Cómo detectar un correo de phishing: 8 señales y qué hacer si has picado
Aprende a reconocer correos, SMS y llamadas fraudulentas que se hacen pasar por tu banco, Correos o Hacienda, y qué pasos dar si ya has caído.
En esta guía
El phishing es un engaño en el que alguien se hace pasar por una empresa o persona de confianza para que hagas algo: pinchar un enlace, descargar un archivo, dar tus contraseñas o pagar. Es la técnica de ataque más común, porque es mucho más fácil engañar a una persona que romper un sistema.
La buena noticia es que casi todos los intentos dejan pistas. Aquí tienes las ocho más claras.
Las 8 señales de un phishing
1. El remitente no cuadra
Fíjate en la dirección completa, no solo en el nombre que aparece. “Banco Santander” puede venir de avisos@santander-clientes-seguridad.com, que no tiene nada que ver con el banco.
En el móvil, toca sobre el nombre del remitente para ver la dirección real.
2. Te meten prisa o miedo
“Tu cuenta será bloqueada en 24 horas”, “Tienes una multa pendiente”, “Hemos detectado un acceso sospechoso”. La urgencia busca que actúes sin pensar. Una empresa seria no te bloquea la cuenta por no pinchar un enlace.
3. El enlace lleva a otro sitio
Antes de pinchar, pasa el ratón por encima (o mantén pulsado en el móvil) para ver la dirección real. Desconfía de:
- Dominios parecidos con letras cambiadas:
paypa1.com,amaz0n-es.com. - La marca puesta delante de otro dominio:
correos.es.envios-pendientes.net. El dominio real es lo que va justo antes de.net. - Acortadores de enlaces en mensajes “oficiales”.
4. Piden datos que ya deberían tener
Ningún banco te pedirá por correo o SMS tu contraseña completa, el PIN de la tarjeta o el código que te acaba de llegar por SMS. Ese código es la llave de tu cuenta: no se lo des a nadie, aunque diga ser del banco.
5. Adjuntos inesperados
Facturas que no esperabas, “documentos escaneados” o “notificaciones” en archivos .zip, .html, .iso o documentos de Office que piden “habilitar contenido”. Si no esperabas el archivo, no lo abras.
6. Saludo genérico
“Estimado cliente” o “Hola usuario” en lugar de tu nombre. No siempre es señal de fraude, pero sumada a las demás, resta mucha confianza.
7. Errores raros
Faltas de ortografía, traducciones extrañas o logotipos pixelados. Ojo: con la inteligencia artificial cada vez hay menos errores, así que un correo bien escrito no significa que sea legítimo.
8. Algo demasiado bueno
Premios que no has pedido, reembolsos de Hacienda por sorpresa o un trabajo desde casa muy bien pagado. Si suena demasiado bien, probablemente es mentira.
No solo por correo: SMS, WhatsApp y llamadas
Los mismos trucos llegan por otros canales:
| Canal | Nombre | Ejemplo típico |
|---|---|---|
| SMS | Smishing | “Tu paquete está retenido, paga 1,99 € de aduanas” |
| — | “Hola mamá, se me ha roto el móvil, escríbeme a este número” | |
| Llamada | Vishing | Alguien del “departamento de seguridad del banco” que te pide un código |
Un truco habitual es el spoofing: el SMS falso aparece dentro de la misma conversación que los mensajes reales de tu banco, o la llamada muestra el número auténtico. Que el número parezca real no demuestra nada.
Consejo
La regla de oro: ante la duda, corta y contacta tú. Cuelga, cierra el mensaje y entra en la app oficial o llama al teléfono que aparece en la web o en tu tarjeta.Cómo comprobar un enlace sin abrirlo
- Copia el enlace (sin abrirlo) y analízalo en VirusTotal, que lo revisa con decenas de motores.
- Busca el dominio en Google junto a la palabra “estafa” o “phishing”.
- Si es de tu banco o de una tienda, no uses el enlace: entra escribiendo tú la dirección o desde su app.
Qué hacer si ya has picado
No te agobies: le pasa a mucha gente y actuar rápido reduce el daño.
- Si diste una contraseña: cámbiala ya, y también en cualquier otra web donde usaras la misma.
- Si diste datos bancarios o pagaste: llama a tu banco inmediatamente para bloquear la tarjeta y pedir que anulen las operaciones.
- Si descargaste un archivo: desconecta el equipo de internet y pásale un análisis completo de antivirus.
- Activa la verificación en dos pasos en tu correo, banco y redes sociales.
- Pide ayuda gratuita: el 017 es la línea de ayuda en ciberseguridad de INCIBE. Es gratuita y confidencial.
- Denuncia en la Policía Nacional o la Guardia Civil, sobre todo si has perdido dinero. Guarda capturas de todo.
Cómo protegerte a partir de ahora
- Usa un gestor de contraseñas. Además de crear contraseñas únicas, solo rellena tus datos en la web auténtica, así que te avisa de forma indirecta si estás en una copia. Lo explico en Gestores de contraseñas: cuál elegir y cómo empezar.
- Activa la verificación en dos pasos en todo lo importante, mejor con una app o una llave física que por SMS.
- Mantén el móvil y el ordenador actualizados.
- Enseña estas señales a tu familia, sobre todo a las personas mayores, que son el objetivo favorito de estas estafas.