Estafa por correo electrónico de PayPal: cómo funcionaba la laguna jurídica de las suscripciones

En diciembre de 2025, una nueva estafa por correo electrónico de PayPal destacó por una razón: los mensajes no solo parecían auténticos – realmente se enviaban desde la infraestructura de PayPal y llegaban desde [email protected].

Esto hizo que esta campaña fuera mucho más convincente que los habituales intentos de phishing con dominios similares. En lugar de suplantar el dominio de PayPal, los estafadores abusaron de las suscripciones de PayPal para activar correos electrónicos de notificación legítimos, y luego utilizaron esos mensajes para mostrar detalles de «compra» falsos y un número de teléfono diseñado para atraer a los destinatarios a una estafa de devolución de llamada.

Los atacantes no siempre necesitan suplantar a un remitente para conseguir clics o llamadas – también pueden abusar de servicios de confianza para enviar mensajes convincentes. Pero la suplantación sigue siendo un riesgo importante para las empresas: si su dominio puede falsificarse, los estafadores pueden hacerse pasar por su marca y llegar a los buzones de entrada a gran escala.

Para que sea más difícil, necesitas una autenticación de correo electrónico sólida: Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM), y autenticación, informe y conformidad de mensajes basados en dominio (DMARC).

Reserva una demo para ver cómo Sendmarc te ayuda a aplicar DMARC de forma segura, supervisar la alineación de SPF y DKIM, y detectar la suplantación y las configuraciones erróneas antes de que se conviertan en incidentes.

Reserva una demo

Cómo funciona la estafa por correo electrónico de PayPal

Esta estafa por correo electrónico de PayPal comenzó con un proceso legítimo de PayPal que se transformó en una notificación fraudulenta.

BleepingComputer informó que los estafadores utilizaron la función de facturación «Suscripciones» de PayPal para crear una suscripción y luego pausarla. Esa pausa activa el correo electrónico de notificación real de PayPal: «Tu pago automático ya no está activo».

Dentro del correo electrónico, los atacantes hicieron un uso indebido del campo «URL del servicio de atención al cliente». En lugar de un enlace de asistencia legítimo, el campo mostraba un texto que parecía una URL, seguido de una confirmación de compra falsa y un número de teléfono para «cancelar» el pago. Los atacantes también utilizaron una cuenta de suscriptor falsa (probablemente una lista de correo de Google Workspace) para reenviar automáticamente los mensajes entrantes a los miembros del grupo.

El ejemplo de BleepingComputer incluía un cargo falso de alto valor y un número de asistencia no solicitado. El mensaje también utilizaba caracteres Unicode para que algunas partes del texto aparecieran en negrita o con un aspecto inusual, lo que puede ayudar a eludir los filtros de spam y la detección basada en palabras clave.

El objetivo no era robar tu contraseña de PayPal en un navegador. Era conseguir que una persona llamara, entrara en pánico y siguiera unas instrucciones que condujeran al acceso remoto, al malware o al fraude financiero.

Qué hacer si recibes un correo electrónico sospechoso de PayPal

Estafas similares siguen reapareciendo con nuevas formas. Lo más seguro es tratar cualquier correo electrónico inesperado sobre «compra» o «acción urgente» como no fiable hasta que lo verifiques a través de los canales oficiales.

Esto es lo que debes hacer:

No llames a los números de teléfono que aparecen en el correo electrónico y no hagas clic en enlaces inesperados.

Inicia sesión directamente en PayPal (escribe la dirección o utiliza la aplicación) y comprueba tu actividad reciente.
Si el mensaje parece sospechoso, reenvíalo a [email protected] y elimínalo.

Si administras una organización, avisa a tu servicio de asistencia técnica para que otros empleados no sigan las instrucciones de devolución de llamada.

Lista de verificación segura

Verifica esto	Acción segura
¿Hubo realmente una transacción?	Compruébalo en la aplicación/sitio web de PayPal (no en el correo electrónico)
¿El correo electrónico te impulsa a llamar?	Ignora el número y utiliza las vías de asistencia oficiales
¿El mensaje es inesperado o urgente?	Trátalo como sospechoso hasta que se verifique

Respuesta de PayPal: la laguna jurídica se cerró en diciembre de 2025

PayPal le dijo a BleepingComputer que estaba mitigando activamente el asunto, afirmando lo siguiente:

Estamos mitigando activamente este asunto y animamos a las personas a estar siempre alerta en línea y prestar atención a los mensajes inesperados.Si los clientes sospechan que son objetivo de una estafa, les recomendamos que se pongan en contacto con el servicio de atención al cliente directamente a través de la aplicación de PayPal o de nuestra página de contacto para obtener ayuda.

Tras la investigación de BleepingComputer, se informó de que PayPal había cerrado la brecha que permitía a los estafadores enviar correos electrónicos legítimos desde [email protected] con notificaciones de compra falsas.

Incluso con una solución implementada, esto es un recordatorio útil para los equipos de seguridad: los atacantes seguirán buscando formas de explotar los canales de confianza y la urgencia humana. Por eso las empresas no pueden confiar únicamente en el reconocimiento de la marca. También deben asegurarse de que su propio dominio no pueda ser suplantado.

Impide la suplantación de identidad de su empresa con DMARC

DMARC le indica a los proveedores de buzones de correo qué hacer cuando un correo electrónico afirma provenir de su dominio, pero no supera las comprobaciones de autenticación.

Cuando DMARC se implementa y aplica correctamente:

Los correos electrónicos falsos que pretenden provenir de tu organización tienen muchas más probabilidades de ser puestos en cuarentena o rechazados.
Recibirás informes que muestran qué sistemas están enviando como su dominio y dónde falla la autenticación.
Reducirás la probabilidad de que su dominio sea utilizado en intentos de suplantación de identidad y protegerás la reputación de su marca.

Un camino práctico es lograr que SPF y DKIM funcionen de forma fiable en todos los remitentes legítimos, y luego pasar DMARC de la supervisión a la aplicación – con el objetivo de p=reject una vez que hayas validado tus fuentes de envío.

Sendmarc te ayuda a hacerlo sin conjeturas, mapeando tu panorama real de envíos, señalando a tiempo los desajustes y los remitentes desconocidos, y apoyando una progresión segura hacia la aplicación.

Reserve una demo para ver cómo la aplicación de DMARC, la supervisión y las alertas en tiempo real pueden hacer que su empresa sea mucho más difícil de suplantar.

Reserva una demo