Cómo saber si un correo es phishing: 8 señales y qué hacer

El phishing es un fraude en el que alguien se hace pasar por tu banco, una tienda, una empresa de paquetería o la Administración para que pulses un enlace, abras un archivo o entregues tus contraseñas. El correo es su canal clásico, y los mensajes cada vez están mejor escritos, así que conviene fijarse en señales concretas y no solo en las faltas de ortografía.

8 señales de alarma

1. El remitente real no cuadra. El nombre que ves («Banco Santander», «Agencia Tributaria») lo puede escribir cualquiera. Lo que cuenta es la dirección que aparece entre < y >: un dominio raro (soporte-banco-seguro.xyz) o una cuenta gratuita (@gmail.com) delatan el engaño.
2. Urgencia o amenaza. «Su cuenta será bloqueada en 24 horas», «último aviso antes de la sanción».
3. Te piden datos que nunca se piden por correo: contraseñas, el PIN de la tarjeta, códigos de verificación.
4. Enlaces que no llevan a donde dicen. El texto dice www.mibanco.es, pero el destino es otro.
5. Adjuntos inesperados, sobre todo comprimidos (.zip, .rar), documentos de Office que piden «habilitar contenido» o archivos .html, .iso o .exe.
6. Saludo genérico («Estimado cliente») en algo que debería ir a tu nombre.
7. Premios, reembolsos o herencias que no esperabas.
8. Pagos pequeños para «liberar un paquete» o «actualizar la suscripción»: buscan los datos de tu tarjeta.

Ninguna señal por sí sola lo demuestra, pero dos o tres juntas son motivo suficiente para no fiarte.

Comprueba sin pulsar

• El enlace: en el ordenador, pasa el ratón por encima sin hacer clic y mira la dirección real en la esquina inferior del navegador o del programa de correo. En el móvil, mantén pulsado el enlace para ver la dirección sin abrirla.
• El dominio: lee la dirección de derecha a izquierda hasta la primera barra. En https://mibanco.es.verificar-acceso.com/login el dominio real es verificar-acceso.com, no mibanco.es.
• El remitente: en Gmail, la flecha junto al remitente muestra la dirección completa y si el mensaje viene «enviado por» otro dominio. En Outlook, pasa el ratón por el nombre.
• El archivo adjunto: si tienes dudas, no lo abras. Puedes analizarlo antes como explicamos en cómo comprobar si un archivo tiene virus.

Ante la duda, no uses nada del correo: abre tú la aplicación oficial o escribe la dirección de la web en el navegador, y comprueba allí si de verdad hay algún aviso.

Si has pulsado el enlace

Abrir la página es menos grave que introducir datos. Cierra la pestaña, no descargues nada y, si se ha descargado un archivo, bórralo sin abrirlo. Un análisis con el antivirus de Windows no está de más.

Si has escrito tu contraseña

1. Cámbiala de inmediato desde la web o aplicación oficial, y en cualquier otro servicio donde usaras la misma.
2. Activa la verificación en dos pasos.
3. Revisa las sesiones abiertas y los dispositivos conectados y cierra los que no reconozcas.
4. Si era tu correo, revisa también si han creado reglas de reenvío automático: es un truco habitual para seguir leyendo tus mensajes.

Si ya no puedes entrar en la cuenta, sigue la guía de cuenta robada.

Si has dado datos bancarios

Llama inmediatamente al teléfono oficial de tu banco para bloquear la tarjeta o las operaciones, guarda el correo como prueba y presenta denuncia ante la Policía Nacional o la Guardia Civil.

Si has abierto un adjunto

Desconecta el equipo de internet (quita el cable o desactiva el wifi), pasa un análisis completo con el antivirus y, desde otro dispositivo, cambia las contraseñas importantes. Si el equipo es del trabajo, avisa al departamento de informática enseguida: cuanto antes lo sepan, menos daño.

Repórtalo y pide ayuda

• Marca el mensaje como phishing o correo no deseado en tu programa de correo: ayuda a que lo bloqueen para otros.
• INCIBE atiende gratis y de forma confidencial en la Línea de Ayuda en Ciberseguridad 017.
• Si el fraude usa por SMS el nombre de tu banco o de una empresa de paquetería, la guía de SMS fraudulentos cubre ese caso.

La mejor defensa

Las contraseñas únicas guardadas en un gestor, la verificación en dos pasos y la costumbre de ir tú a la web oficial en lugar de seguir enlaces evitan la gran mayoría de estos fraudes. Un gestor de contraseñas, además, no rellena tus datos en una web falsa, porque no reconoce el dominio.