Phishing por correo: señales para detectar un mensaje falso

Un correo de tu banco que avisa de un acceso sospechoso, una notificación de Hacienda sobre una devolución pendiente o un mensaje de una tienda online que dice que tu cuenta será bloqueada. Todos tienen algo en común: piden que hagas clic en un enlace y que introduzcas tus datos cuanto antes. Y muchos de ellos son falsos.

El phishing es una de las técnicas de fraude más extendidas en internet. Su objetivo es engañarte para que entregues contraseñas, datos bancarios o información personal haciéndote creer que hablas con una entidad de confianza. La buena noticia es que casi todos estos correos dejan pistas. Aprender a verlas es la mejor protección.

Qué es el phishing y por qué funciona

El término viene de la idea de pescar: el estafador lanza miles de correos con un cebo y espera que alguien pique. No necesita que todos caigan, le basta con un pequeño porcentaje. Por eso los mensajes suelen imitar a empresas y organismos muy conocidos, con los que mucha gente tiene relación: bancos, empresas de mensajería, plataformas de streaming, compañías eléctricas o la propia administración.

Funciona porque juega con emociones básicas: el miedo a perder algo, la urgencia de resolver un problema o la ilusión de recibir un dinero inesperado. Cuando estamos nerviosos o con prisa, revisamos menos y actuamos más deprisa, que es justo lo que busca el estafador.

Las señales de alarma más comunes

Ninguna señal por sí sola demuestra que un correo es fraudulento, pero cuantas más coincidan, más motivos hay para desconfiar.

• Remitente extraño. El nombre que aparece puede ser el de tu banco, pero la dirección real que hay detrás no corresponde al dominio oficial o contiene letras cambiadas.
• Urgencia o amenaza. Frases que insisten en actuar de inmediato para evitar un bloqueo, una multa o la pérdida de un servicio.
• Saludo genérico. Un simple estimado cliente en lugar de tu nombre, aunque los fraudes más elaborados ya incluyen datos personales.
• Enlaces que no coinciden. Al pasar el ratón por encima del enlace, sin hacer clic, la dirección que aparece no es la de la entidad.
• Peticiones de datos sensibles. Contraseñas, códigos de verificación o números completos de tarjeta. Las entidades legítimas no los piden por correo.
• Adjuntos inesperados. Facturas, albaranes o documentos comprimidos que no esperabas, a veces con macros o archivos ejecutables.
• Errores y detalles raros. Faltas de ortografía, logotipos pixelados o formatos extraños, aunque cada vez son menos frecuentes.

Cuidado con los dominios parecidos

Una técnica habitual es registrar dominios casi idénticos al original, con una letra cambiada, un guion añadido o una terminación diferente. A simple vista parecen correctos. Por eso, ante cualquier duda, lo más seguro es no usar el enlace del correo y escribir tú mismo la dirección de la web oficial o abrir la aplicación de la entidad.

Comprobaciones rápidas antes de hacer clic

Qué hacer si has hecho clic o has dado datos

Le puede pasar a cualquiera. Lo importante es reaccionar rápido para limitar los daños:

1. Si has introducido la contraseña, cámbiala de inmediato desde la web oficial, y también en cualquier otro servicio donde uses la misma.
2. Si has dado datos bancarios o de tarjeta, llama a tu banco por su teléfono oficial para bloquear la tarjeta y revisar movimientos.
3. Activa la verificación en dos pasos en las cuentas afectadas.
4. Si descargaste un adjunto, analiza el equipo con un antivirus actualizado.
5. Guarda el correo como prueba y, si has sufrido un perjuicio, denúncialo ante la Policía Nacional o la Guardia Civil.

Ayuda gratuita

El Instituto Nacional de Ciberseguridad (INCIBE) ofrece una línea gratuita y confidencial de ayuda en ciberseguridad, el 017, donde orientan sobre qué hacer tras un incidente. En su web también publican avisos sobre campañas de fraude activas.

Hábitos que reducen el riesgo

• Mantén actualizado el sistema, el navegador y el programa de correo, que suelen incluir filtros antifraude.
• Usa contraseñas distintas para cada servicio, idealmente con un gestor de contraseñas.
• Activa la verificación en dos pasos en el correo, el banco y las redes sociales.
• Desconfía de cualquier mensaje que te meta prisa, por oficial que parezca.
• Marca los correos fraudulentos como phishing o spam: ayudas a que el filtro aprenda.

Para consultar avisos de fraudes en curso y recursos prácticos, la referencia es la web del INCIBE.

Preguntas frecuentes

¿Abrir un correo de phishing ya es peligroso?

Abrirlo en un programa de correo actualizado suele ser poco arriesgado. El peligro está en hacer clic en enlaces, descargar adjuntos o responder con datos.

¿Mi banco puede pedirme las claves por correo?

No. Las entidades bancarias insisten en que nunca piden contraseñas, códigos de firma ni datos completos de la tarjeta por correo electrónico.

¿Debo responder al estafador para decirle que lo he descubierto?

No. Responder confirma que tu dirección está activa y puede atraer más intentos. Lo mejor es marcarlo como fraude y borrarlo.