TRemu o incluso en cualquier otra plataforma de compra tan insospechada como las webs de grandes superficies. No importa la plataforma, importa la cascada del proceso de datos que provoca el cliente al entrar en el circuito del vendedor. Ves una oferta y decides hacer la compra. Introduces tus datos personales de envío, tu número de teléfono y el número de tu tarjeta bancaria. En este instante, la compra ya se está procesando. Para ti, esa transacción ha terminado con éxito y solo cabe esperar que el paquete llegue; para las mafias, acaba de comenzar la caza de su víctima. Aquí conviven dos realidades oscuras en los mercados internacionales:

1. La filtración del vendedor deshonesto

Los vendedores de productos de estas plataformas recopilan de forma masiva los datos de cientos de miles de compradores cada día (teléfono, dirección, número de tu DNI y los datos bancarios de la forma de pago). Para entenderlo mejor: un vendedor con sede en Hong Kong tiene una tienda de herramientas y recibe una compra tuya. En el pedido de tu artículo van incluidos, inevitablemente, todos tus datos personales. Aquí es donde la propia honestidad del vendedor es decisiva. Si el vendedor es honrado, no vende las bases de datos de tarjetas bancarias ni la información personal de sus clientes. Pero si el vendedor es un "Wile E." deshonesto y tramposo, todo el asunto cambia por completo. (Nota: La palabra Wile E. se refiere aquí al Coyote del Corre caminos de la Warner Brothers, un ingeniero de sistemas tramposo que siempre está ideando sofisticadas formas de lograr atrapar al Corre caminos). Este tipo de perfil vende esos datos en círculos oscuros, grupos mafiosos de phishing en Telegram, sistemas de la Dark Web o redes cerradas de venta en negro.

2. El mercado negro de datos en canales cerrados

En paralelo, estos datos se empaquetan en archivos .csv y se venden al mejor postor en comunidades clandestinas de mensajería encriptada y círculos secretos. Es el anonimato total de los ciber delincuentes del phishing y los ladrones de identidad. Por unos pocos billetes, tu identidad digital cambia rápidamente de manos en servidores ubicados al otro extremo del planeta; da igual si eres de España, tus datos alguien los comprará y usará en sitios tan remotos como Senegal, Perú, Rumanía, Rusia, la India o Gibraltar para mandarte un timo bancario por SMS.

Esta parte siempre tiene un claro punto de origen: todas las empresas de comercio necesitan tus datos personales para poder venderte el producto. Si la venta fuera en persona, sin intermediar los medios digitales, no sufrirías el problema. Sin embargo, como la velocidad de la aceleración tecnológica obliga a las empresas a realizar transacciones cada vez más rápidas para ser competitivas, en esa desquiciada carrera el factor "dato" se convierte en un "diamante en bruto sin tallar" para su comercialización en paralelo en los submundos de la delincuencia internacional clandestina.

Así es como el dato que tú entregas a una empresa a través de una compra no tiene por ejemplo, ninguna seguridad ni protección real, por mucha apariencia de leyes de Protección de Datos que existan  aquí en España. Para que lo entiendas: aquí en España las autoridades a menudo se limitan a esperar y recoger todo tipo de denuncias desde sus relajadas oficinas asépticas y climatizadas. No son como Hacienda, que sale a la calle y persigue el fraude del dinero con la ferocidad de un lobo. No disponen de inspectores de fraude de datos de campo, no hacen revisiones constantes a empresas ni auditorías de uso de datos, ni existen superordenadores centralizados de vigilancia adscritos a la propia protección de datos que controlen exhaustivamente las bases de datos que maneja cada empresa. Su operativa tiende a la pasividad administrativa, no a la actividad pro-activa: "Tráigame la denuncia, lo investigaremos, y después ya se verá si se ha hecho algo o no". Es la ley de la "burrocracia" (burro + cracia).

FASE 2: El factor "Insider" y la brecha de última milla

Una vez que el paquete llega al país de destino y se acerca a tu casa, la trama criminal traslada sus operaciones al terreno físico. Recibes el paquete. El repartidor te pide el DNI como parte de la formalización para justificar la entrega, lo apunta en su terminal PDA y se marcha. Todo normal, ¿verdad? Crees que tu mayor preocupación ahora es abrir la caja, pero la verdadera operación de delincuencia acaba de comenzar en la sombra. Es aquí donde se activa el punto débil de toda la cadena, y también una de las hipótesis más inquietantes y certeras de la ciber seguridad actual: la Amenaza Interna (Insider Threat). Las mafias no necesitan gastar recursos en hackear los servidores centrales blindados de los gigantes logísticos de empresas bien conocidas como (Chorreos Express, FEUR, UPZ, DAHL o GRLS); les resulta mucho más barato y eficiente corromper el factor humano en las subcontractas de reparto de última milla. El fraude en esta fase se ramifica a través de dos vectores de filtración internos:

1. El operador de ruta espía

Mediante canales de Telegram cerrados, organizaciones criminales dedicadas al phishing reclutan a repartidores locales o autónomos quemados por la precariedad de las subcontratas. Esto no es ninguna sorpresa; las ofertas de anuncios están pensadas para que no parezcan un acto delictivo a primera vista, aunque en realidad lo sean. A cambio de un "menudeo negro" —pequeñas sumas de dinero, aproximadamente de 50 a 100 euros por jornada de captación de datos—, el infiltrado se dedica sistemáticamente a hacer captura tras captura de pantalla a su PDA de cada entrega durante su reparto. En el momento en que el repartidor te solicita el DNI a las puertas de tu casa y marca la entrega, esos datos viajan en paralelo al centro de control de la mafia.

2. La fuga de datos corporativa

Este es un nivel superior, más sofisticado, más discreto y mucho más peligroso: un delito informático en toda regla. La filtración proviene desde el propio personal interno de administración o soporte técnico informático con acceso directo a las bases de datos de la empresa de reparto. Un solo empleado infiel con acceso a un panel de control o a un servidor SQL puede exportar clandestinamente archivos .csv masivos con miles de perfiles listos para ser transferidos en bloque a algún soporte externo. En el peor de los casos, la propia empresa matriz (si opera fuera de las regulaciones europeas de protección de datos) podría estar subastando estas bases de datos en negro en cualquier parte del mundo. ¿Por qué sucede esto? Principalmente por tres razones:

Dirección corrupta: Porque desde dentro de la propia empresa, la alta dirección carece de escrúpulos. Si existe una política interna de mercadear los datos en paralelo para ganar grandes sumas extra en negro, es un callejón sin salida porque nadie vigila, controla o inspecciona externamente.

Seguridad informática deficiente: Si es un administrador informático interno o personal de escala inferior el que roba los datos desde los terminales, es porque la empresa tiene una seguridad informática basura. Todos los empleados que manejan ordenadores deberían, por ejemplo, contar con tarjetas electrónicas de acceso a sesión de terminal y un confirmador con huella biométrica, además de software que vigile y registre cada acción, enviando una alerta inmediata si se intenta conectar un pendrive o realizar un backup de datos.

Falta de control en subcontratas técnicas: Si la empresa tiene su sistema informático subcontratado con una entidad externa para el alquiler de servidores, mantenimiento web o administración de bases de datos, volvemos a lo mismo: ¿Quién controla al empleado infiel que tiene acceso a toda esa infraestructura que ni la propia empresa de reparto comprende? Nadie.

3. El Laberinto de la Superficie: Legalizando la Extorsión de Datos

Las empresas usan trucos sucios con los términos y condiciones de navegación en su web para justificar la recopilación de datos y burlarse en la cara de la Agencia de Protección de Datos. Para poder mirar una web, todo el mundo lo sabe, debes aceptar el tratamiento de datos y pasar por el aro de esa inútil ley de control de datos mediante el botón de [ACEPTAR TODAS LAS COOKIES]. Resulta que, al aceptar esas "mierda-cookies", muchas páginas recopilan todos los datos que logren atrapar mediante sistemas de exfiltración.

Pensemos en cómo navegábamos por internet en el año 1998. Yo lo hacía con una conexión de CD-ROM de WorldOnline, una línea de Telefónica de par de cobre y un cacharro  de módem analógico de 56 kbps que muchas veces dejaba colgado a Windows 95. En aquella época, una "cookie" solo podía recordar qué productos habías metido en el carrio de esa web concreta; era una galleta tonta y amnésica.

Hoy, el escenario ha dado un giro radical en tu privacidad personal. Los términos y condiciones te obligan a aceptar que esa web comparta tus datos con Data Brokers (corredores de datos): empresas legales multimillonarias que se dedican exclusivamente a comprar listas de clientes de miles de webs diferentes, cruzarlas y empaquetarlas para su venta.

Las páginas web que visitas cada día ya son capaces de recopilar tu nombre, dirección y teléfono de forma totalmente legal y automática a través de su software y de los términos y condiciones, pero únicamente si tú los introduces en algún momento o si los tienes guardados y marcados con la función de "autorrelleno o autocompletar" de tu navegador. Hoy, en el momento en que introduces tu teléfono o dirección en una sola plataforma legítima, esa información puede acabar cruzada y etiquetada en los perfiles de seguimiento de cientos de empresas de publicidad a las que tú jamás les diste tus datos. La red ya no olvida quién eres: dejas de ser anónimo.

4. La Paradoja de la Cancelación: La Ley del Mundo al Revés

Por otra parte, para ejercer un derecho constitucional de cancelación (el derecho de supresión de la normativa de protección de datos, para que una empresa borre tus datos), el ciudadano se ve obligado a cometer la mayor temeridad de la ciber seguridad actual: enviar una fotocopia de su DNI por las dos caras a una empresa en la que ya no confía. ¿Se entiende esta trampa legal y maquiavélica? Te piden el DNI para borrar tus datos, y aquí es donde radica el verdadero crimen institucional: ¡Es la misma Agencia la que ampara el vector de riesgo que dice perseguir! La administración consiente que una empresa, para eliminarte de sus bases de datos, te exija un documento privado con los mismos datos que tú quieres que borren y que no quieres que tengan; un documento que, por otra parte, la propia administración te advierte constantemente que jamás deberías compartir.

Explicado para que un abogado se entere y les meta una demanda, estamos ante un bucle absurddo y destructivo:

a. La Desconfianza Inicial: Quieres que borren tus datos de una entidad porque desconfías de la seguridad de sus sistemas o de su ética corporativa.

b. La Exigencia Absurda: Como requisito indispensable, te exigen que les mandes un documento con tu fotografía, firma, fecha de nacimiento y número de soporte. Es decir, el documento definitivo y la llave maestra para que te suplanten la identidad en un banco, te carguen créditos fraudulentos o te abran líneas telefónicas a tu nombre.

c. El Amparo Institucional: La propia administración consiente este protocolo bajo la burda excusa de la "verificación de identidad", obligándote a alimentar al monstruo con más datos sensibles para que supuestamente deje de vigilarte.

d. La Consolidación del Fraude: Con ese DNI en la mano, la empresa o cualquier empleado infiel no solo puede refrescar con total precisión tus datos si ya los tenían incompletos o borrosos, sino que además obtiene la documentación necesaria para cometer todo tipo de fraudes de suplantación de identidad en el mercado negro.

Es el mundo al revés. Una ley que nació para proteger la privacidad del ciudadano se ha convertido en la perfecta herramienta de coacción legal para obligarle a entregar su identidad en bandeja de plata.

 

5. Nota de seguridad: El mercado clandestino de la Dark Web

Debo señalar que la captación y reclutamiento se realiza desde la Deep Web y la Dark Web. Es importante mencionar que para acceder a estos rincones de la red Tor primero debes saber algo más de informática que estar todo el día jugando a videojuegos o haciendo comentarios estúpidos en Facebook, Reddit o Instagram, porque se requiere el uso de navegadores específicos (como Tor Browser) y medidas de seguridad extremas. No es para principiantes. Las mafias llenan estos foros de virus y estafas (scams) dirigidas a los propios delincuentes, por lo que es un auténtico campo de minas digital. Para localizar este tipo de anuncios clandestinos dentro de la Dark Web, no se utiliza el internet convencional. Es necesario descender a las redes superpuestas y cifradas, principalmente a la Red Tor (utilizando dominios con la extensión .onion) y, de forma cada vez más habitual, los hilos te redirigen a plataformas de mensajería que actúan como puentes de la Dark Web debido a su nulo control, como ciertos nodos de la red I2P y canales VIP restringidos de Telegram. Dentro de estos ecosistemas, los anuncios de reclutamiento de "topos" (insiders) y la compraventa de bases de datos de logística se concentran específicamente en tres ubicaciones:

6. Foros de Cibercrimen Especializados (Ruso e Inglés)

Son comunidades estructuradas con sistemas de reputación donde los usuarios necesitan invitaciones o pagar una fianza para entrar. Los más conocidos se dividen por temáticas:

a. Secciones de "Trabajo/Reclutamiento" (Job Offers / Insiders): En foros míticos (y sus sucesores actuales) como Exploit, XSS, Breached o Ramp, existen hilos permanentes donde las mafias publican ofertas de empleo criminal. Los anuncios suelen titularse: "Busco empleados de correos/logística en España/Europa. Pago diario garantizado".

b. Secciones de "Bases de Datos" (Databases / Leaks): Foros como RaidForums (en sus nuevas encarnaciones) o BreachForums son el zoco donde los administradores de sistemas corruptos subastan los archivos .csv o .sql extraídos de las empresas de transporte de todo el mundo.

7. Marketplaces de la Dark Web (Los "Amazon" del crimen)

a. En mercados negros generales de la red Tor (como lo fueron en su día AlphaBay, AsAP Market o Bohemia, constantemente reemplazados por nuevas plataformas clonadas), existen categorías enteras denominadas "Digital Products" o "Data & Leaks".

b. Aquí no se recluta tanto al repartidor, sino que se vende el producto final de su traición. Las mafias compran directamente "paquetes" de datos clasificados por países. Un atacante puede buscar en el motor de búsqueda del market: Spain logistics DNI phone 2026 y comprar instantáneamente el listado mediante criptomonedas como Monero (XMR) o Bitcoin (BTC).

 

8. Canales "Escaparate" y Bots Automatizados de Telegram

Aunque Telegram pertenece a la Clear Web (el internet abierto), las mafias lo usan como la principal ventanilla de atención al cliente de la Dark Web por su facilidad de acceso.

a. Canales de Scraping y Carding: Existen canales públicos que sirven de "escaparate". En ellos se publican capturas de pantalla de las PDAs de los repartidores o fragmentos gratuitos de las bases de datos robadas (llamados samples) para demostrar que la mercancía es real.

b. Bots de reclutamiento: Para hablar con la mafia, el anuncio de la Dark Web suele redirigir a un bot de Telegram automatizado. El repartidor corrupto interactúa con el bot, pasa una "entrevista" para demostrar que realmente trabaja en la empresa de paquetería (enviando una foto de su acreditación o de la app interna) y recibe las instrucciones para empezar a filtrar los DNIs.

 

9. Los anuncios clandestinos

Para que el lector entienda la frialdad de este negocio, así lucen los anuncios reales que inundan los foros protegidos por la red Tor. Aquí les dejo una muestra para que los expertos en ciberseguridad, la Guardia Civil o la Policía Nacional sepan qué buscar y qué pueden encontrar cuando están conduciendo una investigación para montar un caso:

a. Anuncio de Reclutamiento (Ficticio/Basado en patrones reales)

[HIRING] LOOKING FOR LOGISTICS INSIDERS / SPAIN 🇪🇸 (CHORREOS, DAHL, GRLS, ARMAZON, FEUR) ¿Estas trabajando en empresas de reparto, mensajería o almacén de logística en España y te pagan poco? Deja de trabajar por un sueldo miserable. Gana dinero de verdad hoy mismo de forma 100% segura y anónima. Busco Repartidores/Riders con acceso a PDA o App móvil de rutas de entrega. Personal de oficina/soporte con acceso a paneles de gestión de envíos. Tu trabajo: Solo tienes que enviarnos capturas de pantalla o exportar los datos diarios de las entregas (Nombre completo, DNI, Dirección y Teléfono del cliente). No tienes que tocar los paquetes, no tienes que robar mercancía. Todo digital. Ofrecemos: Pagos diarios garantizados tras comprobación del feed (lote de datos). Tarifa: Entre 50€ y 150€ al día dependiendo del volumen de entregas y la frescura de los datos. Pago exclusivo en Monero (XMR) o Bitcoin (BTC) para tu total seguridad. Contacto: Escribe a nuestro bot de verificación en Telegram: @LogisticsDrop_ES_bot (Pondremos a prueba tu acceso pidiéndote una foto de tu terminal antes de entrar al canal VIP).

b. Anuncio de Subasta/Venta de Base de Datos

[FOR SALE] SPAIN LOGISTICS DATABASE - FRESH LEAK (MAY 2026) - 350K REGISTERS
User: CyberLeak_99 (Reputación: Verified Seller ⭐⭐⭐⭐⭐)
Fecha: 14-05-2026
Hola a todos. Pongo a la venta una base de datos fresca y exclusiva extraída directamente del servidor SQL de una importante filial de mensajería y paquetería express que opera en el territorio español. Los datos fueron comprometidos este mismo mes. Detalles del archivo: Volumen: 350.000 registros únicos de clientes. Formato: Archivo .csv / .sql estructurado y limpio. Campos incluidos: FULL_NAME | DNI_NIE | DELIVERY_ADDRESS | POSTAL_CODE | PHONE_NUMBER | EMAIL | TRACKING_ID | ORDER_DATE. Ideal para: Campañas de Ingeniería Social (Vishing / Smishing), suplantación de identidad bancaria y operadoras de energía/telecomunicaciones. Datos con un porcentaje de acierto del 92% en llamadas. Precio por copia (Máximo 5 compradores): 12.000 USD (en XMR/BTC). Precio por la exclusividad (Se borra del foro tras la compra): 24.000 USD. Muestra (Sample): He dejado un lote gratuito de 100 registros en el servidor Mega para que los moderadores comprueben la autenticidad de los datos. Interesados contactar por mensaje privado (PM) usando cifrado PGP o mediante sesión Tox.

 

FASE 3: Centralitas VoIP y WarDialers con IA: La ofensiva automatizada

Es aquí donde el ciberataque de paquetería express adquiere su más sofisticada dimensión. Están usando, con tecnología moderna, una vieja táctica de los hackers de los años 80: los WarDialers. Hace cuatro décadas, los hackers de los 80 programaban sus módems (yo mismo lo hice para que navegara más rápido) para bombardear miles de números de teléfono secuencialmente en busca de una línea que respondiese para después marcarla como objetivo. En la actualidad, las mafias aplican el mismo principio conceptual, pero potenciado por Inteligencia Artificial y telefonía virtual (VoIP). Un grupo mafioso dedicado al phishing de tarjetas de crédito, suplantación de identidad y robo de saldo bancario desarrolla esta sofisticada estructura. Una vez que el centro de control de la mafia (ubicado frecuentemente en zonas fuera del alcance de la Europol, como Rusia, China, Hong Kong, Senegal, Nigeria o determinadas regiones de Europa del Este que no pertenecen a la UE) recibe los datos filtrados por los "topos" de la paquetería, se activa una maquinaria implacable dividida en dos infraestructuras tecnológicas:

a. Oficinas virtuales y Bots de Voz: Las mafias configuran centralitas virtuales automatizadas con números de teléfono desechables. Operadores basados en IA realizan llamadas masivas a las víctimas. No buscan vender de forma legítima, sino interactuar mediante ingeniería social: utilizan excusas cotidianas (un error en tu factura de la luz, una anomalía en tu comercializadora de gas o una alerta de seguridad de una aseguradora o entidad financiera genérica) con el único objetivo de pescar los datos bancarios que les faltan.

 b. Servidores Offshore de SMS: De forma paralela y coordinada, servidores contratados clandestinamente en jurisdicciones opacas como Hong Kong o Rusia lanzan oleadas de SMS fraudulentos (smishing). Estos mensajes simulan alertas bancarias críticas de máxima urgencia para forzar a la víctima, presa del pánico, a entregar sus claves dinámicas mediante enlaces fraudulentos.

CONCLUSIÓN: 

El escudo definitivo contra una industria millonaria

La conclusión de esta radiografía criminal nos deja una paradoja fascinante. Las mafias internacionales invierten en su industria del delito miles de euros en comprar bases de datos, reclutar "topos" en empresas de transporte, alquilar servidores offshore en Rusia y programar centralitas automatizadas con Inteligencia Artificial. Despliegan una tecnología de vanguardia orientada exclusivamente al fraude masivo. Sin embargo, toda esa inversión multimillonaria se estrella y se vuelve completamente inútil (un valor de conversión de exactamente cero euros) cuando choca contra usuarios concienciados. Puedes aplicar cuatro contra medidas fundamentales:

Deja que tu teléfono suene (La regla de los 15 segundos): Al recibir una llamada sospechosa, la táctica más simple y destructiva para sus sistemas es dejar que el teléfono suene unos 15 segundos sin descolgar. El software de los atacantes asume que es una línea muerta o desatendida en ese horario, por lo que desiste para no perder ancho de banda, impidiendo que el bot de IA o el operador humano inicien la ingeniería social.
 

El bloqueo de números en tu dispositivo: Usa el bloqueador de llamadas después de recibir una llamada extraña con comienzos de números sospechosos o comerciales reportados (como rangos 930, 972, 911, 641, 960, 873, 931, entre otros) y márcalo directamente como spam. Cuando un número reportado intenta volver a llamar por segunda vez, el sistema de filtrado lo silencia de raíz sin que el teléfono llegue siquiera a vibrar.

Filtro radical de SMS Bancarios: Si recibes un aviso urgente por SMS que parece provenir de tu banco, no hagas nada, no pinches en ningún enlace, no toques nada. Vete primero a mirar en la aplicación oficial de tu banco si, como dice el texto del mensaje alarmante, hay un movimiento de dinero real que debes autorizar. No lo habrá. Así que borra esos mensajes y olvídalo.

Higiene financiera con Tarjeta Prepago: No uses una tarjeta de crédito o débito principal vinculada a tus cuentas en tus compras online. Consigue una tarjeta prepago (virtual o física) de cualquier entidad y, cada vez que necesites pagar algo, la recargas desde tu aplicación con el importe exacto, pagas y mantienes tu cuenta bancaria principal a salvo. Si logran comprometer los datos de la tarjeta prepago, su margen de maniobra es nulo. Basta con reportarlo al centro de control de tu banco, apagar la tarjeta y emitir otra en segundos.

La tecnología del fraude cambia y se sofistica, pero la psicología de la estafa sigue siendo la misma que en los años 80. La mejor defensa no requiere software complejo, sino no interactuar con los SMS, ignorar los ganchos automatizados y pensar con más frialdad antes de tomar una decisión bajo presión.

 

 

Nota: Este articulo es una posible hipótesis de lo que sucede presuntamente en la actualidad con el circuito de datos privados.