Cómo detectar un correo de phishing: las señales clave

Tu paquete está retenido en aduanas, tu cuenta del banco va a bloquearse, tu jefe necesita tarjetas regalo con urgencia: los correos de phishing siempre cuentan una historia pensada para que hagas clic rápido. La buena noticia es que casi todos dejan huellas. Si sabes dónde mirar, detectas la mayoría de las falsificaciones en pocos segundos.

Por qué el phishing funciona tan bien

El phishing no ataca a tu ordenador, te ataca a ti. Los mensajes usan tres palancas probadas: la prisa ("en un plazo de 24 horas"), la autoridad (tu banco, Hacienda, tu jefe) y la curiosidad ("has recibido un mensaje de voz"). Quien está bajo presión comprueba menos. Por eso vale la pena pararse un momento ante cualquier correo que exija actuar de inmediato.

Ahora que los textos se escriben con IA, las traducciones torpes y las faltas de ortografía ya no son una señal fiable. Fíjate mejor en lo que es difícil de falsificar.

Señal 1: el remitente

Tu programa de correo suele mostrar solo el nombre visible, por ejemplo "Atención al cliente del banco". Ese nombre lo puede elegir cualquiera. Lo que importa es la dirección que hay detrás. Toca o haz clic en el nombre para verla.

Trucos habituales:

• Un dominio ajeno: [email protected] no tiene nada que ver con tu banco.
• Una escritura parecida: paypa1.example en vez de paypal.example, rn en vez de m, guiones de más.
• Buzones gratuitos: una empresa no te escribe desde una dirección de Gmail u Outlook.com.
• Una dirección de respuesta distinta: si la cabecera contiene un Reply-To con una dirección totalmente diferente, tu respuesta llega al estafador.

Señal 2: presión y amenazas

Las empresas de verdad no anuncian bloqueos de cuenta con un plazo de pocas horas, y ninguna administración pide pagos a través de un enlace. Frases como "último aviso", "tu cuenta ha sido limitada" o "confirma de inmediato" son una señal para ir más despacio, no más deprisa.

Especialmente traicionero es el llamado fraude del CEO: un correo que parece venir de la dirección de la empresa pide una transferencia urgente y confidencial. Aquí solo sirve una cosa: confirmar por otra vía, por ejemplo llamando al número que ya conoces.

Señal 3: enlaces que llevan a otro sitio

El texto visible de un enlace puede decir cualquier cosa. Para ver a dónde lleva de verdad, pasa el ratón por encima sin hacer clic. En el móvil, mantén pulsado el enlace.

Lee el dominio de derecha a izquierda. En https://example.com.verificar-cuenta.net/login la página pertenece a verificar-cuenta.net, no a example.com. Todo lo que hay a la izquierda es solo un subdominio que el propietario puede inventarse.

Cuidado también con los enlaces acortados y los códigos QR en los correos: ocultan el destino. Si tienes dudas, abre tú mismo la web de la empresa escribiendo la dirección o usando un marcador.

Señal 4: archivos adjuntos

Facturas inesperadas, albaranes o "documentos escaneados" son un clásico. Los más peligrosos son:

• Archivos HTML que abren en el navegador una página de inicio de sesión copiada
• Archivos comprimidos como .zip, .rar o .iso que contienen malware
• Documentos de Office que te piden "habilitar contenido" o permitir macros

Abre un adjunto solo si lo esperabas y el remitente es correcto.

Señal 5: lo que una empresa de verdad nunca pide

Los proveedores serios nunca te piden por correo tu contraseña, tu PIN, un código de transacción o un código de confirmación que acabas de recibir por SMS. Quien pide un código así quiere entrar en tu cuenta.

Revisar la cabecera

La cabecera de un correo muestra por qué servidores pasó y si superó las comprobaciones SPF, DKIM y DMARC. Si pone dmarc=fail para un dominio que se hace pasar por tu banco, está claro. Nuestra guía Cómo leer las cabeceras de un correo explica cómo encontrarla y leerla.

Hay un límite importante: un SPF o DKIM superado solo demuestra que el correo viene de verdad del dominio que indica. Un estafador también puede configurarlo todo correctamente para su propio dominio verificar-cuenta.net. Las comprobaciones te dicen quién escribió, no si puedes fiarte de ese remitente.

Si ya has hecho clic

Lo hecho, hecho está; ahora lo que cuenta es la rapidez:

1. Cambia tu contraseña directamente en la web real del servicio, no a través del enlace. Si usaste la misma contraseña en otros sitios, cámbiala también allí.
2. Activa el inicio de sesión en dos pasos si todavía no lo tienes.
3. Avisa a tu banco si introdujiste datos de pago. Usa el número de tu tarjeta o de la web oficial.
4. Revisa tu dispositivo si abriste un adjunto, por ejemplo con un antivirus actualizado.
5. Vigila tus cuentas y cierra las sesiones sospechosas en los ajustes de seguridad.

Denunciar el phishing

La mayoría de los programas de correo tienen un botón "Notificar phishing". Así entrenas el filtro y avisas a otros usuarios. Muchas empresas también aceptan los correos falsos enviados en su nombre a través de una dirección de denuncia propia que encontrarás en su web.

Prevenir con direcciones separadas

Cuantos menos sitios conozcan tu dirección principal, menos phishing llega a ella. Si usas una dirección desechable para sorteos, descargas y foros, los estafadores muchas veces ni siquiera llegan a conocer tu dirección real. Y un supuesto correo de tu banco enviado a una dirección que solo usaste para un foro se delata solo.

Revisa la cabecera de un correo sospechoso con el analizador de cabeceras: gratis y sin registro.