Cómo identificar el phishing en correos electrónicos y evitar enlaces fraudulentos

Un aviso de entrega pendiente, una factura inesperada o una alerta de seguridad pueden llegar cuando menos lo esperas. El mensaje parece legítimo y pide actuar de inmediato, pero su objetivo podría ser robar una contraseña, obtener datos bancarios o instalar software malicioso.

Para identificar el phishing en correos electrónicos no basta con buscar faltas de ortografía: los mensajes fraudulentos también pueden estar bien escritos. En esta guía aprenderás a revisar remitentes y enlaces, verificar solicitudes por otra vía y reaccionar si ya has interactuado con un correo. Además, encontrarás ejemplos explicados para reconocer cómo funcionan estos engaños.

Qué es el phishing por correo electrónico

El phishing es una técnica de suplantación con la que un atacante intenta que una persona entregue información, realice un pago o ejecute una acción perjudicial. En un correo, puede hacerse pasar por una entidad conocida, un proveedor, un compañero de trabajo o alguien cercano.

Por ejemplo, un mensaje afirma que tu cuenta será bloqueada y te pide iniciar sesión desde un botón. Al pulsarlo, llegas a una página que imita la web real. Si escribes tu contraseña, esta puede quedar en manos del atacante.

El objetivo no siempre es obtener credenciales: también pueden solicitarte códigos de verificación, datos de tarjeta, una transferencia o la apertura de un archivo. Incluso un mensaje enviado desde una cuenta conocida puede ser peligroso si esa cuenta ha sido comprometida.

Señales de alerta en un correo sospechoso

Una señal aislada no demuestra necesariamente que un mensaje sea fraudulento, pero varias juntas justifican detenerse y comprobarlo. Presta atención a estas situaciones:

• Urgencia o amenaza: exige pagar o facilitar datos para evitar un supuesto bloqueo inmediato.
• Solicitud inusual: pide contraseñas, códigos de un solo uso o cambios de cuenta bancaria.
• Remitente inesperado: el nombre parece conocido, pero la dirección no coincide con la habitual.
• Enlaces incoherentes: el destino no corresponde a la entidad que supuestamente envía el mensaje.
• Adjuntos imprevistos: invita a abrir una factura o un archivo comprimido que no esperabas.
• Contexto extraño: menciona una compra que no hiciste o un trámite que no reconoces.

Las faltas de ortografía y los saludos genéricos pueden ser pistas, pero su ausencia no garantiza nada. Un correo fraudulento puede incluir un logotipo convincente y estar redactado con naturalidad.

Ejemplo: la cuenta que «caducará» pronto

Imagina un correo que dice: «Tu cuenta será suspendida en una hora. Confirma tu contraseña para conservar el acceso». El mensaje combina una amenaza con un plazo corto para que pulses el botón sin verificar la situación. Además, te pide una contraseña, un dato que no debes entregar en respuesta a un correo.

En vez de usar el botón, abre la aplicación oficial o escribe la dirección que ya conoces. Revisa si aparece algún aviso dentro de tu cuenta. Si necesitas ayuda, busca el contacto de atención por una vía independiente; el número incluido en el mensaje también podría pertenecer al atacante.

Cómo comprobar el remitente sin confiar solo en el nombre

El nombre visible puede decir «Servicio de atención» o mostrar el nombre de tu jefe, pero ese texto no prueba quién envió el correo. Despliega los detalles y revisa la dirección completa. Busca letras añadidas o dominios que no coincidan con el canal habitual.

Por ejemplo, si esperas un mensaje de compras@empresa-ejemplo.com y recibes uno de compras@empresa-ejemp1o.com, la sustitución de una letra por un número puede pasar inadvertida. La diferencia no demuestra por sí sola quién controla la dirección, pero sí es motivo para verificar antes de responder. Los nombres de este ejemplo son ilustrativos.

Una dirección aparentemente correcta tampoco es garantía: los atacantes pueden falsificar datos del remitente o usar una cuenta legítima comprometida. Si alguien conocido solicita algo extraño, confirma por otro medio que ya tengas registrado.

En el trabajo, el equipo técnico puede revisar las cabeceras del mensaje y los resultados de autenticación. Mecanismos como SPF, DKIM y DMARC ayudan a evaluar ciertos aspectos del origen, pero no garantizan que el contenido sea seguro ni sustituyen la revisión del contexto.

Cómo revisar un enlace antes de abrirlo

El texto de un enlace puede decir una cosa mientras su destino apunta a otra. En un ordenador, coloca el cursor encima sin hacer clic y observa la dirección que muestra el programa. En un móvil, algunas aplicaciones permiten mantener pulsado el enlace para previsualizarlo; hazlo solo si sabes que se mostrará el destino sin abrirlo. Si tienes dudas, no interactúes con él.

Revisa estos detalles:

1. Localiza el dominio. En https://cuentas.ejemplo.com/acceso, el dominio es ejemplo.com y cuentas es un subdominio. Compáralo con la dirección oficial consultada por una vía independiente.
2. Detecta palabras engañosas. En https://ejemplo.com.seguridad-falsa.net/acceso, el dominio es seguridad-falsa.net, no ejemplo.com. El nombre de la entidad aparece delante para dar una falsa impresión de legitimidad.
3. No te fíes solo del candado. HTTPS indica que la conexión está cifrada, pero una página fraudulenta también puede utilizarlo.
4. Busca cambios sutiles. Una letra sustituida, un guion adicional o caracteres visualmente parecidos pueden hacer que un dominio falso parezca familiar.
5. Desconfía de destinos ocultos. Los enlaces acortados y los códigos QR no muestran a simple vista adónde llevan. Si no puedes comprobarlo con seguridad, usa tu ruta habitual.

La estructura de los dominios puede ser más compleja en algunas terminaciones. Además, un sitio legítimo podría alojar contenido malicioso o redirigir a otra página. Por eso, ante una solicitud sensible, es preferible entrar mediante la aplicación oficial, un marcador guardado o una dirección conocida.

Si usas un servicio de análisis de enlaces, no le envíes direcciones que contengan datos personales o códigos privados: podrían quedar expuestos al servicio. Un resultado sin alertas tampoco demuestra que el enlace sea seguro.

Ejemplo: el aviso de entrega pendiente

Recibes un correo que afirma que un paquete no puede entregarse hasta que pagues una pequeña tasa. El botón dice «Confirmar entrega», pero al revisar el destino observas que el dominio no coincide con el de la empresa de transporte.

El importe reducido puede hacer que la petición parezca poco importante; sin embargo, la página podría pedir los datos completos de tu tarjeta. Comprueba primero si esperas un envío y consulta su estado desde la aplicación o la web oficial de la empresa, sin utilizar el enlace ni el teléfono del correo.

Qué hacer con adjuntos y solicitudes de pago

Un documento puede servir de señuelo para que habilites funciones peligrosas, instales un programa o introduzcas credenciales. No abras adjuntos inesperados solo porque parezcan venir de un contacto conocido. Confirma primero que esa persona los envió y esperaba compartirlos contigo.

Desconfía si el archivo pide activar macros, desactivar protecciones o instalar herramientas para ver su contenido. Las macros son instrucciones que automatizan tareas en algunos documentos, pero también pueden emplearse con fines maliciosos. Si no esperabas el archivo, no sigas esas indicaciones y consulta al supuesto remitente por un canal independiente.

Ejemplo: la factura y la cuenta bancaria nueva

Un proveedor habitual envía una factura y afirma que ha cambiado su cuenta bancaria. El mensaje llega dentro de una conversación conocida, pero solicita pagar con urgencia a un número distinto del usado antes.

Aunque el correo parezca auténtico, la cuenta del proveedor podría haber sido comprometida. No confirmes el cambio respondiendo al mismo hilo: llama a tu contacto utilizando un número que ya tuvieras registrado y verifica los datos antes de transferir fondos. Si la solicitud es falsa, avisa también al proveedor para que revise su cuenta.

Pasos para verificar y reportar un mensaje

Cuando dudes de un correo, sigue esta rutina:

1. Detente. No pulses enlaces, no abras adjuntos y no respondas con información personal.
2. Comprueba el contexto. Pregúntate si esperabas el mensaje y si la petición encaja con tus operaciones habituales.
3. Verifica por otra vía. Entra en la aplicación oficial o contacta con la persona mediante un canal conocido.
4. Repórtalo. Utiliza la opción de denunciar phishing de tu proveedor de correo, si está disponible. En el trabajo, sigue el procedimiento interno y avisa al equipo de seguridad.
5. Elimínalo cuando corresponda. Sigue primero las instrucciones de tu organización si necesita conservarlo para investigarlo.

No reenvíes el mensaje a compañeros como advertencia sin seguir el procedimiento establecido: podrías aumentar la exposición. Si necesitas avisar a alguien, describe el engaño sin compartir enlaces activos ni adjuntos.

Qué hacer si ya has pulsado o facilitado datos

La respuesta depende de lo ocurrido. Abrir un enlace no significa necesariamente que hayas entregado una contraseña o instalado algo, pero conviene evaluar lo sucedido y actuar pronto.

Si solo abriste la página

Ciérrala sin introducir información ni descargar archivos. No aceptes permisos ni instales extensiones. Si se descargó o ejecutó algo, informa a soporte si es un dispositivo de trabajo y sigue sus indicaciones. En uno personal, utiliza herramientas de seguridad de confianza para revisarlo.

Si introdujiste una contraseña o un código

Entra por la aplicación oficial o escribiendo la dirección conocida y cambia inmediatamente la contraseña de la cuenta afectada. Si la reutilizabas, cámbiala también en los demás servicios. Revisa las sesiones activas y cierra las que no reconozcas; comprueba además los métodos de recuperación y, en el correo, las reglas de reenvío o filtros desconocidos.

Por ejemplo, si introdujiste la contraseña de tu correo en una página falsa, no basta con cambiarla: un atacante podría haber configurado un reenvío para seguir recibiendo copias de tus mensajes. Revisa esa configuración y elimina las reglas que no hayas creado.

Si compartiste un código o aprobaste una solicitud de acceso, avisa al proveedor o al equipo de seguridad: el atacante podría haber iniciado sesión. Activa la autenticación multifactor si aún no la usas. Cuando estén disponibles, una llave de seguridad o una clave de acceso vinculada al sitio pueden ofrecer mayor resistencia al phishing que los códigos introducidos manualmente.

Si entregaste datos financieros o ejecutaste un archivo

Contacta cuanto antes con tu banco o proveedor de pagos por un canal oficial y consulta las medidas necesarias. Si ejecutaste un archivo sospechoso, deja de usar el equipo para operaciones sensibles. En el trabajo, avisa inmediatamente y sigue las instrucciones de aislamiento y revisión; no borres archivos ni reinstales el sistema por tu cuenta.

Conserva los datos relevantes del incidente y solicita ayuda al servicio afectado. La rapidez importa, pero también seguir un procedimiento que permita investigar y recuperar el acceso.

Conclusión

Para detectar correos de phishing, revisa el contexto y el remitente, examina los destinos sin abrirlos y confirma las solicitudes sensibles por una vía independiente. Un logotipo, un candado o una dirección conocida no son pruebas suficientes por sí solos.

La próxima vez que un mensaje te presione para actuar, detente y accede al servicio por tu ruta habitual. Ese hábito te ayudará a evitar enlaces fraudulentos y a tomar decisiones con más criterio.