La estafa del brushing: cuando te llega un paquete que no has pedido

Hace unos días me escribió Sofía Pérez, periodista de Newtral.es, para pedirme unas palabras sobre una estafa que está cogiendo fuerza otra vez en medios: el llamado brushing.

Una práctica aparentemente inofensiva, de la cual ya hablé largo y tendido en su día, pero que esconde un objetivo muy claro: manipular el sistema de reputación de las plataformas de venta online. Un tema que, como puedes imaginar, me toca muy de cerca por todo lo que implica a nivel de identidad digital, reputación online y exposición de datos personales.

Aprovecho esta colaboración (que no es la primera, ni será la última, sobre este tema) para profundizar un poco más en qué hay detrás de esta técnica, por qué deberías preocuparte si te pasa y qué puedes hacer para protegerte.

Qué es el brushing y por qué deberías prestarle atención

A simple vista, recibir un paquete que no has pedido podría parecer un error logístico sin más. Algo anecdótico. Incluso puede que te lo tomes con humor: «¡Mira, me han regalado unos calcetines chinos!».

Pero la realidad es que detrás de estos envíos hay una estrategia muy bien calculada.

Lo explicaba así para el artículo de Newtral:

«El objetivo detrás del brushing no es tanto estafarte directamente como manipular el sistema de reputación de las plataformas online. Lo que hacen los timadores es enviarte un producto barato (a veces incluso vacío o sin valor real) solo para poder dejar una reseña falsa como si fueras un comprador verificado. De esta forma, inflan artificialmente las valoraciones de su tienda o producto y ganan visibilidad frente a la competencia.

A nivel práctico, tu dirección puede haber sido obtenida de alguna filtración de datos o incluso generada aleatoriamente. Y aunque no parece muy peligroso a simple vista, sí debería hacerte saltar las alarmas: si tienen tus datos para esto, ¿quién te dice que no los van a usar para algo peor?»

Lo preocupante del brushing no es el objeto que recibes. Es lo que ese objeto implica: que tus datos circulan por ahí.

Que hay alguien que, sin tu consentimiento, ha usado tu identidad para hacer pasar por legítima una compra que nunca hiciste. Que están generando una huella digital falsa en tu nombre.

Cómo funciona la estafa del brushing paso a paso

Para entender la dimensión del problema, conviene ver el proceso desde el punto de vista del estafador:

1. Consigue tus datos: normalmente, una dirección postal y un nombre. Estos datos pueden haberse filtrado en alguna brecha de seguridad (y sí, hay muchas), pueden estar expuestos públicamente en alguna red social o incluso en páginas blancas digitales. En algunos casos, se generan combinando información común.
2. Realiza una compra en su propia tienda online: usa tus datos reales como destinatario, pero paga él mismo o con tarjetas robadas. El producto que envía suele ser barato, muy ligero o directamente inservible.
3. Envía el producto: lo mínimo necesario para que el paquete tenga un seguimiento válido y se considere una entrega real.
4. Deja una reseña falsa en tu nombre: como el pedido figura como entregado y asociado a un perfil “real”, la plataforma permite dejar una opinión positiva.
5. Gana visibilidad y confianza en la plataforma: acumulando muchas reseñas falsas de este tipo, los productos del vendedor suben posiciones, lo que puede derivar en más ventas legítimas (aunque engañadas).

Lo peor es que este tipo de prácticas son difíciles de detectar para las plataformas si no hay un análisis manual o algoritmos de detección de patrones sofisticados. Y mientras tanto, tu identidad digital se ve comprometida.

Qué riesgos tiene que usen tus datos sin permiso

La mayoría de personas que reciben uno de estos paquetes ni siquiera se enteran de que algo raro ha pasado. Y ahí está el primer problema: la falsa sensación de que no pasa nada.

Pero sí pasa. Y estos son los principales riesgos:

• Exposición de tus datos personales: si alguien ha conseguido tu nombre completo y dirección, puede que tenga (o acabe teniendo) más información sobre ti. Y eso es peligroso.
• Construcción de una identidad digital falsa: están generando reseñas con tu nombre y dirección. Están dejando huella en plataformas de venta online que no controlas.
• Posibles implicaciones legales o reputacionales: si el fraude escala (por ejemplo, si se usa tu dirección para actividades ilegales), podrías encontrarte en el punto de mira sin tener nada que ver.
• Formar parte de una red de fraude más amplia: muchas veces, estos brushing están ligados a tramas de blanqueo de dinero, estafas piramidales o venta de productos fraudulentos.

Qué hacer si recibes un paquete que no pediste

Recibir un paquete inesperado no siempre significa brushing. Pero si ves que:

• No reconoces al remitente,
• No has pedido nada en esa plataforma,
• El producto es de muy bajo valor o absurdo,
• Y aparece tu nombre y dirección reales,

…entonces es muy probable que estés siendo víctima de esta técnica.

Estos son los pasos que te recomiendo seguir:

1. No tires el paquete inmediatamente: haz fotos del paquete, del albarán y del producto. Guarda todo como prueba.
2. Verifica si hay algún pedido asociado a tu cuenta en Amazon, AliExpress, Shein, Temu o la tienda donde parece haberse hecho la compra.
3. Contacta con la plataforma para reportar el caso y que lo investiguen.
4. No publiques imágenes del paquete en redes sociales, aunque sea en tono de humor. Estás dando más visibilidad a tus datos personales y facilitando el trabajo de quien te los ha robado.
5. Activa alertas de monitorización de tu identidad digital, si tienes herramientas de este tipo (en CyberBrainers trabajamos con varias que nos permiten detectar usos indebidos de tu nombre o dirección en tiempo real).
6. Haz una denuncia preventiva en la policía, especialmente si los envíos se repiten o si sospechas que tu identidad ha sido suplantada.

Cómo proteger tu presencia digital ante este tipo de estafas

El brushing es solo la punta del iceberg. Una señal de que algo más profundo puede estar ocurriendo: que hay datos tuyos circulando sin control.

Para minimizar riesgos, estas son algunas buenas prácticas que recomiendo a cualquier profesional o empresa:

• Evita compartir datos personales innecesarios en público (direcciones postales, teléfonos, emails).
• Revisa si tus datos han estado en brechas de seguridad usando herramientas como Have I Been Pwned (EN).
• Configura alertas de Google con tu nombre completo y variantes, para saber si aparece contenido nuevo asociado a ti.
• Usa contraseñas fuertes y únicas para cada servicio, y activa la verificación en dos pasos siempre que puedas.
• Trabaja tu identidad digital de forma activa: ten presencia profesional sólida en buscadores para que posibles usos indebidos queden sepultados por contenido veraz y actualizado.
• Cuenta con apoyo profesional en casos de exposición grave, como hacemos en CyberBrainers, ya sea para desindexar contenido, eliminar información o fortalecer tu reputación online.

Conclusión: si te llega un paquete que no has pedido, no lo ignores

El brushing puede parecer una anécdota, pero en realidad es un síntoma. Una señal de alarma de que tus datos personales están siendo utilizados sin permiso. Y eso, en el contexto digital actual, es una brecha seria.

Como siempre digo: la mejor defensa es la anticipación. Y en temas de identidad y reputación digital, más aún.

Gracias de nuevo al equipo de Newtral por contar conmigo para poner luz sobre este tipo de prácticas. Y si tú, lector, has recibido algún paquete sospechoso o quieres asegurarte de que tu presencia digital está bajo control, ya sabes dónde encontrarme.

Dejo por aquí el artículo donde se me menciona (ES).