Cómo reconocer un correo de phishing y qué hacer si ya pulsaste

En pocas palabras: Un correo de phishing suplanta a alguien de confianza para robar credenciales, datos de pago o instalar malware; se delata por la urgencia, un remitente que no cuadra, enlaces engañosos y peticiones inusuales. Si ya pulsaste, desconecta el equipo, cambia la contraseña desde un dispositivo seguro, revisa el doble factor y avisa a tu banco y a tu equipo de informática.

El phishing consiste en suplantar a una entidad de confianza (un banco, un proveedor, un compañero, una plataforma conocida) para que la víctima entregue credenciales, datos de pago o instale software malicioso. Es una de las técnicas más extendidas precisamente porque ataca a las personas, no a los sistemas.

Señales de alerta

• Sensación de urgencia o amenaza: «su cuenta será bloqueada en 24 horas», «pago pendiente inmediato». El objetivo es que no pienses.
• Remitente que no cuadra: el nombre parece legítimo, pero la dirección real pertenece a otro dominio o tiene letras cambiadas (por ejemplo, una «rn» en lugar de una «m»).
• Enlaces engañosos: el texto dice una cosa y la dirección real, que ves al pasar el cursor por encima sin pulsar, es otra.
• Peticiones inusuales: claves, códigos de verificación, cambios de cuenta bancaria en una factura o compras de tarjetas regalo.
• Adjuntos inesperados: especialmente archivos comprimidos, documentos que piden «habilitar macros» o facturas que no esperabas.
• Errores de redacción o tono extraño: cada vez menos frecuentes, así que su ausencia no es garantía de que el mensaje sea legítimo.

Buenas costumbres para protegerte

1. No pulses enlaces de mensajes que piden acciones sensibles: entra tú mismo escribiendo la dirección del servicio o desde tu marcador.
2. Verifica por otro canal (una llamada a un número que ya conoces) cualquier solicitud de pago o de cambio de datos bancarios.
3. Activa la autenticación de doble factor: si te roban la contraseña, no bastará por sí sola.
4. Mantén el navegador y el sistema actualizados y usa un gestor de contraseñas, que no rellenará tus credenciales en una web falsa porque no reconoce el dominio.

Si ya has pulsado o introducido tus datos

Actuar rápido reduce mucho el daño. Sigue estos pasos:

1. Desconecta el equipo de la red si descargaste o abriste un archivo sospechoso.
2. Cambia de inmediato la contraseña de la cuenta afectada, desde un dispositivo que sepas que es seguro, y de cualquier otra donde usaras la misma.
3. Activa o revisa el doble factor y cierra todas las sesiones abiertas de la cuenta.
4. Avisa a tu entidad bancaria si introdujiste datos de tarjeta o de acceso a la banca, para que bloqueen operaciones.
5. Informa al responsable de informática o al soporte de tu empresa: es probable que el mismo mensaje haya llegado a más personas.
6. Analiza el equipo con una herramienta de seguridad actualizada y revisa reglas de reenvío automático en el correo, que los atacantes suelen crear.
7. Vigila movimientos en tus cuentas durante las semanas siguientes.

Una cultura sin culpables

En una organización, lo más importante es que las personas comuniquen el error en cuanto lo detectan. Si reconocerlo tiene consecuencias negativas, la gente lo ocultará y el ataque avanzará sin control. Las simulaciones periódicas de phishing y una formación breve y práctica son mucho más eficaces que las advertencias genéricas.

Preguntas frecuentes

¿Cómo sé si un enlace es falso sin pulsarlo?

Pasa el cursor por encima (o mantén pulsado en el móvil) para ver la dirección real y comprueba que el dominio es exactamente el del servicio. Ante la duda, escribe tú mismo la dirección en el navegador.

¿Qué hago si he introducido mi contraseña en una web falsa?

Cámbiala de inmediato desde un dispositivo seguro, también en cualquier otro servicio donde la reutilizaras, activa el doble factor y cierra las sesiones abiertas. Si eran datos bancarios, avisa a tu banco.

¿Dónde se puede denunciar un intento de phishing?

En España puedes reportarlo a INCIBE (incidencias@incibe.es o el teléfono 017) y, si hubo pérdidas, denunciarlo ante la Policía Nacional o la Guardia Civil. Avisa también a la entidad suplantada.

Fuentes y lecturas recomendadas

• Phishing: how to spot and report scam emails — National Cyber Security Centre (Reino Unido).
• Recognize and Report Phishing — CISA.
• Ciberseguridad para empresas — INCIBE.

¿Quieres aplicarlo en tu empresa? Conoce nuestro servicio de Seguridad Cibernética o cuéntanos tu caso.