¿Cómo identificar un correo de phishing? Señales y pasos para actuar
¿Cómo identificar un correo de phishing? La clave está en revisar varias señales antes de hacer clic, responder o descargar un archivo. Estos mensajes suelen imitar a bancos, empresas de mensajería, plataformas de trabajo o servicios conocidos para que la persona entregue contraseñas, datos bancarios o códigos de verificación. Algunos son burdos; otros están escritos con cuidado y usan información real para resultar convincentes. Por eso, una sola pista no siempre basta: conviene valorar el remitente, el contenido y la acción que solicita en conjunto.
La regla práctica es sencilla: si un correo introduce urgencia y pide una acción sensible, detén el proceso y verifica la solicitud por otro canal. A continuación se explica qué comprobar, cómo distinguir una alerta real de un intento de fraude y qué hacer si ya se interactuó con el mensaje.
Empieza por la petición: ¿qué quiere que hagas?
Antes de fijarte en el diseño o en el logotipo, identifica la acción que el mensaje intenta provocar. Muchos ataques buscan que el destinatario inicie sesión en una página falsa, pague una factura, comparta información confidencial o abra un documento que contiene software malicioso. La pregunta más útil no es solo quién parece enviar el correo, sino por qué necesita que actúes de inmediato y a través de ese mensaje.
Desconfía especialmente de solicitudes inesperadas para confirmar una contraseña, cambiar datos bancarios, facilitar un código de un solo uso, aprobar una notificación de acceso o descargar un archivo. Un código de verificación es equivalente a una llave temporal: compartirlo puede permitir que otra persona complete el inicio de sesión aunque no conozca la contraseña.
La presión es otra pista frecuente. Frases como «tu cuenta se cerrará en unas horas», «el paquete será devuelto hoy» o «el pago está bloqueado» buscan reducir el tiempo para pensar. También pueden amenazar con una multa, una suspensión o una pérdida económica. La urgencia no demuestra por sí sola que el mensaje sea fraudulento, pero sí justifica comprobarlo antes de obedecer.
Revisa el remitente y el destino real de los enlaces
El nombre visible del remitente puede decir «Soporte de tu banco», aunque la dirección completa pertenezca a un dominio ajeno. Abre los detalles del remitente y revisa lo que aparece después de la arroba. Un cambio pequeño puede pasar inadvertido: una letra sustituida por otra, un guion añadido o una extensión diferente. Por ejemplo, una dirección que termina en banco-ayuda.example no es necesariamente un dominio oficial, aunque incluya la palabra del banco.
También puede haber cuentas legítimas comprometidas. Por eso, una dirección conocida no garantiza que el mensaje sea seguro, especialmente si el contenido se sale de la rutina, cambia las instrucciones de pago o pide información que esa persona no suele solicitar. En una empresa, un correo aparentemente enviado por un directivo para modificar una cuenta bancaria debe confirmarse mediante una llamada a un número ya conocido, no respondiendo al mismo hilo.
Los enlaces requieren la misma cautela. En un ordenador, sitúa el cursor encima sin hacer clic para observar la dirección de destino; en un móvil, mantén pulsado el enlace solo si el sistema muestra una vista previa segura. Comprueba el dominio principal y no te fíes de que la URL empiece por HTTPS: el cifrado protege la conexión, pero no demuestra que el sitio pertenezca a una organización legítima. Una página falsa también puede tener HTTPS.
Si el enlace conduce a una dirección acortada, una página con una cadena extraña o un dominio que no coincide con el servicio, no continúes. Para consultar una cuenta, abre la aplicación oficial o escribe la dirección del sitio en el navegador. Así evitas que un enlace engañoso controle a qué página llegas.
Señales en el texto, los archivos y el contexto
Los errores ortográficos y las traducciones poco naturales pueden delatar un intento de phishing, pero no conviene depender de ellos. Las campañas dirigidas a una empresa o a una persona concreta pueden estar redactadas sin faltas y mencionar un proyecto, un proveedor o un cargo real. A veces el atacante obtiene esos datos de redes profesionales, filtraciones previas o conversaciones comprometidas.
Evalúa si el mensaje encaja con lo que esperabas. Una factura que no corresponde a ninguna compra, una notificación de entrega sin pedido pendiente o una invitación a compartir un archivo que nadie había mencionado merecen verificación. También resulta sospechoso que el correo use un saludo demasiado general para una relación que normalmente es personalizada, aunque esa característica, por sí sola, tampoco confirma un fraude.
Los archivos adjuntos pueden presentarse como facturas, currículos, comprobantes o documentos con información urgente. Ten cuidado con archivos ejecutables y con documentos que piden habilitar macros o contenido para poder verlos. Un archivo PDF tampoco es automáticamente inocuo: puede incluir enlaces a una página falsa. No abras adjuntos inesperados solo porque tengan un nombre profesional o parezcan venir de una persona conocida.
Los detalles técnicos de autenticación, como SPF, DKIM y DMARC, ayudan a los sistemas de correo a evaluar si un mensaje está autorizado por el dominio que dice representar. En cuentas empresariales, un administrador puede revisar los resultados en las cabeceras del correo y configurar políticas para reducir la suplantación. Para un usuario, esos indicadores no sustituyen la comprobación del contenido: un mensaje puede superar algunas validaciones y seguir siendo malicioso, por ejemplo, si se envía desde una cuenta legítima comprometida.
Un método de comprobación antes de responder
Cuando un correo te genere dudas, sigue una secuencia breve y evita interactuar con sus elementos mientras la verificas:
- Detén la acción. No respondas, no abras el adjunto y no pulses botones. Si el mensaje afirma que hay un plazo, tómate igualmente unos minutos para validar la información.
- Comprueba la dirección completa. Revisa el dominio del remitente y busca diferencias sutiles. No confundas el nombre mostrado con la dirección real.
- Examina el destino. Inspecciona el enlace sin abrirlo. Si necesitas entrar en una cuenta, utiliza la aplicación oficial o escribe manualmente una dirección que ya conozcas.
- Verifica por un canal independiente. Contacta con la empresa, el banco o el compañero usando un teléfono, una web o un chat obtenido de una fuente confiable, no los datos incluidos en el mensaje sospechoso.
- Informa y elimina según el procedimiento. En una organización, utiliza la función de reporte de phishing o consulta al equipo de soporte. No reenvíes el correo a compañeros para preguntar si parece real, porque podrías propagar el enlace o el archivo.
La verificación independiente es especialmente importante ante cambios de cuenta bancaria, solicitudes de tarjetas regalo y pagos urgentes. En estos casos, no basta con contestar al correo: un atacante puede controlar la conversación. La llamada debe hacerse a un número registrado previamente en el directorio de la empresa o en documentación fiable.
Qué hacer si ya hiciste clic o compartiste datos
Si abriste un enlace pero no escribiste información ni descargaste nada, cierra la página y no vuelvas a entrar desde ese enlace. Si introdujiste una contraseña, accede al servicio escribiendo su dirección oficial y cámbiala de inmediato. Si esa clave se reutiliza en otros sitios, cámbiala también allí, empezando por el correo electrónico y las cuentas financieras. Usa contraseñas distintas y, cuando esté disponible, activa la autenticación multifactor.
Si compartiste un código de verificación, informa cuanto antes al servicio afectado y revisa las sesiones activas, los métodos de recuperación y los dispositivos autorizados. Cierra las sesiones que no reconozcas. Cambiar la contraseña ayuda, pero no siempre invalida todos los accesos ya establecidos, por lo que conviene revisar la actividad de la cuenta.
Si descargaste o abriste un archivo sospechoso, desconecta el dispositivo de la red si observas actividad extraña y contacta con el área de soporte o seguridad. No intentes borrar pruebas ni instalar herramientas recomendadas por ventanas emergentes. En un equipo de trabajo, reporta el incidente rápidamente aunque no estés seguro de que haya ocurrido un daño: los registros pueden ayudar a bloquear el ataque en otros dispositivos.
Si facilitaste datos de pago, llama al banco mediante el número que aparece en la tarjeta o en su aplicación oficial. Solicita que revisen las operaciones y sigue sus indicaciones para bloquear el medio de pago si corresponde. Guarda el correo y anota qué hiciste y a qué hora; esa información facilita la investigación y la respuesta.
Reducir el riesgo sin confiarse de una sola señal
La prevención no consiste en aprender una lista fija de palabras sospechosas. Los mensajes cambian y los delincuentes adaptan el tono, el formato y el momento del envío. Es más eficaz crear hábitos: verificar solicitudes sensibles por un segundo canal, usar contraseñas únicas, mantener actualizados los dispositivos y activar la autenticación multifactor. En una empresa, las simulaciones y la formación deben enseñar a reportar dudas sin culpabilizar a quien cometió un error.
También conviene conocer los canales oficiales de los servicios que se utilizan. Si una plataforma permite revisar notificaciones dentro de la aplicación, consulta allí una alerta recibida por correo. Una factura, un acceso bloqueado o una entrega pendiente normalmente se pueden comprobar sin seguir el enlace del mensaje. La ausencia de un aviso en el canal oficial no siempre prueba que el correo sea falso, pero obliga a investigar antes de actuar.
Al valorar cómo identificar un correo de phishing, considera el conjunto: petición inusual, urgencia, identidad del remitente, destino del enlace, archivo adjunto y contexto. Ninguna señal aislada es infalible. Si algo no encaja, no respondas ni compartas datos; verifica la solicitud desde un canal independiente y repórtala. Esa pausa breve puede evitar la pérdida de una cuenta, dinero o información de trabajo.
