Cómo saber si un correo o un SMS de Amazon es falso

5 de octubre de 2026

Miércoles 7 de octubre, nueve y cuarto de la mañana. Ayer, el primer día de la Fiesta de Ofertas Prime, pediste unos auriculares rebajados, y ahora el móvil vibra con un SMS. «Tu paquete de Amazon está retenido por un problema con la dirección. Confírmala aquí antes de 12 horas». Debajo, un enlace. Encaja con lo que estás esperando, y por eso funciona. ¿Es de Amazon?

Esa duda lleva cada año a 360.000 clientes a preguntar al servicio de atención al cliente de Amazon si un mensaje es suyo, como contó la propia empresa en septiembre. Estos días, además, sobran motivos para dudar. El 1 de octubre, Check Point Research, la división de investigación de la empresa de ciberseguridad Check Point, publicó que en septiembre se registraron 1.284 dominios nuevos relacionados con Amazon o con el Prime Day, un 42 % más que en julio (905) y un 37 % más que un año antes (937). Uno de cada 16, el 6,5 %, ya estaba clasificado como malicioso o sospechoso por la propia Check Point.

En el informe aparecen páginas falsas para iniciar sesión dirigidas a usuarios de Japón, Vietnam y Reino Unido, entre otros países, tiendas de Amazon clonadas enteras en Alemania y Japón, un dominio que imita a Amazon Francia y correos que prometen tarjetas regalo gratis o avisan de que tu cuenta está bloqueada. Ninguno de los ejemplos es español, aunque España ya salió en el informe de junio, antes del Prime Day de verano. Check Point describió entonces la campaña «amazoncredito», con 46 dominios registrados en mayo para atraer a compradores de España y Latinoamérica con un falso crédito promocional de Amazon.

La Fiesta de Ofertas Prime fue el martes 6 y el miércoles 7 de octubre, y cómo distinguir un descuento real de uno inflado lo contamos en nuestra guía de la Fiesta de Ofertas Prime. El riesgo de los mensajes falsos dura más que la propia Fiesta. Steve Weisman, que escribe sobre delitos de guante blanco en Forbes, recordaba el sábado que los SMS fraudulentos se disparan en los días siguientes al Prime Day, cuando los compradores esperan confirmaciones y avisos de envío y de entrega.

Por qué ya no sirve buscar faltas de ortografía

El consejo de siempre es fijarse en las faltas de ortografía y en las frases que suenan raras. El informe de Check Point lo da por superado. Con herramientas de IA generativa, los estafadores escriben mensajes sin errores y adaptados a cada país, y copian webs convincentes a gran escala, con lo que desaparecen muchas de las señales en las que los compradores se fijaban desde hace años para reconocer un fraude. Por eso recomienda no fiarse solo de la ortografía, el mismo problema que plantean las videollamadas falsas hechas con IA.

Una falta sigue siendo mala señal, y la ayuda de Amazon la mantiene en su lista, pero un mensaje bien escrito ya no demuestra nada. Las pruebas que funcionan pasan por tu cuenta de Amazon, y el mensaje solo sirve para saber qué tienes que buscar en ella.

Compruébalo en la app o en la web, nunca desde el enlace

Las páginas de ayuda de Amazon sobre estafas acaban casi siempre en el mismo sitio. Si un mensaje habla de un pedido que no has hecho, lo más probable es que no sea de Amazon, y en Mis pedidos solo aparecen tus compras reales. Entra escribiendo amazon.es en el navegador o abriendo la app, nunca desde el enlace que te han mandado. En el caso del SMS del paquete, basta con abrir el pedido de los auriculares y mirar si tiene alguna incidencia con la entrega.

Con los correos hay una prueba más directa. La ayuda de Amazon.es sobre correos falsos explica que su Servicio de mensajería guarda todas las comunicaciones por correo que te ha enviado Amazon, y otra página de su ayuda lo sitúa tanto en la web como en la app. Un correo que no aparece ahí no lo ha mandado Amazon. Para los avisos sobre la suscripción, la comprobación está en Mi cuenta, en el apartado Suscripción Prime.

Amazon aconseja además, desde 2024, activar las notificaciones de su app. Según la empresa, así recibes en el móvil un aviso de la propia app además de sus SMS, y eso te sirve para confirmar que son auténticos.

Para salir de dudas, la página Identificar una estafa de Amazon.es propone comprobarlo antes de hacer nada, reenviando el mensaje a [email protected] o con su botón amarillo «Verificar una llamada o un mensaje», que pide iniciar sesión. Al presentar en septiembre un verificador para su asistente de compras en Estados Unidos, Amazon recordó que su dirección internacional, [email protected], lanzada este año, responde a cualquiera, sea cliente o no, si un mensaje es suyo.

Cómo leer el remitente y los enlaces de un correo

Los estafadores imitan las direcciones y el estilo de Amazon, y por eso su ayuda pide revisar el remitente letra a letra, por si sobra o cambia algún carácter. Los correos auténticos contienen «Amazon.es» y salen de una dirección de Amazon.es, y los proveedores de correo habituales enseñan el logotipo de la sonrisa de Amazon en la bandeja de entrada cuando el remitente es Amazon.

Con los enlaces, la pista de Amazon es que sus webs llevan un punto delante de «amazon.es», como en algo.amazon.es. Dicho de otra forma, el nombre de la web tiene que terminar en amazon.es (o en amazon.com, que Amazon también usa), y da igual que la palabra amazon aparezca antes. Los dominios maliciosos que cita Check Point la llevan y no cumplen esa regla, como prime-amazonfr[.]com o amazonprime-support[.]com (los corchetes son para que no se puedan abrir). La campaña de junio para España y Latinoamérica tenía incluso una versión con tilde, amazoncrédito, que el navegador enseña tal cual y que a un hispanohablante le resulta más creíble. Un enlace que lleva a una dirección hecha solo de números, una dirección IP, tampoco es de Amazon.

En el ordenador, pasa el ratón por encima del enlace sin pulsar y mira la dirección que aparece, que puede ser distinta del texto que se ve. El candado del navegador tampoco garantiza nada, porque solo indica que la conexión va cifrada, como recordaba Check Point en junio, y no dice quién está al otro lado. Desconfía también de los adjuntos. Amazon explica que puede mandarte un enlace a una página segura de su web en lugar de un archivo, y Check Point avisa de que otras campañas pueden esconder malware disfrazado de factura, de aviso de entrega o de reembolso. Si alguna de esas webs te pide pegar algo en el ordenador para demostrar que no eres un robot, es el engaño que explicamos en nuestro artículo sobre ClickFix.

Qué cambió en los SMS el 15 de septiembre

Amazon puede escribirte por SMS sobre pedidos, pagos, entregas o el estado de tu cuenta, pero su ayuda sobre los SMS falsos marca los límites. Un mensaje desde un número que no reconoces o con el prefijo de otro país no viene de Amazon, igual que uno sobre un pedido o una entrega que no esperas o con un enlace mal escrito o que lleva a una dirección IP. Amazon tampoco te pedirá nunca por SMS datos personales, datos de pago ni códigos de tarjetas regalo, y no te pedirá que llames a ningún teléfono.

¿Cambia algo si el SMS llega con «Amazon» como remitente? Desde el 15 de septiembre, las operadoras y los proveedores de mensajería tienen que bloquear los SMS, MMS y RCS que llegan con un nombre como remitente, lo que la norma llama alias, si ese nombre no está inscrito en el Registro de alias de la CNMC o si llega a través de un proveedor que su dueño no ha autorizado. Lo manda la Orden TDF/149/2025, y la fecha la fijó una modificación del 4 de junio de este año. Es la respuesta a un truco cada vez más frecuente, según la CNMC, el de poner como remitente el nombre de un banco o de una empresa para que el mensaje parezca suyo. Cualquiera puede comprobar en su consulta pública qué empresa está autorizada a usar cada nombre.

La obligación es de las operadoras y no lo arregla todo. El registro solo afecta al nombre del remitente en los SMS, MMS y RCS, y deja fuera los mensajes que llegan desde un número de teléfono corriente y los de WhatsApp, Telegram o el correo. Un SMS falso con «Amazon» como remitente debería quedarse ahora por el camino, pero la comprobación sigue siendo la misma, Mis pedidos.

Si te llaman «de Amazon», puedes colgar

«Está bien colgar», dice la ayuda de Amazon sobre las llamadas falsas. Cuando una llamada de alguien que dice ser de Amazon no te da confianza, cuelga y habla con el servicio de atención al cliente desde la app o la web. Estas son las señales que da Amazon para desconfiar:

Te pide pagar por teléfono o fuera de Amazon, con una transferencia, mandando los datos de la tarjeta por correo o con tarjetas regalo, o te ofrece un reembolso que no esperabas.
Te pide instalar una aplicación para entrar en tu dispositivo o que le leas una contraseña temporal que te acaba de llegar.
Te pide la contraseña de Amazon o los datos de la tarjeta o del banco para desbloquear tu cuenta.
Te mete prisa con una suscripción a punto de caducar o con compras que no has hecho, y te pide un código que, según él, sirve para verificar tu identidad o para parar los cargos.

Amazon insiste en que nunca pide por teléfono contraseñas, códigos temporales, datos de tarjetas regalo ni datos bancarios.

En España ya se ha visto con Prime. En marzo, la Unión de Consumidores de Extremadura (UCEX) alertó de llamadas en las que una voz robótica parecida a la de Alexa anunciaba que tu suscripción a Prime se iba a renovar por 109 euros y ofrecía pulsar el 1 para anularla, como recogió Maldita.es. Al otro lado esperaba un falso empleado que pedía la tarjeta y los datos personales, e incluso que instalaras una aplicación de ayuda en remoto con la que podía hacerse con el control del dispositivo.

La ley española da otra pista. Desde junio de 2025, la misma Orden TDF/149/2025 prohíbe usar números móviles para llamadas de atención al cliente y para llamadas comerciales no solicitadas, de modo que un supuesto servicio de atención al cliente que te llama desde un móvil ya está incumpliendo la norma. Al revés no sirve. Que el número parezca normal no demuestra nada, y lo que toca es colgar y entrar tú en la app.

Tarjetas regalo, tiendas clonadas y falsos servicios de ayuda

Con las tarjetas regalo, la ayuda de Amazon sobre estos fraudes es tajante. Ninguna persona ni empresa legítima te pedirá que le pagues con tarjetas regalo de Amazon, que solo sirven para comprar en Amazon.es, y en cuanto el estafador tiene el código de canje lo normal es que gaste el saldo antes de que puedas avisar a la policía o a Amazon. Los pagos son ya el anzuelo principal. En febrero, Amazon contaba que los mensajes que piden un pago se habían convertido en el engaño más denunciado por sus clientes de todo el mundo, con el 38 % de los casos frente al 28 % anterior, por delante de los intentos de quedarse con la cuenta, que bajaron del 37 al 29 %.

Las tiendas clonadas son el otro frente. Antes del Prime Day de verano, Check Point encontró copias completas de Amazon, con sus colores, sus menús y sus carteles de ofertas, y páginas de producto con estrellas, número de opiniones y hasta el distintivo «Amazon’s Choice», hechas para quedarse con los datos de la tarjeta al pagar. Se llega a ellas desde anuncios, publicaciones en redes sociales o una dirección mal tecleada. Con la ayuda pasa algo parecido. Amazon avisa de webs falsas de soporte técnico que salen en los buscadores y de cuentas falsas de atención al cliente que responden a las quejas en las redes sociales e intentan llevarte a mensajes privados. Su servicio de atención al cliente no hace eso, y la ayuda oficial está dentro de amazon.es y en la app.

Si ya has pulsado el enlace o has dado tus datos

Lo que toca depende de lo que hayas dado. La página Denunciar una estafa de Amazon.es tiene una guía para cada caso, tanto si no compartiste nada como si diste datos de la cuenta o del banco o dejaste que alguien entrara en tu ordenador en remoto. Lo más urgente, según su página sobre la seguridad del sistema, es esto:

Si escribiste tu contraseña de Amazon en una web sospechosa, cámbiala en ese momento desde la opción Ayuda con la contraseña.
Si diste los datos de la tarjeta o respondiste a un correo malicioso, llama enseguida al banco o a la entidad que emitió la tarjeta, y después actualiza ese modo de pago en tu cuenta.
Activa la verificación en dos pasos, en Mi cuenta, dentro de Inicio de sesión y seguridad. Con ella, cuando alguien entra desde un dispositivo desconocido, además de la contraseña tiene que poner un código que llega por SMS o por una app de autenticación.
Si dejaste que alguien entrara en remoto, sigue la guía de Amazon para ese caso, instala o actualiza un antivirus y haz un análisis completo del equipo.

Para más adelante, Amazon ofrece claves de acceso en ese mismo apartado de Inicio de sesión y seguridad. Entras con la cara, la huella o el PIN con el que desbloqueas el móvil o el ordenador, sin escribir la contraseña, y según Amazon ni la clave ni tus datos biométricos se comparten con la empresa, lo que deja la cuenta a salvo del phishing. Funcionan desde iOS 16, Android 9, Windows 10 y macOS Big Sur.

No contestes al mensaje, porque, como recuerda Amazon, responder le confirma al remitente que tu dirección existe. Denúncialo. La ayuda pide reenviar el correo sospechoso como archivo adjunto a [email protected], también si no tienes cuenta; Amazon no responde en persona, aunque puede llegarte una confirmación automática. Para denunciar el intento ante la policía, Amazon remite a la web de la Policía Nacional. Para cualquier duda, el 017 de INCIBE, su línea de ayuda en ciberseguridad, atiende gratis y de forma confidencial todos los días, de 8 de la mañana a 11 de la noche, por teléfono, por WhatsApp en el 900 116 117 (hay que guardarlo antes en la agenda) y por Telegram, en @INCIBE017.

El SMS del miércoles sigue en la pantalla. Abres la app, entras en Mis pedidos y los auriculares aparecen en camino, con la entrega prevista para el jueves y ninguna incidencia con la dirección. El enlace se queda sin tocar. Los avisos de entrega falsos seguirán llegando mientras haya paquetes de la Fiesta por repartir, y el 27 de noviembre, con el Black Friday, tendrán otra excusa perfecta.

Comparte este artículo