Cómo detectar correos de phishing: las señales que de verdad importan

Este es un ejemplo inventado, escrito para este artículo. Sus direcciones no existen, y se muestra solo para que practiques cómo leerlo.

Ejemplo de mensaje de phishing, no es real
De: "Soporte del buzón" <helpdesk@mail-storage-notice.example>
Asunto: Tu buzón está lleno al 98 %, hay mensajes retenidos

Estimado usuario: 14 mensajes entrantes no se han podido entregar porque tu almacenamiento está lleno. Verifica tu cuenta en un plazo de 24 horas para liberarlos y evitar la suspensión.
[Liberar mis mensajes]

Lo que lo delata es el dominio del remitente, que no pertenece a nadie con quien trates, un saludo que no sabe cómo te llamas, un plazo unido a una amenaza y un botón que quiere que inicies sesión. No hay nada mal escrito, y eso es lo habitual hoy. Detectas los correos de phishing comprobando la dirección real del remitente, leyendo adónde apuntan de verdad los enlaces, desconfiando de las peticiones inesperadas de contraseñas, dinero o de abrir archivos, y confirmando todo lo importante por una vía en la que ya confías y no a través del mensaje.

El phishing es un mensaje que se hace pasar por una persona u organización de confianza para que entregues credenciales, pagues dinero, instales malware o reveles información útil para un ataque posterior. Los consejos basados en la mala gramática y los logotipos torpes han envejecido mal, ya que copiar el diseño de una marca es trivial y las herramientas de traducción y redacción están al alcance de cualquiera. Lo que sigue siendo fiable es lo que el mensaje te pide que hagas y lo que dice la evidencia técnica sobre su origen.

Qué señales merecen tu atención

Las señales de alerta no valen todas lo mismo. Esta clasificación es un juicio basado en cómo funcionan los ataques, no una estadística medida, pero muestra en qué gastar tus pocos segundos de atención.

Señal	Cuánto te dice	Por qué
El enlace va a un dominio que no es el de la organización que dice ser	Muy alto	La discrepancia es el núcleo del phishing de credenciales
El correo pide una contraseña, un código de un solo uso o el número completo de una tarjeta	Muy alto	Los servicios legítimos no recogen esto por correo
Datos de pago cambiados «con urgencia» por correo	Muy alto	El patrón habitual del fraude por correo empresarial
El dominio del remitente no coincide con la organización	Alto	Son comunes los remitentes con dominios parecidos o de correo gratuito
Un archivo comprimido, un archivo HTML o un documento con macros que no esperabas	Alto	Formas habituales de entregar malware o una página de inicio de sesión falsa
DMARC falla para el dominio que dice ser	Alto	Prueba sólida de falsificación, aunque aprobar demuestra poco
Mucha urgencia o amenazas	Medio	Habitual en el phishing, pero las alertas de seguridad reales también pueden ser urgentes
Saludo genérico	Medio	Lo usan las campañas masivas, mientras que las dirigidas usan tu nombre
Errores de ortografía y gramática	Bajo a medio	El phishing moderno suele estar pulido, y el correo real tiene erratas
El logotipo o el diseño parecen raros	Bajo	Copiar el diseño de una marca lleva minutos

Fíjate en que la parte alta de la tabla trata del destino y de la petición, y la parte baja, de la apariencia. El cambio mental más útil es dejar de preguntarte «¿esto parece real?» y empezar a preguntarte «¿qué quiere de mí y cómo puedo comprobarlo sin usar este mensaje?»

Cómo leer bien un enlace

Si aprendes una sola habilidad técnica de este artículo, que sea esta, porque el texto visible de un enlace y su destino real son cosas completamente separadas. Un botón que dice «Inicia sesión en tu cuenta» puede apuntar a cualquier sitio. En un ordenador, pasa el cursor por encima del enlace sin hacer clic y lee la dirección que aparece en la barra de estado o en un cuadro emergente. En el teléfono, mantén pulsado el enlace para verlo y luego cancela.

La mayoría de la gente lee las direcciones web de izquierda a derecha, y los atacantes cuentan con eso. La propiedad se decide en el extremo derecho del nombre del host: el dominio registrado más su terminación, justo antes de la primera barra simple. Todo lo que queda a la izquierda es un subdominio que el propietario puede poner con el texto que quiera. Todo lo que va después de la barra es una ruta, y también puede decir cualquier cosa. Mira estos cuatro ejemplos, de los cuales el segundo, el tercero y el cuarto son ficticios:

• https://accounts.google.com/signin pertenece a Google, porque el dominio es google.com.
• https://accounts.google.com.secure-login.example/signin pertenece a secure-login.example. El nombre de la marca es solo un subdominio.
• https://secure-login.example/accounts.google.com/ también pertenece a secure-login.example, con la marca en la ruta.
• https://www.paypal.com@203.0.113.7/ usa un viejo truco. Todo lo que va antes de la @ se trata como un nombre de usuario, y el destino real es la dirección IP que viene después.

Algunos patrones más de enlaces deberían hacerte ir más despacio. Los acortadores de URL resultan raros en un mensaje de una gran marca, que no tiene motivo para ocultar su propio dominio. Los enlaces a creadores de formularios o a servicios de archivos compartidos que te piden «iniciar sesión para ver un documento» son un clásico, porque las páginas de phishing suelen alojarse en plataformas en la nube legítimas. Por eso, que en la dirección aparezca el nombre de un alojamiento de confianza no significa que la página sea segura. La cuestión es si el dominio pertenece a la organización con la que crees estar tratando.

El candado tampoco ayuda en ningún sentido. HTTPS solo te dice que la conexión está cifrada, y los certificados gratuitos están al alcance de todos, también de los delincuentes. Una página falsa de un banco con candado es una conexión cifrada con un ladrón.

Ten cuidado también con los dominios parecidos internacionales. Los dominios pueden usar caracteres de otros alfabetos que se ven idénticos a las letras latinas, como una «а» cirílica en lugar de una «a» latina. Los navegadores suelen mostrarlos en una forma codificada que empieza por xn--, y ver ese prefijo donde esperabas una marca conocida es una buena pista.

Cómo leer el remitente

Las apps de correo muestran el nombre visible en letra grande y a menudo ocultan la dirección, y ese nombre es texto libre que elige el remitente. Un mensaje que muestre «Equipo de cuentas de Microsoft» podría venir de un dominio sin relación o de un buzón cualquiera que ha sido comprometido. En un ordenador, pasa el cursor por encima del nombre o haz clic en él. En el teléfono, tócalo para desplegarlo. Después mira la parte que va tras la @, teniendo presentes estos patrones (los dominios son ilustrativos):

• Caracteres intercambiados, como rn en lugar de m, o el dígito 1 en lugar de la letra l.
• Palabras añadidas, como netflix-billing.example. Las marcas rara vez usan variantes con guiones de su nombre para el correo de cuentas.
• Una terminación distinta, como yourbank.co donde esperas yourbank.com.
• Un buzón gratuito de particular que dice ser un banco, un despacho de abogados o tu director general.

Luego comprueba la dirección de respuesta. Un mensaje puede mostrar una línea De verosímil y poner en Reply-To el buzón del atacante, de modo que tu respuesta va a otro sitio. Muchas apps muestran el destino cuando pulsas Responder, así que míralo antes de enviar.

La comprobación del remitente tiene un límite claro: no dice nada de las cuentas secuestradas. Si el buzón real de un colega o de un proveedor ha sido tomado, la dirección será perfecta. En ese caso la petición misma es tu única señal, lo que nos lleva al siguiente punto.

Peticiones que ningún remitente honesto hace por correo

Algunas peticiones son sospechosas por muy bueno que parezca el resto del mensaje. Tu contraseña o tu PIN. El código de un solo uso que acabas de recibir por SMS o en una app. El número completo de una tarjeta con su código de seguridad. Pagar con tarjetas regalo o criptomonedas, o hacer una transferencia a una cuenta nueva. Acceso remoto a tu ordenador por un problema que nunca denunciaste. Archivos confidenciales o datos del personal enviados a una dirección externa «para una auditoría».

Conviene entender la petición del código de un solo uso, porque parece muy inofensiva. Un atacante que ya tiene tu contraseña inicia un acceso, y eso te envía un código real desde el servicio real. Luego te escribe, haciéndose pasar por soporte, y te pide que «confirmes» ese código. Quien te pide un código que recibiste está intentando iniciar sesión como tú.

Los organismos públicos son también una tapadera frecuente. El IRS de Estados Unidos, por ejemplo, afirma que no inicia el contacto con los contribuyentes por correo para pedir información personal o financiera, y muchas agencias tributarias de otros países publican avisos parecidos. Si crees que una devolución o una multa podrían ser reales, escribe tú mismo la dirección de la agencia e inicia sesión allí.

Por qué incluso la gente cuidadosa cae

El phishing apunta al comportamiento más que al software. Los mensajes bien hechos buscan provocar una reacción emocional rápida para que actúes primero y pienses después. La urgencia es la palanca más evidente («cuenta cerrada en 24 horas»), junto con el miedo («inicio de sesión inusual», «acciones legales pendientes») y la autoridad, con un director general, un banco o el soporte informático como supuesto remitente. La recompensa y la curiosidad también funcionan, con devoluciones, premios y «mira quién ha visto tu perfil». Y está la simple amabilidad, como cuando un colega necesita con urgencia que revises un archivo.

La rutina puede ser lo más fuerte de todo. Una factura, un aviso de entrega o un documento compartido falsos se parecen a las decenas de reales que manejas cada semana, y lo que haces en piloto automático es lo que menos atención recibe. Por eso el objetivo no es desconfiar de todos los correos, algo que nadie puede mantener. El objetivo es notar el momento en que un mensaje pide algo delicado y, en ese momento, pasar de reaccionar a comprobar.

Los tipos de ataque y qué cambia cada uno

Los nombres importan menos que saber qué le hace cada variante a los consejos anteriores. Algunas burlan las comprobaciones habituales.

Tipo	Qué es	Qué cambia para ti
Phishing masivo	Mensaje genérico a listas enormes, como un buzón lleno o un paquete retenido	El más fácil de cazar, porque rara vez encaja con tu vida
Spear phishing	Hecho a tu medida, con nombres y datos sacados de las redes sociales o de filtraciones	Los datos personales no prueban nada
Whaling	Spear phishing dirigido a directivos o a personas que controlan dinero	El cargo te convierte en objetivo
Compromiso del correo empresarial	Suplantar o tomar el control de un directivo, un proveedor o un colega para desviar dinero	A menudo sin enlace ni adjunto, así que los escáneres no ven nada
Clone phishing	Un correo real anterior copiado y reenviado con el enlace o el archivo cambiados	Que el contenido te suene no prueba nada
Secuestro de hilos	Responder dentro de una conversación real desde un buzón comprometido	La comprobación del remitente se aprueba
Quishing	Un código QR sustituye al enlace	Te pasa al teléfono, lejos de las protecciones del ordenador y de los escáneres de enlaces
Phishing de consentimiento	Una app maliciosa pide acceso en una pantalla de «Permitir» auténtica	No se roba ninguna contraseña, y la página de inicio de sesión es real
Phishing de devolución de llamada	Una factura o una renovación falsas dan un número de teléfono al que llamar	No hay nada en lo que hacer clic, y el fraude ocurre en la llamada
Phishing de código de dispositivo	Te piden que introduzcas un código en una página de inicio de sesión real, lo que autoriza el dispositivo del atacante	La comprobación del dominio se supera, así que la pista es la petición inesperada

Los tres últimos merecen una frase de consejo práctico. Lee la lista de permisos de cualquier pantalla de «Permitir acceso», y rechaza si una app desconocida quiere leer tu correo. No llames nunca a un número impreso en una factura inesperada. Y no introduzcas nunca un código en una página de inicio de sesión porque alguien en un correo o en un chat te lo diga, salvo que hayas iniciado tú mismo ese proceso en un dispositivo que tienes delante.

Mensajes de ejemplo, comentados

Todos los siguientes son ejemplos inventados basados en patrones muy documentados. Los nombres y los dominios son ficticios.

Ejemplo: el documento compartido

Solo ejemplo
De: "Jordan (vía Docs)" <jordan.m@partnerfirm-mail.example>
Asunto: Jordan ha compartido contigo «Calendario de pagos T3»

Abrir en Docs

Esto imita un aviso de archivo compartido, pero el remitente es una dirección externa que no conoces, y el botón lleva a una página que te pide la contraseña de tu correo, a menudo con una fila de logotipos de proveedores. Las notificaciones reales vienen del dominio de la propia plataforma y se abren en una sesión en la que ya has iniciado sesión. Si conoces a algún Jordan, pregúntale. Pase lo que pase, no escribas tu contraseña en una página a la que llegaste desde un correo de «archivo compartido».

Ejemplo: la nueva cuenta bancaria del proveedor

Solo ejemplo
De: "Cuentas por cobrar" <ar@supplier-co.example>
Asunto: RE: Factura 4471

Le informamos de que nuestros datos bancarios han cambiado a raíz de una auditoría. Por favor, utilice los nuevos datos de cuenta adjuntos para este pago y los siguientes. El pago está vencido, así que le rogamos que lo procese hoy.

Puede que aquí no haya ningún enlace, y esto podría venir del buzón real y comprometido del proveedor dentro de un hilo real. Todas las comprobaciones técnicas podrían aprobarse. La señal de alarma es la petición: un cambio de datos de pago por correo, con urgencia. Llama al proveedor a un número que ya tengas registrado, no a uno que aparezca en el correo o en su firma, antes de pagar nada. Si el dinero ya salió, llama a tu banco de inmediato y pregunta si se puede revertir el pago, y en Estados Unidos denúncialo en ic3.gov.

Ejemplo: la tasa del paquete

Solo ejemplo
Asunto: Tu paquete está retenido: tasa de aduana sin pagar

Hemos intentado entregar tu paquete. Hace falta una pequeña tasa para reprogramar la entrega. Paga ahora para evitar la devolución al remitente.

La cantidad pequeña baja tus defensas, y el objetivo son los datos completos de tu tarjeta, que luego se pueden usar para un fraude mayor. Sigue tus envíos con el número de la página de pedido del propio comercio o con la app oficial del transportista.

Ejemplo: el directivo que está «en reuniones»

Solo ejemplo
De: "Sam Rivera (CEO)" <sam.rivera.office@freemail.example>
Asunto: un favor rápido

¿Estás disponible? Necesito que te encargues de algo con discreción para un cliente. Estoy en reuniones, así que solo por correo.

Un buzón personal, una petición de secreto y «solo por correo» forman juntos el patrón, y el siguiente mensaje suele pedir códigos de tarjetas regalo o una transferencia. El mensaje en sí no contiene nada que escanear. Contacta con el directivo a través del directorio de la empresa, el chat o el teléfono, y avisa a informática.

Ejemplo: el código QR

Solo ejemplo
Asunto: Es necesaria una actualización de la autenticación multifactor

La configuración de tu MFA caduca hoy. Escanea con tu teléfono el código QR de abajo para volver a registrarte.

La configuración multifactor no caduca por correo. El código te traslada a un teléfono, donde la dirección es más difícil de inspeccionar y puede que las protecciones de la empresa no se apliquen. No lo escanees. Consulta con informática o mira directamente la configuración de seguridad de la cuenta.

Ejemplo: la devolución de impuestos

Solo ejemplo
Asunto: Tienes derecho a una devolución de impuestos

Tras el cálculo anual de tu actividad, tienes derecho a recibir una devolución. Envía el formulario en un plazo de 48 horas.

Un regalo inesperado más un formulario que pide datos de identidad y de tarjeta. Entra en el portal oficial del gobierno escribiendo tú mismo su dirección, o llama al número publicado de la agencia.

Ejemplo: la alerta de cuenta que es en parte cierta

Solo ejemplo
De: "Seguridad de la cuenta" <no-reply@secure-acct-center.example>
Asunto: Acción necesaria: actividad de inicio de sesión inusual

Hemos detectado un intento de inicio de sesión desde un dispositivo nuevo. Para mantener tu cuenta activa, verifica tu identidad en un plazo de 24 horas. [Verificar ahora]

Los servicios reales sí envían alertas de inicio de sesión, así que esta categoría requiere más cuidado que las demás. Aquí el dominio es genérico y el mensaje ni siquiera nombra el servicio. No razones sobre él desde dentro del correo. Abre la app del servicio o escribe su dirección, y mira la página de actividad reciente. Si ahí no aparece nada, el correo era falso. Este hábito también sirve para las alertas reales, porque también se mostrarán allí.

Revisar las cabeceras cuando tienes dudas

Las cabeceras contienen la evidencia técnica de dónde vino un mensaje. En Gmail, abre el menú de tres puntos y elige Mostrar original, que además da un breve resumen en la parte superior. En Outlook en la web, usa Ver, Ver origen del mensaje. En Apple Mail, usa Visualización, Mensaje, Todos los encabezados.

Detrás de los resultados que verás hay tres estándares. SPF permite que un dominio publique qué servidores pueden enviar su correo, y el receptor comprueba el servidor de envío contra esa lista. DKIM añade una firma criptográfica, que se comprueba con una clave pública en el DNS del dominio firmante, y que demuestra que las partes firmadas no se alteraron y que el dominio asumió la responsabilidad. DMARC vincula estos dos con el dominio de la línea From visible, una propiedad llamada alineación, y dice a los receptores qué hacer si falla: nada, cuarentena o rechazo. Desde 2024, Google y Yahoo exigen a los remitentes masivos que publiquen un registro DMARC, lo que ha hecho más comunes estos resultados.

Busca la línea que empieza por Authentication-Results:. Podría decir algo así, en un ejemplo ficticio:

Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bank.example; dkim=pass header.d=bank.example; dmarc=pass header.from=bank.example

Aquí se aprueban todas las comprobaciones y todos los dominios coinciden. Un mensaje falsificado podría mostrar dmarc=fail, o un resultado aprobado para un dominio completamente distinto del de la línea From. Esta tabla explica cómo interpretar lo que encuentres.

Resultado	Qué significa	Qué no significa
DMARC aprobado para el dominio real de la marca	Enviado por ese dominio o en su nombre	No descarta una cuenta comprometida en esa empresa
DMARC aprobado para un dominio parecido	El atacante es dueño de ese dominio y lo configuró bien	El mensaje no es seguro, y esto es habitual en el phishing
DMARC fallido para el dominio de la marca	Fuerte señal de falsificación, o de un reenvío que rompió la comprobación	Las listas de correo y los reenvíos rompen a veces el correo real
Sin registro DMARC	El dominio no ha publicado ninguna política	Por sí solo no prueba nada, pero falsificar ese dominio es más fácil

La lección es que la autenticación dice quién envió el mensaje, y la honestidad es otra cuestión. Un correo con resultados perfectos de bank-resolution-center.example sigue siendo phishing. La comprobación combinada que buscas es que el dominio autenticado sea la organización que crees que es.

Las líneas Received: registran cada servidor del recorrido, con el más reciente arriba. Pueden mostrar que un correo de un «banco local» salió de un servidor sin relación, pero cualquier cosa por debajo del punto en que tu propio proveedor recibió el mensaje puede ser falsa, así que fíate solo de las entradas que añadieron los servidores de tu proveedor. Para la mayoría de la gente, la línea de autenticación y la comprobación del dominio bastan.

Archivos adjuntos e imágenes en un correo de phishing

Los archivos adjuntos entregan malware o llevan a una página de inicio de sesión falsa. Los formatos que merecen más cautela son los archivos comprimidos y las imágenes de disco como .zip, .rar, .7z, .iso e .img, los archivos HTML que abren una página local de inicio de sesión falsa, los documentos de Office que te piden «Habilitar contenido» o «Habilitar edición», las dobles extensiones como invoice.pdf.exe, los scripts y accesos directos como .js, .vbs, .lnk y .bat, y los PDF que no contienen más que un botón o un código QR. Nuestra guía de seguridad de los archivos adjuntos explica cómo juzgar cada tipo y cómo abrir un archivo dudoso con menos riesgo.

Las imágenes son más silenciosas. Una imagen remota puede decirle al remitente que tu dirección está activa, y así se construyen las listas de direcciones «verificadas». Explicamos cómo funciona eso, y qué ajustes lo impiden, en nuestro artículo sobre los píxeles de seguimiento en el correo. Es una pequeña razón para configurar tu app de correo de modo que pregunte antes de mostrar imágenes externas.

Más cuidado en el teléfono

Los teléfonos hacen todo esto más difícil. La pantalla es pequeña, las direcciones están ocultas por defecto y las vistas previas de los enlaces requieren una pulsación larga. Unos cuantos hábitos lo compensan. Toca el nombre del remitente para ver la dirección antes de fiarte de un mensaje. Mantén pulsados los enlaces en lugar de tocarlos. Para bancos, tiendas y redes sociales, abre la app oficial en vez de seguir nada de un correo. Trata con especial duda los códigos QR de los correos, ya que los escaneas con el mismo dispositivo en el que estás leyendo. Si tu cámara muestra una vista previa de la dirección antes de abrirla, léela como leerías cualquier enlace.

Los mismos trucos llegan también por SMS y apps de mensajería, lo que suele llamarse smishing, y puede seguir una llamada telefónica después de un correo para hacerlo más convincente, lo que se llama vishing. Alguien que te llama y menciona el correo que acabas de recibir no ha confirmado nada, porque puede que él mismo lo enviara. Cuelga y llama a un número que ya tengas.

Qué hacer con un mensaje sospechoso

1. No hagas clic, no descargues, no escanees un código ni respondas. Si respondes para preguntar «¿esto es real?», llegas al atacante, que dirá que sí.
2. Comprueba la dirección del remitente y los destinos de los enlaces como se ha descrito arriba.
3. Verifica por tu cuenta. Abre la app oficial o escribe la dirección. Llama al número del reverso de tu tarjeta, de una factura que ya tengas o del directorio de la empresa.
4. Denúncialo a tu proveedor. En Gmail, el menú de tres puntos tiene Denunciar phishing. En Outlook, busca en Denunciar la opción Phishing. En el trabajo, usa el botón de denuncia o sigue las instrucciones de tu equipo de seguridad, y no reenvíes el mensaje a tus colegas para preguntarles, porque eso difunde el señuelo.
5. Denúncialo a la organización suplantada si publica una dirección para el phishing en su página de seguridad. Apple, por ejemplo, usa reportphishing@apple.com.
6. Usa un servicio público de denuncias donde exista. En el Reino Unido, el National Cyber Security Centre recibe correos reenviados en report@phishing.gov.uk. En Estados Unidos, la FTC recibe denuncias en reportfraud.ftc.gov. El Anti-Phishing Working Group acepta mensajes reenviados en reportphishing@apwg.org. Otros países tienen servicios parecidos, normalmente a través de una agencia de protección del consumidor o de delitos informáticos.
7. Elimínalo una vez denunciado.

Si ya hiciste clic

Hacer clic es común y suele tener arreglo. No dejes que la vergüenza te retrase, porque aquí la rapidez ayuda más que ninguna otra cosa. Busca el caso de abajo que coincida con lo que pasó.

Hiciste clic y no introdujiste nada

Cierra la pestaña y no descargues nada de lo que ofrecía la página. Asegúrate de que tu navegador y tu sistema están actualizados, y haz un análisis de seguridad si algo se descargó por sí solo. Espera más mensajes, porque el clic puede haber confirmado que tu dirección se lee. En la mayoría de los casos, ahí acaba todo.

Introdujiste una contraseña

1. Entra en el sitio real escribiendo su dirección y cambia la contraseña ahora.
2. Cámbiala en cualquier otro sitio donde usaste la misma contraseña o una parecida. Si la contraseña robada era la de tu correo, trátalo como urgente, porque el correo restablece todo lo demás.
3. Cierra las otras sesiones. En una cuenta de Google puedes revisar Tus dispositivos en la página de seguridad y cerrar sesión en los que no reconozcas, y los detalles de Última actividad de la cuenta al final de la bandeja de entrada de Gmail muestran los accesos recientes. Otros servicios tienen un control parecido.
4. Activa la verificación en dos pasos, preferiblemente con una passkey, una llave de seguridad o una app de autenticación.
5. Busca los cambios que pueda haber hecho el atacante: correo y teléfono de recuperación, reglas de reenvío y filtros, apps conectadas, dispositivos desconocidos.
6. En una cuenta de trabajo, avisa a informática de inmediato. Los atacantes suelen usar un buzón comprometido para hacer phishing a tus colegas en cuestión de horas.

Nuestra guía sobre qué hacer después de una filtración de datos trata con más profundidad la limpieza de contraseñas, porque los pasos se solapan.

Introdujiste un código o aprobaste una notificación

Da por hecho que el atacante puede tener una sesión activa. Cambia la contraseña, cierra todas las sesiones, revisa la configuración de seguridad y avisa a informática si es una cuenta de trabajo. Los kits modernos de «adversario en el medio» pasan tu inicio de sesión al sitio real mientras lo escribes y capturan la cookie de sesión resultante. Por eso los códigos de un solo uso por sí solos no los detienen.

Introdujiste datos de pago

Llama de inmediato a tu banco o al emisor de la tarjeta, usando el número que aparece en tu tarjeta. Pídeles que bloqueen la tarjeta y vigilen posibles fraudes, y revisa tus extractos durante las semanas siguientes. Si además introdujiste datos de identidad, mira qué ofrece tu país. En Estados Unidos, IdentityTheft.gov ofrece un plan de recuperación, y las agencias de crédito permiten congelar el crédito.

Abriste un archivo adjunto o habilitaste macros

Desconecta el dispositivo de la red si sospechas de malware, haz un análisis completo y, en el trabajo, contacta con informática antes de hacer nada más. Cambia las contraseñas importantes desde otro dispositivo limpio.

Diste acceso a una app

Ve a la configuración de seguridad de tu cuenta, busca la lista de apps de terceros con acceso y quita la desconocida. Un cambio de contraseña por sí solo puede no cortar el acceso de una app a la que se lo diste, así que primero va la eliminación. Después cambia la contraseña por precaución y revisa las reglas de tu buzón.

Cómo configurar las cosas para que un error cueste menos

No lo detectarás todo siempre, sobre todo en un mal día. Unos buenos valores por defecto hacen que un solo descuido cause menos daño, y algunos hacen parte de la detección por ti.

Lo más fuerte son las passkeys y las llaves de seguridad físicas. La CISA, la agencia de ciberseguridad de Estados Unidos, describe la autenticación multifactor resistente al phishing como el estándar de oro, y nombra FIDO y WebAuthn como la forma más extendida de ella. Esas credenciales están ligadas al dominio real, así que simplemente no funcionan en un sitio falso, ni siquiera en una copia perfecta. Las apps de autenticación detienen la mayoría de los ataques que solo buscan contraseñas, pero son más débiles frente a la retransmisión en vivo, así que son un buen paso y no el último. Si tu banco o tu proveedor de correo ofrece passkeys, activarlas es probablemente lo más valioso que puedes hacer después de leer este artículo.

Un gestor de contraseñas te da una segunda comprobación, más discreta. Guarda el dominio exacto de cada contraseña. Cuando llegas a una página parecida y no ofrece ningún inicio de sesión guardado, ese silencio es una advertencia, y así se detectan páginas que parecen perfectas al píxel. No lo saltes copiando y pegando la contraseña. Hay una pequeña salvedad: los gestores de contraseñas a veces no reconocen un sitio real que cambió su dominio de inicio de sesión. Así que el silencio significa «para y ve al sitio escribiendo su dirección», no «esto es seguro que es falso».

Defensa	Qué hace	Esfuerzo
Passkeys o llaves físicas	Detienen el phishing de credenciales y las retransmisiones en vivo, porque la credencial está atada al dominio real	Bajo a medio
Gestor de contraseñas con autocompletado	Se niega a rellenar en dominios falsos y evita reutilizar contraseñas	Bajo una vez configurado
App de autenticación	Detiene la mayoría de los ataques que solo usan la contraseña	Bajo
Protecciones del navegador	Safe Browsing de Chrome y SmartScreen de Edge avisan de muchas páginas maliciosas conocidas	Suelen estar ya activadas
Actualizaciones de software	Cierran los fallos que usan los archivos y las páginas maliciosas	Bajo
Extensiones de archivo visibles	Dejan al descubierto los trucos de doble extensión	Un solo ajuste
Preguntar antes de cargar imágenes remotas	Impide que muchos píxeles confirmen tu dirección	Un solo ajuste
Regla escrita de devolver la llamada ante cambios de pago	Detiene la mayoría de los fraudes con facturas, sea cual sea el aspecto del correo	Un cambio de proceso
Limitar adónde va tu dirección real	Menos listas y filtraciones la contienen	Un hábito

Para una empresa, la regla de devolver la llamada es la que conviene dejar por escrito. La guía del FBI sobre el compromiso del correo y los consejos del sector bancario coinciden en lo esencial: confirma cualquier cambio de instrucciones de pago fuera del correo, con un número que ya tengas. Funciona porque no depende de que nadie detecte nada, y da al personal junior una razón para decir «tengo que llamar primero» a alguien que parece ser su jefe.

Cómo mantener tu dirección principal fuera de las listas

Los estafadores escriben a direcciones que han comprado, rastreado o sacado de filtraciones. Cada vez que le das tu dirección real a un sitio de poca confianza, hay una posibilidad de que acabe en una de esas listas. Usar una dirección aparte para los registros de un solo uso reduce la frecuencia con que tu bandeja principal es objetivo, y además hace que el resto del correo sea más fácil de juzgar, porque un mensaje sobre tu banco que llega a la dirección que diste solo a tu banco tiene más peso.

Una bandeja temporal es una opción para el nivel más bajo, cuando las condiciones del sitio lo permitan. Con VookMail, tienes una dirección lista en cuanto carga la página, sin registro ni contraseña. Puedes pulsar Nuevo para escribir un nombre de usuario y elegir entre más de 30 dominios, o pulsar el botón amarillo «Aleatorio» para obtener una dirección aleatoria, que es la opción más segura porque cualquiera que conozca o adivine una dirección puede abrir esa bandeja. Los mensajes y los archivos adjuntos se eliminan después de aproximadamente un día, así que si esa dirección recibe phishing más tarde, llega a un lugar desconectado de tu banco, tu trabajo y tus cuentas principales.

Esto sirve para descargar un recurso, hacer una pregunta puntual en un foro o probar un formulario tuyo. No sirve para cuentas que necesitas conservar o recuperar, y nunca para cuentas bancarias, del gobierno, de salud, de trabajo o de redes sociales principales. Las preguntas frecuentes tratan del uso adecuado, y la política de privacidad explica cómo se maneja el correo entrante.

Las señales de alerta valen en cualquier bandeja, también en una desechable. De hecho, una dirección temporal ofrece una prueba muy útil: si un mensaje de ahí te pide iniciar sesión en tu banco o tu correo real, es casi seguro que es phishing, porque nunca les diste esa dirección a esos servicios.

Creencias erróneas que ayudan al atacante

• «Tiene candado». Eso significa cifrado, no honestidad.
• «El logotipo y el nombre son correctos». Ambos se copian con una facilidad trivial.
• «La gramática es perfecta». Muchas campañas hoy están bien escritas.
• «Llamaré al número del correo». Ese número puede llevar directamente al atacante.
• «Vino de la dirección real de mi colega». Las cuentas se toman, así que la petición sigue necesitando comprobación.
• «Hice clic, pero decírselo a informática sería vergonzoso». El silencio da más tiempo a los atacantes, y suele ser la opción más cara de todas.
• «No tengo nada que valga la pena robar». Tu buzón puede restablecer tus otras cuentas y puede usarse para hacer phishing a tus contactos.

Una lista de comprobación para el mensaje que tienes delante

Cuando un correo te pide que hagas algo, estas preguntas llevan menos de un minuto. Si alguna respuesta te preocupa, para y verifica por otra vía.

1. ¿Lo esperaba?
2. ¿La dirección real del remitente pertenece a la organización que dice ser?
3. ¿Adónde van de verdad los enlaces, leyendo el dominio de derecha a izquierda?
4. ¿Pide una contraseña, un código, un pago o un archivo?
5. ¿Presiona con urgencia, miedo, secreto o una recompensa?
6. ¿Hay un archivo adjunto, un código QR o un aviso de «habilitar contenido» que no esperaba?
7. ¿Mi gestor de contraseñas reconoce la página de inicio de sesión?
8. ¿Puedo comprobarlo abriendo la app o llamando a un número conocido?

Preguntas frecuentes sobre el phishing

¿Pueden hackearme solo por abrir un correo de phishing?

Con una app de correo actualizada, abrir un mensaje suele tener poco riesgo. El peligro viene de hacer clic en enlaces, introducir credenciales, abrir archivos adjuntos, habilitar macros o responder con información. Abrirlo puede confirmar que tu dirección está activa si se cargan imágenes, y esa es una razón para bloquear las imágenes remotas.

¿Por qué los correos de phishing pasan los filtros de spam?

Los atacantes registran dominios nuevos, envían desde cuentas legítimas comprometidas, alojan páginas en servicios en la nube de confianza y cambian su redacción constantemente. Algunos casos de phishing incluso pasan SPF, DKIM y DMARC porque vienen de un dominio que el atacante controla de verdad.

¿Los correos de phishing siempre están llenos de errores?

No. Muchos están bien escritos y se ven idénticos a los correos reales de las marcas. Gasta tu atención en las señales técnicas y en lo que se te pide.

Una empresa real me envió un enlace para iniciar sesión. ¿Eso es siempre phishing?

No. Las empresas sí envían enlaces legítimos, y el inicio de sesión puede ser auténtico. El hábito seguro sirve para los dos casos: sal del correo, abre tú mismo el servicio y comprueba si hay algo que requiera tu atención. Como mucho pierdes unos segundos.

¿Una dirección desechable me protege del phishing?

Reduce la exposición. El phishing dirigido a esa dirección llega a una bandeja sin relación con tus cuentas reales y se elimina después de aproximadamente un día. No sirve de nada para el correo que llega a tu bandeja principal, así que allí siguen valiendo las comprobaciones anteriores.