Este tipo de ataque socava la confianza en el dominio oficial de PayPal, lo que lleva al usuario a creer que está en una comunicación legítima.
22/10/2025 – 10:06hs
Una nueva modalidad de estafa se propaga a través de correos electrónicos que replican las notificaciones oficiales de PayPal. A diferencia del “phishing” tradicional, esta estafa no utiliza dominios falsos ni errores ortográficos evidentes, sino que se vale de funciones internas de la propia plataforma para engañar a los usuarios, sustraer dinero y robar datos personales.
Lo más alarmante de esta campaña es que los ciberdelincuentes logran utilizar el dominio oficial de PayPal (por ejemplo, “service@paypal.com”) para enviar notificaciones que parecen auténticas. Este método elude los filtros antispam convencionales al no depender de dominios falsos, sino del sistema interno de notificaciones de PayPal.
El modus operandi típico es el siguiente: el usuario recibe un correo electrónico informando sobre la adición de una nueva dirección de envío a su cuenta o una compra costosa no autorizada (por ejemplo, un dispositivo de alta gama).
El mensaje incluye un número de teléfono, solicitando que el usuario llame de inmediato si la operación no fue suya. Sin embargo, este número no pertenece al servicio de atención de PayPal, sino a los estafadores.
Al realizar la llamada, un falso agente solicita datos personales y convence a la víctima de instalar software de control remoto como TeamViewer o AnyDesk. Una vez concedidos estos permisos, los delincuentes toman control del dispositivo, acceden a las credenciales de PayPal y vacían cuentas u obtienen datos bancarios.
La peligrosidad de esta estafa radica en que no depende de enlaces sospechosos ni errores visibles; el correo “parece real”, carece de faltas evidentes y no solicita hacer clic en un enlace dudoso, lo que reduce las señales de alerta tradicionales.
Un detalle clave adicional es que esta modalidad explota una función interna de PayPal llamada “dirección de regalo” (o “shipping alias”), diseñada para permitir múltiples envíos sin modificar el perfil principal. Los atacantes la manipulan para generar correos de confirmación legítimos desde el sistema, que luego redirigen o reenvían a listas de posibles víctimas.
Señales de alerta: Cómo detectar esta estafa con PayPal
Para minimizar el riesgo de caer en esta sofisticada estafa, es crucial prestar atención a las siguientes señales:
- Inclusión de un número telefónico de atención: PayPal, por política, no incluye números de contacto en sus comunicaciones por correo electrónico. La presencia de una línea telefónica es un indicio de estafa.
- Mensajes que implican una acción urgente: Las estafas apelan al miedo para que la víctima actúe sin pensar (ej. “llame ahora o su cuenta será suspendida”).
- Saludos genéricos: Si el correo no utiliza tu nombre real, sino un saludo genérico como “Estimado usuario”, es una señal de alerta. Las comunicaciones legítimas de PayPal personalizan el saludo.
- Ausencia de errores: La falta de fallas gramaticales u ortográficas ya no garantiza la autenticidad del correo.
- Solicitud de instalación de software remoto: PayPal nunca pedirá instalar software de control remoto o descargar aplicaciones de “soporte”.
- Ausencia de enlaces obvios: La falta de enlaces maliciosos es precisamente lo que hace esta estafa más sigilosa y peligrosa.
Qué hacer si recibís uno de estos correos
Ante la sospecha de un intento de estafa, estas son las recomendaciones fundamentales:
- No llamar ni responder al número incluido en el correo.
- No instalar ningún software ni otorgar permisos remotos al dispositivo.
- Ingresar directamente a la página web oficial de PayPal desde un navegador seguro (sin hacer clic en el correo) y revisar la actividad de la cuenta (transacciones recientes, direcciones de envío agregadas, etc.).
- Enviar el correo sospechoso a phishing@paypal.com para que el equipo de seguridad de PayPal lo analice.
- Cambiar las contraseñas sensibles, activar la autenticación en dos pasos (2FA) y utilizar contraseñas únicas.
- Revisar con frecuencia los movimientos bancarios y el estado de las cuentas vinculadas para detectar operaciones extrañas a tiempo.
- Utilizar software antivirus actualizado y filtros de spam robustos para bloquear futuras campañas fraudulentas.
¿Por qué esta estafa es peligrosa?
Este tipo de ataque socava la confianza en el dominio oficial de PayPal, lo que lleva al usuario a creer que está en una comunicación legítima. A diferencia de otros fraudes, no depende de dominios falsos ni de errores visibles, lo que dificulta su detección por medios automáticos.
El estafador opera en tiempo real mediante un mecanismo de control remoto, lo que le permite capturar credenciales, vaciar cuentas o manipular datos clave. La dificultad para rastrear y denunciar estos ataques se agrava porque muchas víctimas los descubren demasiado tarde o no los denuncian, a menudo por vergüenza.
