Un correo de tu banco pidiendo que «verifiques tu identidad urgentemente». Un SMS de Correos avisando de un paquete que no recuerdas haber pedido. Un mensaje de un familiar en apuros que necesita dinero ya. Todos tienen algo en común: quieren que actúes rápido y sin pensar. Ese es el punto débil que vamos a blindar hoy.
Ya hablamos de buenas prácticas generales en el checklist de seguridad digital, pero aquí bajamos al detalle. Te voy a enseñar a leer un mensaje sospechoso como lo leería alguien que sabe qué buscar. No hace falta ser técnico. Solo saber dónde mirar.
Solución rápida
Si tienes prisa, quédate con esto:
- Comprueba la dirección de correo real del remitente, no solo el nombre que aparece en grande.
- Pasa el ratón por encima de los enlaces (sin hacer clic) para ver la URL real de destino.
- Desconfía de cualquier mensaje que exija una acción inmediata o amenace con bloquear tu cuenta.
- Nunca introduzcas tus credenciales en una web a la que hayas llegado a través de un enlace recibido por email o SMS.
Con esas cuatro costumbres ya se filtra la mayoría de los intentos de phishing. Pero entender por qué funcionan estas trampas te va a servir muchísimo más que memorizar una lista.
Anatomía de un ataque: qué buscan los estafadores
El phishing es un intento de engañarte para que entregues datos personales (contraseñas, número de tarjeta, DNI) haciéndose pasar por una entidad de confianza: tu banco, una empresa de paquetería, Hacienda, incluso un compañero de trabajo. La palabra viene del inglés «fishing» (pescar), y no es casualidad: lanzan el anzuelo a miles de personas a la vez, sabiendo que solo necesitan que piquen unas pocas.
El objetivo casi siempre es uno de estos tres:
- Que introduzcas tus credenciales en una web falsa que imita a la real.
- Que descargues un archivo adjunto con software malicioso.
- Que hagas una transferencia o pago directamente.
Para conseguirlo, explotan algo muy humano: la urgencia y el miedo. Si te dan tiempo para pensar, es más probable que detectes que algo no cuadra. Por eso el mensaje siempre mete prisa. «Tu cuenta será bloqueada en 24 horas.» «Paquete retenido, paga la tasa aduanera ahora.» «Actividad sospechosa detectada, verifica tu identidad.»
La buena noticia es que, una vez entiendes este mecanismo, empiezas a verlo venir. El mensaje deja de sonar urgente y empieza a sonar sospechoso.
Señales de alerta que delatan a un mensaje falso
Aquí entra el trabajo de detective. No hace falta magia, solo fijarse en detalles muy concretos que casi nunca fallan.
El remitente no coincide. Puede que veas «Banco Santander» en grande, pero si abres el detalle del correo (normalmente hay una flechita o puedes tocar el nombre) descubres que la dirección real es algo como atencioncliente@bancosantnder-verificacion.com. Los bancos y empresas serias usan siempre su propio dominio, no variaciones raras con guiones o faltas de ortografía.
La redacción no es natural. Errores de traducción automática, frases que no sonarían en boca de un empleado real, saludos genéricos como «Estimado cliente» en vez de tu nombre. No es una regla infalible, los estafadores cada vez cuidan más esto, pero sigue siendo una señal a tener en cuenta.
Piden algo que la entidad real nunca pediría. Ningún banco te va a pedir la contraseña completa o el código de la tarjeta por correo o SMS. Si te lo piden, ya sabes que es falso.
El diseño está casi bien, pero no del todo. Logos ligeramente pixelados, colores que no coinciden exactamente, tipografías raras. Los estafadores copian plantillas reales, pero rara vez consiguen una réplica perfecta.
Hay una sensación de urgencia artificial. Este es quizás el indicador más fiable de todos. Cuando un mensaje te empuja a actuar «ya mismo», tómalo como una bandera roja automática. Las entidades reales no suelen amenazar con plazos de horas.
El truco de la URL: cómo verificar el destino real de un enlace
Este es el paso que más marca la diferencia. Y el que menos gente hace. En el ordenador, coloca el cursor del ratón encima del enlace sin hacer clic. En la esquina inferior del navegador o del programa de correo aparecerá la URL real de destino. Compárala con la web oficial que conoces.
Fíjate en estos detalles concretos:
- El dominio principal es lo que importa, no lo que va antes. En «login.bancosantander.com.estafa-verificacion.net», el dominio real es estafa-verificacion.net, no bancosantander.com. Todo lo que precede al último punto antes de la extensión (.com, .net, .es) es solo un subdominio que puede inventarse cualquiera.
- Las faltas sutiles son intencionadas. «Amaz0n» con un cero, «paypa1» con un uno, «correo5.com» en vez de «correos.com». Se aprovechan de que leemos rápido y no procesamos cada letra.
- El candado y el HTTPS no garantizan nada. Mucha gente cree que si la web tiene el candadito de «conexión segura» es fiable. Eso solo indica que la conexión está cifrada, no que el sitio sea legítimo. Cualquiera puede conseguir ese candado, incluidos los estafadores.
Si estás en el móvil y no puedes pasar el ratón por encima, mantén pulsado el enlace unos segundos: suele aparecer una vista previa de la URL antes de abrirla. Y si tienes cualquier duda, no uses el enlace del mensaje. Abre el navegador y escribe tú mismo la dirección oficial, o busca la entidad en Google.
¿Cómo saber si un correo de mi banco es falso?
Aplica todo lo anterior, pero además ten en cuenta que tu banco real nunca te va a pedir la contraseña completa, el PIN o el código de la tarjeta por correo. Como mucho, te pedirá que accedas a la app oficial o a la web escribiendo tú la dirección directamente. Si tienes dudas, llama al teléfono que aparece en tu tarjeta o en la web oficial, nunca al que venga en el correo sospechoso.
¿Por qué me llegan SMS de paquetes que no he pedido?
Estos SMS masivos se envían a listas enormes de números sin criterio, esperando que alguna coincidencia (que sí tengas un paquete en camino de verdad) haga que piques. No hace falta que hayas comprado nada para recibirlos: es un envío indiscriminado, como el spam de correo pero por SMS. Si no esperas ningún envío, ignóralo directamente y borra el mensaje.
Qué hacer si sospechas que has caído en una trampa
Aquí no sirve de nada machacarte. Le puede pasar a cualquiera, sobre todo en un mal momento o con prisa. Lo que importa es actuar rápido y en orden.
Si solo abriste el correo o el SMS sin hacer clic: no pasa nada. Abrir un mensaje para leerlo no ejecuta ningún código malicioso por sí solo, siempre que no descargues ni abras archivos adjuntos. Puedes borrarlo tranquilamente.
Si hiciste clic en el enlace pero no metiste ningún dato: cierra la pestaña y no introduzcas nada. Conviene igualmente revisar el dispositivo, ya que algunas webs intentan instalar algo automáticamente aprovechando fallos del navegador, aunque es menos habitual. Mantener el navegador y el sistema operativo actualizados reduce mucho este riesgo.
Si llegaste a introducir tu contraseña o datos de la tarjeta: aquí sí toca moverse ya mismo.
- Cambia la contraseña de esa cuenta de inmediato, y también de cualquier otra donde uses la misma clave.
- Si diste datos bancarios, contacta con tu banco cuanto antes para bloquear la tarjeta o vigilar movimientos.
- Activa la verificación en dos pasos en todas las cuentas donde puedas. Te conviene repasar la importancia de la verificación en dos pasos para entender por qué añade una capa extra incluso si te roban la contraseña.
- Si notas movimientos raros en tus cuentas o servicios, revisa qué hacer si sospechas que han accedido a tu cuenta para los siguientes pasos.
¿Cómo puedo denunciar un intento de phishing?
Puedes reenviar el correo sospechoso a la entidad que suplantan (muchos bancos y empresas tienen una dirección específica para esto, suele aparecer en su web oficial) y también reportarlo como spam o phishing desde tu propio gestor de correo, que suele tener esa opción en el menú de cada mensaje. Si ha habido pérdida económica o robo de datos sensibles, conviene además presentar una denuncia formal ante las autoridades competentes; la vía exacta varía según el país, así que confirma cuál te corresponde a ti.
¿Es seguro abrir un correo electrónico si no descargo nada?
En general sí. El riesgo real está en hacer clic en enlaces, descargar adjuntos o introducir datos, no en la simple visualización del mensaje. Aun así, evita abrir correos de remitentes totalmente desconocidos si el asunto ya te resulta raro. No hay necesidad de arriesgar.
Herramientas y ajustes para blindar tu correo electrónico
Más allá de aprender a detectar los mensajes, hay ajustes que trabajan por ti en segundo plano.
Filtro antispam activado. Los principales proveedores de correo ya traen uno por defecto, pero merece la pena revisar de vez en cuando la carpeta de spam. A veces hay correos legítimos atrapados ahí, y otras veces confirmas que el filtro está haciendo bien su trabajo.
Verificación en dos pasos en el propio correo. Si alguien consigue tu contraseña mediante phishing pero no tiene acceso a tu segundo factor (una app o un código por SMS), no podrá entrar. Es una de las medidas más efectivas que puedes tomar y no lleva más de cinco minutos configurarla.
Gestor de contraseñas. Uno de los efectos secundarios buenos de usar un gestor es que solo rellena las credenciales automáticamente en la web real guardada, nunca en una copia falsa. Si vas a una web de phishing y el gestor no reconoce el dominio, no ofrece autocompletar nada. Es una alarma silenciosa que funciona sin que tengas que pensar en ello.
Revisar los permisos de aplicaciones conectadas a tu correo. De vez en cuando entra en la configuración de tu cuenta y mira qué apps o servicios tienen acceso. Si ves algo que no reconoces o que ya no usas, revócalo.
La parte menos amable de todo esto es que ningún filtro ni herramienta es infalible al cien por cien. Los estafadores también actualizan sus técnicas, y de vez en cuando algo se cuela incluso con todas las medidas activas. Por eso el criterio propio que hemos repasado, mirar el remitente real, pasar el ratón por los enlaces, desconfiar de la urgencia, sigue siendo tu mejor filtro. El que no depende de ningún software.
Si tuviera que quedarme con una sola costumbre de todas las que hemos visto, sería la de pasar el ratón por los enlaces antes de hacer clic. Es gratis, tarda dos segundos y desactiva la mayoría de los intentos de phishing antes de que lleguen a hacer nada.