Qué es el phishing y cómo detectarlo: guía práctica

Una gran parte de los incidentes de seguridad empieza igual: con un mensaje que parece legítimo y no lo es. El phishing no explota fallos técnicos, sino prisas y confianza, y por eso funciona tanto contra particulares como contra empresas con buenos sistemas de protección. La buena noticia es que, con unos cuantos reflejos aprendidos, la inmensa mayoría de los intentos se detectan a simple vista. Esta guía explica qué es, cómo reconocerlo, qué hacer ante la duda y cómo reaccionar si ya has picado.

Qué es exactamente el phishing

Es una suplantación: alguien se hace pasar por tu banco, por Correos, por la Agencia Tributaria, por Microsoft o incluso por tu jefe para que hagas clic en un enlace, descargues un adjunto o entregues tus contraseñas. Además del correo electrónico clásico, existen variantes que conviene conocer:

Smishing: el engaño llega por SMS o mensajería (WhatsApp, Telegram). Es habitual en falsos avisos de paquetes, multas o bancos.
Vishing: la estafa se hace por llamada telefónica, a menudo con alguien que dice ser del servicio de seguridad de tu banco.
Spear phishing: el mensaje está personalizado con tus datos (tu nombre, tu empresa, tu cargo) y es mucho más convincente.
Fraude del CEO o compromiso del correo empresarial: alguien se hace pasar por un directivo o un proveedor y pide una transferencia urgente o un cambio de número de cuenta.
Quishing: el enlace malicioso se esconde en un código QR, que evita los filtros de enlaces del correo.

Las 7 señales que delatan un mensaje falso

Urgencia artificial: «su cuenta será bloqueada en 24 horas», «paquete retenido, pague 1,99 €». El miedo y la prisa son su herramienta principal, porque cuando te apuras, piensas menos.
El remitente real no cuadra: el nombre visible puede decir «Banco Santander», pero mira la dirección completa: aviso@santander-clientes-verificacion.com no es tu banco. Fíjate también en dominios casi idénticos al original, como paypa1.com o micros0ft.com.
El enlace no va donde dice: pasa el ratón por encima (sin hacer clic) o mantén pulsado en el móvil para ver la URL real. Si es un acortador o un dominio raro, desconfía.
Pide lo que nunca te pedirían: ningún banco te pide la clave completa, el PIN o un código recibido por SMS por correo o teléfono. Nunca.
Adjuntos inesperados: facturas que no esperas, currículums que no pediste, archivos .zip, .html, .iso o documentos que te piden «habilitar contenido»: no los abras.
Saludo genérico: «Estimado cliente» en lugar de tu nombre, en un mensaje que supuestamente viene de un servicio donde estás registrado.
Algo que parece demasiado bueno: premios, devoluciones de impuestos inesperadas, ofertas imposibles. Si no has participado en nada, no puedes haber ganado nada.

Un apunte: antes los errores de ortografía eran una señal fiable, pero hoy muchos mensajes falsos están perfectamente redactados, sobre todo desde que se pueden generar textos con herramientas automáticas. No confíes solo en que «se vea profesional».

La regla de oro: entra tú, no por su puerta

Ante la más mínima duda, no uses el enlace del mensaje. Abre el navegador y escribe tú la dirección de tu banco, o abre su aplicación oficial. Si el aviso era real, aparecerá ahí dentro. Si te llaman diciendo que son de tu banco, cuelga y llama tú al número que aparece en tu tarjeta o en la web oficial. Este único hábito te protege de la mayoría de los intentos de phishing.

Cómo comprobar un enlace o un adjunto sospechoso

Mira la URL completa: lo importante es el dominio justo antes del primer /. En https://www.tubanco.com.verificar-cuenta.xyz/login el dominio real es verificar-cuenta.xyz, no tubanco.com.
El candado no garantiza nada: un sitio fraudulento también puede tener HTTPS. El candado solo indica que la conexión está cifrada, no que la web sea de confianza.
Analiza el enlace sin abrirlo: servicios como VirusTotal permiten pegar una URL o subir un archivo para que lo comprueben decenas de motores de seguridad. No subas documentos que contengan datos personales.
Revisa la cabecera del correo: en Outlook, Archivo → Propiedades muestra las cabeceras. Una línea Authentication-Results con spf=pass dkim=pass dmarc=pass es buena señal técnica, pero no concluyente: un atacante puede registrar un dominio parecido y configurarlo correctamente. Lo decisivo sigue siendo que el dominio sea el que esperas.

Casos típicos que conviene reconocer

Paquetería: un SMS o correo dice que tu paquete está retenido y te pide pagar una pequeña tasa de aduanas o de reenvío en un enlace.
Hacienda y multas: falsos avisos de devolución o de sanción de tráfico que piden tus datos bancarios.
Falso soporte de Microsoft 365 o Google: «tu contraseña caduca hoy» o «tu buzón está lleno» con un botón para iniciar sesión en una página falsa.
«Hijo en apuros»: un mensaje desde un número desconocido en el que alguien dice ser un familiar con un móvil nuevo y necesita dinero con urgencia.
Cambio de IBAN: un supuesto proveedor avisa de que ha cambiado de cuenta bancaria y pide que los próximos pagos se hagan a la nueva.

Capas de protección que conviene tener

Verificación en dos pasos (2FA) en correo, banca y redes sociales: aunque roben tu contraseña, no podrán entrar con ella sola. Ten en cuenta que los códigos por SMS o de una app pueden ser interceptados por páginas falsas que actúan en tiempo real; las passkeys y las llaves de seguridad FIDO2 no pueden ser engañadas de ese modo, porque comprueban el dominio real.
Un gestor de contraseñas: además de recordarlas, no rellenará tus datos en una web falsa porque el dominio no coincide; es un detector de phishing automático. Tienes los criterios para elegir y usar uno en nuestra guía para crear contraseñas seguras.
Sistema y navegador actualizados: los filtros anti-phishing de Chrome, Edge y Firefox mejoran con cada versión.
Verificación por otro canal: ante cualquier petición de dinero o de datos sensibles, aunque parezca venir de alguien conocido, confirma por una vía distinta (una llamada a un número que ya tengas).

Si gestionas una empresa o un equipo

Configura SPF, DKIM y DMARC en el dominio de tu empresa para que nadie pueda enviar correos haciéndose pasar por ti con facilidad.
Activa la autenticación multifactor para todos los usuarios, empezando por los administradores. Si además tienes servidores accesibles, repasa cómo proteger el Escritorio Remoto (RDP) en Windows Server, uno de los destinos preferidos tras el robo de credenciales.
Bloquea las macros de documentos descargados de Internet y filtra los adjuntos ejecutables.
Facilita un botón o una dirección para informar de mensajes sospechosos y comunica a los empleados que reportar nunca será un problema, aunque sea una falsa alarma.
Establece una norma sencilla: cualquier cambio de cuenta bancaria o transferencia inusual se confirma por teléfono con una persona conocida.
Organiza la bandeja de entrada para que lo sospechoso destaque: tienes ideas en cómo organizar la bandeja de entrada de Outlook con reglas.

¿Y si ya he picado?

No te culpes y actúa rápido. Le pasa a profesionales de seguridad; lo importante es el tiempo de reacción.
Cambia inmediatamente la contraseña de esa cuenta (y de cualquier otra donde la reutilizaras), desde un dispositivo de confianza.
Cierra todas las sesiones activas y revisa los dispositivos conectados a la cuenta. En el correo, comprueba que no se hayan creado reglas de reenvío automático ni aplicaciones conectadas que no reconozcas: es lo primero que hace un atacante para seguir leyendo tus mensajes.
Activa la verificación en dos pasos si no la tenías.
Si diste datos bancarios, llama a tu banco: pueden bloquear la tarjeta y tramitar la reclamación de cargos.
Si abriste un adjunto, analiza el equipo con tu antivirus y desconéctalo de la red si notas comportamientos extraños.
Avisa a tu empresa o a tus contactos si el atacante pudo acceder a tu correo, porque podría escribirles en tu nombre.
En España, puedes consultar gratis con el INCIBE en el teléfono 017 (Tu Ayuda en Ciberseguridad) y denunciar ante la Policía Nacional o la Guardia Civil.

Preguntas frecuentes

¿Puedo ser hackeado solo por abrir un correo?

Es muy poco probable con un cliente de correo y un sistema actualizados. El riesgo está en lo que haces después: hacer clic en un enlace, descargar un adjunto o introducir tus datos. Abrir y leer el mensaje, sin interactuar con nada, rara vez es peligroso, aunque algunas imágenes pueden confirmar al remitente que tu dirección existe.

¿Qué hago con un SMS o un correo sospechoso?

No respondas ni pulses nada. Reenvíalo, si procede, al servicio de reporte de la entidad suplantada o de tu empresa, y bórralo. Si tienes dudas de que sea real, comprueba el aviso entrando por tu cuenta en la web o en la aplicación oficial.

¿Es seguro un enlace de una persona conocida?

No siempre: si la cuenta de esa persona ha sido comprometida, el mensaje saldrá de su dirección real. Si el mensaje es extraño o fuera de lo habitual para esa persona, confírmalo por otro medio.

Conclusión

El phishing funciona porque llega en el momento en que estás distraído. No hace falta ser experto: basta con desconfiar de la urgencia, comprobar el remitente y acostumbrarte a entrar siempre por la puerta oficial. Añade verificación en dos pasos y un gestor de contraseñas y habrás eliminado casi todo el riesgo. Comparte esta guía con esa persona de tu familia o tu equipo que hace clic en todo: se la juega a diario.

Qué es el phishing y cómo detectarlo: guía para no caer en la trampa