La estafa del "brushing" evoluciona: ahora usan códigos QR en paquetes no solicitados

CIUDAD DE MÉXICO (apro).— Usuarios de plataformas de comercio electrónico como Amazon y Temu han reportado la recepción de paquetes que no ordenaron, una práctica conocida como "brushing". Autoridades y organizaciones de protección al consumidor en Estados Unidos han emitido alertas sobre esta modalidad de estafa, que, si bien puede parecer inofensiva al principio, indica que la información personal del destinatario ha sido comprometida.

La Comisión Federal de Comercio (FTC, por sus siglas en inglés), el Better Business Bureau (BBB) y el Servicio de Inspección Postal de Estados Unidos (USPIS) son algunas de las entidades que han advertido sobre este esquema.

¿Cómo funciona la estafa del "brushing"?

El "brushing" es una técnica fraudulenta utilizada por vendedores externos, a menudo internacionales, para inflar artificialmente las calificaciones de sus productos y su visibilidad en sitios de comercio electrónico. El proceso comienza cuando los estafadores obtienen nombres y direcciones de personas, frecuentemente a través de violaciones de datos o información disponible públicamente.

Posteriormente, utilizan estos datos para crear perfiles falsos en las plataformas de venta y realizar compras de sus propios productos, enviándolos a las direcciones obtenidas. Una vez que el sistema de la plataforma registra la entrega del paquete, el vendedor, haciéndose pasar por el destinatario, publica una reseña positiva de cinco estrellas. Esto les permite obtener el estatus de "comprador verificado", lo que da más credibilidad a sus reseñas falsas y mejora su posicionamiento en los resultados de búsqueda.

Los artículos enviados suelen ser de bajo costo y ligeros, como máscaras faciales, semillas, anillos de imitación o pequeños aparatos electrónicos, para minimizar los gastos de envío.

¿Por qué es una señal de alerta recibir estos paquetes?

La recepción de un paquete no solicitado es una indicación de que la información personal del individuo, como su nombre completo, dirección y posiblemente número de teléfono, ha sido expuesta. Esta información podría ser utilizada para otros fines fraudulentos, incluyendo el robo de identidad.

Una nueva variante de esta estafa, reportada a principios de 2025, incluye la adición de códigos QR maliciosos dentro de los paquetes. Al escanear el código, a menudo con la promesa de obtener información sobre el regalo o un descuento, la víctima es dirigida a un sitio de phishing diseñado para robar credenciales de usuario, contraseñas o información de tarjetas de crédito. En otros casos, el código puede descargar malware en el dispositivo del usuario. 

Postura de las empresas y recomendaciones oficiales

Amazon ha declarado que las estafas de "brushing" y las reseñas falsas van en contra de sus políticas. La compañía insta a los clientes que reciban paquetes no solicitados a contactar a su servicio de atención al cliente para que se inicie una investigación, que puede resultar en acciones contra el vendedor, como la retención de pagos o la suspensión de sus privilegios de venta.

Por su parte, Temu comunicó en declaraciones a medios en junio de 2024 que "prohíbe estrictamente esta práctica" y que tomará "medidas contra los infractores". La empresa solicita a los usuarios que reciban un paquete que no ordenaron que se pongan en contacto con ellos para investigar el incidente.

La FTC, el BBB y el USPIS ofrecen las siguientes recomendaciones para los consumidores que reciban paquetes no solicitados:

Notificar al minorista: Informe a la plataforma de comercio electrónico (como Amazon o Temu) sobre el paquete no solicitado para que puedan investigar la cuenta del vendedor fraudulento.[

No pagar ni devolver: Por ley, los destinatarios pueden quedarse con la mercancía no solicitada sin obligación de pago. No se recomienda devolver el paquete, especialmente si implica escanear un código QR o proporcionar más información personal. Si el paquete está sin abrir, se puede marcar como "Devolver al remitente".

Cambiar contraseñas: Como medida de precaución, es aconsejable cambiar las contraseñas de las cuentas de compras en línea y otras cuentas importantes.

Monitorear cuentas: Revise regularmente los estados de cuenta bancarios y los informes de crédito en busca de cualquier actividad sospechosa o cuentas no reconocidas.

Las autoridades subrayan que, aunque quedarse con un producto gratis puede no parecer un problema, el verdadero riesgo del "brushing" radica en la vulneración de la privacidad y la posibilidad de ser víctima de futuros fraudes.

Con información de proceso.com.mx