Identificar un enlace malicioso antes de hacer clic

Un clic. A veces es todo lo que se necesita para caer en una trampa: un enlace recibido por correo electrónico, SMS o mensaje, que parece inofensivo pero lleva a un sitio web fraudulento diseñado para robar sus contraseñas, sus datos bancarios o infectar su dispositivo. Los enlaces engañosos son uno de las armas favoritas de los estafadores, ya que explotan nuestro reflejo de hacer clic sin pensar. La buena noticia: con algunos reflejos simples, uno aprende a reconocer un enlace sospechoso ANTES de hacer clic y a protegerse. No se trata de convertirse en experto, sino de adquirir los buenos automatismos de precaución. Veamos cómo reconocer un enlace engañoso, las señales que deben alertar y los buenos gestos para no dejarse engañar.

¿Qué es un enlace engañoso y por qué es peligroso

Comprender el peligro ayuda a desconfiar; veamos qué es un enlace engañoso. El PRINCIPIO: un enlace engañoso es un enlace (en un correo electrónico, SMS, mensaje, publicidad) que le lleva a un sitio FRAUDULENTO o desencadena una acción maliciosa; parece inofensivo o legítimo, pero esconde una trampa; el clic es el cebo. Lo que BUSCA: robar sus identificadores (contraseñas), sus datos bancarios, sus datos personales; o instalar un software malicioso en su dispositivo; o hacerle pagar un servicio falso; el robo, en diversas formas. El PHISHING (suplantación de identidad): la técnica más común; un enlace lleva a un SITIO FALSO que imita uno verdadero (banco, servicio, administración); allí «introduce» sus identificadores, que son robados; la imitación engaña; un fraude extendido (volveremos sobre ello). El PRETEXTO: el enlace va acompañado de un pretexto para incitarle a hacer clic; «paquete a recoger», «cuenta bloqueada», «reembolso», «ganancia», «factura»; un escenario creíble o alarmante; el pretexto manipula. La URGENCIA manipuladora: a menudo, el mensaje crea una URGENCIA («actúe en 24 horas», «su cuenta será cerrada»); la urgencia empuja a hacer clic sin reflexionar; es una señal de alerta (volveremos sobre ello); la precipitación es la enemiga. Por qué CANALES: enlaces engañosos por CORREO ELECTRÓNICO (phishing), SMS (smishing), mensajes en redes/mensajerías, publicidades, resultados de búsqueda falsos, códigos QR; en todas partes donde hay un enlace; multi-canales. Por qué FUNCIONA: explota nuestro reflejo de hacer clic, nuestra confianza, nuestro miedo (cuenta bloqueada) o nuestro deseo (ganancia, buena oferta); la manipulación psicológica; hacemos clic antes de reflexionar; de ahí la importancia de los reflejos. Un clic puede BASTAR: a veces, hacer clic lleva solo a un sitio falso (peligro si introduce información); a veces, el clic desencadena una descarga maliciosa; el peligro varía, pero la precaución se impone antes de todo clic. A QUIENES ATAQUE: nadie está a salvo; los estafadores envían masivamente, imitan servicios conocidos; incluso los prudentes pueden ser sorprendidos; la vigilancia es para todos; no se crea inmunizado. La PREVENCIÓN por el reconocimiento: la mejor protección es RECONOCER un enlace sospechoso ANTES de hacer clic; algunas señales alertan; aprender a reconocerlas evita la trampa (volveremos sobre ello); el saber protege. ¿Para qué SIRVE entender?: saber que un enlace engañoso busca robar o infectar, mediante un pretexto y la urgencia, ayuda a mantenerse desconfiado y a reconocer las señales; la comprensión alimenta la vigilancia. La idea principal: un enlace engañoso es un enlace (recibido por correo electrónico, SMS, mensaje, o visto en publicidad) que, bajo una apariencia inofensiva o legítima, le lleva a un sitio FRAUDULENTO o desencadena una acción maliciosa: robar sus contraseñas y datos bancarios (la mayoría de las veces mediante el PHISHING — un sitio falso que imita uno verdadero donde introduciría sus identificadores), robar sus datos, o infectar su dispositivo. Estos enlaces van acompañados de un PRETEXTO creíble o alarmante («paquete a recoger», «cuenta bloqueada», «reembolso», «ganancia») y a menudo juegan con la URGENCIA para incitarle a hacer clic sin reflexionar. Explotan nuestro reflejo de hacer clic, nuestra confianza, nuestro miedo o nuestro deseo — y apuntan a todo el mundo, mediante envíos masivos. La mejor protección es saber RECONOCERLOS antes de hacer clic: algunos reflejos simples bastan. Comprender el mecanismo (pretexto + urgencia + robo) es el primer paso para no dejarse engañar.

Las señales que deben alertar

Varios señales permiten reconocer un enlace engañoso; aprenda a reconocerlas. La URGENCIA y la PRESIÓN: primera señal; un mensaje que crea la urgencia («actúe inmediatamente», «en 24 horas», «cuenta bloqueada») busca hacerle hacer clic sin reflexionar; la presión es sospechosa; desconfíe de la urgencia artificial. Un EXPEDIDOR dudoso: verifique el remitente (dirección de correo electrónico, número); una dirección extraña, un número desconocido, un nombre que imita mal un servicio verdadero; el remitente a menudo delata el fraude; mire quién envía. La DIRECCIÓN del enlace sospechosa: la señal clave; sin hacer clic, examine la dirección (URL) del enlace; una dirección extraña, con errores, un nombre de dominio extraño, que NO es el sitio web oficial verdadero; la dirección revela la trampa (volveremos sobre ello). Errores y un tono extraño: errores de ortografía, formulaciones torpes, tono extraño, traducción dudosa; los fraudes contienen a menudo errores; un servicio serio escribe correctamente; los errores alertan. Una solicitud INHABITUAL: un mensaje que pide «confirmar sus identificadores», «verificar sus datos bancarios», «hacer clic para desbloquear»; los servicios verdaderos no piden eso por enlace; la solicitud es sospechosa; desconfíe. Un mensaje INAESPERADO: un enlace recibido sin razón (un paquete que no espera, un reembolso no previsto, una ganancia en un juego no jugado); lo inesperado es sospechoso; ¿por qué recibiría eso? cuestione. Una oferta DEMASIADO BUENA: «usted ha ganado», «regalo», «oferta excepcional», «reembolso inesperado»; si es demasiado bueno, es falso; el cebo de la ganancia es una trampa clásica; desconfíe de las ofertas demasiado buenas. Un enlace ACORTADO o enmascarado: un enlace acortado (que oculta la dirección real) o un botón «haga clic aquí» sin ver a dónde lleva; la dirección oculta impide verificar; desconfíe de lo que enmascara el destino. Un saludo GENÉRICO: «Estimado cliente», «Hola» sin su nombre; un servicio verdadero a menudo lo conoce; lo impersonal puede delatar un envío masivo fraudulento; una pista entre otras. El CONTEXTO global: cruce las señales; un mensaje urgente + remitente dudoso + dirección extraña + solicitud de identificadores = fraude casi seguro; varias señales juntas confirman; mire el conjunto. En caso de DUDA: si algo le parece sospechoso (aunque no sepa qué), escuche esa duda; en caso de duda, no haga clic; su intuición es un buen guardián; la desconfianza protege. En resumen, las señales que deben alertar: la URGENCIA y la presión («actúe en 24 horas», «cuenta bloqueada»), un EXPEDIDOR dudoso (dirección o número extraño), una DIRECCIÓN de enlace sospechosa (la señal clave: no es el sitio web oficial verdadero), errores y un tono extraño, una SOLICITUD inusual (confirmar identificadores o datos bancarios), un mensaje INAESPERADO (paquete no esperado, ganancia no jugada), una oferta DEMASIADO BUENA, un enlace ACORTADO que enmascara su destino, un saludo genérico. Cruce estas señales (varias juntas confirman el fraude), y sobre todo, en caso de DUDA, no haga clic. Saber reconocer estas señales antes de hacer clic es su mejor protección; la urgencia, la dirección sospechosa y la solicitud de identificadores son las alertas mayores.

El reflejo clave: verificar la dirección del enlace ANTES de hacer clic, y nunca ceder a la urgencia. Ante un enlace, dos reflejos simples le protegen de la inmensa mayoría de las trampas. El primero, el más importante: VERIFICAR A DÓNDE LLEVA EL ENLACE antes de hacer clic. Un enlace muestra un texto (a menudo «haga clic aquí», o el nombre de un servicio), pero este texto puede ocultar un destino totalmente diferente: es precisamente la trampa. Antes de hacer clic, tome el hábito de mirar la DIRECCIÓN REAL (la URL) hacia la que apunta el enlace. ¿Cómo? En ordenador, basta con pasar el ratón por encima del enlace SIN hacer clic: la dirección real aparece (generalmente en la parte inferior de la pantalla o en una burbuja). En teléfono, puede presionar LARGAMENTE el enlace (sin soltar) para hacer aparecer una vista previa de la dirección, luego cancelar. Una vez que la dirección es visible, examínela atentamente: ¿corresponde REALMENTE al sitio web oficial esperado? Desconfíe de las direcciones que: contienen errores o caracteres extraños; imitan un nombre verdadero con una pequeña diferencia (una letra cambiada, una palabra añadida, una extensión inusual); no son el verdadero dominio oficial del servicio (el verdadero nombre de dominio es la parte principal de la dirección — aprenda a reconocerlo); son enlaces acortados que ocultan el verdadero destino. Si la dirección no corresponde exactamente al sitio web oficial que conoce, o si le parece extraña, NO HAGA CLIC. Este simple examen de la dirección desbarata una gran parte de los enlaces engañosos, ya que los estafadores no pueden usar la VERDADERA dirección de un servicio oficial (usan imitaciones). El segundo reflejo: nunca CEDER a la URGENCIA. Es el arma número uno de los estafadores: crean un sentimiento de urgencia y pánico para cortocircuitar su reflexión — «su cuenta será bloqueada», «actúe en 24 horas», «último aviso», «pago pendiente». Este sentimiento de urgencia empuja a hacer clic RÁPIDO, sin tomar el tiempo de verificar — es exactamente lo que quieren. El buen reflejo es lo contrario: cuando un mensaje le presiona para actuar inmediatamente, considere esta urgencia ella misma como una SEÑAL DE ALERTA, y tome precisamente su tiempo. Respire, no haga clic con precipitación. Los servicios verdaderos no le amenazan generalmente con consecuencias inmediatas mediante un enlace; la urgencia artificial es la marca de los fraudes. Y sobre todo, aplique la regla de oro que se desprende de todo esto: en caso de duda, NO HAGA CLIC en el enlace. En su lugar, verifique POR SÍ MISMO y por otro camino: si el mensaje afirma venir de su banco, de su operador o de un servicio, no use el enlace; abra usted mismo su navegador y escriba la dirección oficial del servicio (o use su aplicación oficial, o su número oficial), y verifique directamente si hay realmente un problema. Nueve de cada diez veces, no lo habrá: el mensaje era una trampa. Al combinar estos dos reflejos — verificar la dirección real antes de hacer clic, y nunca ceder a la urgencia (verificar por sí mismo por otro camino en caso de duda) —, desbarata la casi totalidad de los enlaces engañosos. Estos automatismos no requieren más que unos segundos, y marcan toda la diferencia entre dejarse engañar y mantenerse a salvo.

Los buenos gestos para no dejarse engañar

Más allá del reconocimiento, aquí están los buenos gestos para protegerse de los enlaces engañosos. NO HACER CLIC en caso de duda: la regla de oro; al menor duda, no haga clic; un enlace no clicado no puede engañarle; la abstención es la protección más segura; en caso de duda, absténgase. VERIFICAR por OTRO camino: si un mensaje afirma venir de un servicio (banco, operador), no use su enlace; vaya usted mismo al sitio web oficial (escriba la dirección) o a la aplicación oficial, o llame al número oficial; verifique por sí mismo; eluda el enlace sospechoso. Nunca INTRODUCIR sus identificadores mediante un enlace: nunca introduzca sus contraseñas o datos bancarios en un sitio al que ha accedido mediante un enlace recibido; acceda a los servicios por sus propios medios; los servicios verdaderos no piden eso mediante enlace; proteja sus identificadores. Desconfiar de los ARCHIVOS ADJUNTOS también: como los enlaces, los archivos adjuntos inesperados pueden estar engañados; no los abra sin estar seguro; el mismo principio de precaución se aplica; desconfíe de los archivos recibidos. Utilizar la AUTENTICACIÓN DOBLE: active la autenticación doble en sus cuentas; incluso si una contraseña es robada (mediante un enlace), el segundo factor protege; una seguridad que limita los daños; consulte nuestros guías sobre la autenticación doble. Mantener sus dispositivos AL DÍA: un sistema y un navegador actualizados bloquean mejor los sitios maliciosos; las actualizaciones protegen; la actualidad del software es una defensa; manténgalos actualizados. Un ANTIVIRUS/protección: una protección (antivirus, filtros del navegador/correo electrónico) puede bloquear ciertos enlaces y sitios engañosos; una capa de seguridad adicional; escuche sus alertas; la protección ayuda. SEÑALAR y borrar: señale los mensajes fraudulentos (opción «señalar» / spam) y bórrelos; se protege y ayuda a luchar; no guarde las trampas; señálelas. Hablar ALREDEDOR: advierta a sus seres queridos (especialmente los más vulnerables) de los enlaces engañosos; comparta los reflejos; la sensibilización protege a la familia; la ayuda mutua frente a los fraudes. Reaccionar si ha HACIDO CLIC: si ha hecho clic o introducido información; cambie rápidamente las contraseñas concernidas, vigile sus cuentas (especialmente bancarias), contacte a su banco si es necesario; actúe rápidamente para limitar los daños (volveremos sobre ello). En resumen, los buenos gestos: NO HAGA CLIC en caso de duda (un enlace no clicado no pica), VERIFIQUE por otro camino (vaya usted mismo al sitio web/aplicación oficial, llame al número oficial — nunca mediante el enlace recibido), nunca INTRODUZCA sus identificadores mediante un enlace recibido, desconfíe también de los archivos adjuntos, active la AUTENTICACIÓN DOBLE (protege incluso si una contraseña se filtra), mantenga sus dispositivos AL DÍA, use una protección, SEÑALE y borre los mensajes fraudulentos, advierta a sus seres queridos, y si ha hecho clic, reaccione rápidamente (cambie las contraseñas, vigile sus cuentas). Estos gestos le protegen eficazmente; la abstención en caso de duda, la verificación por otro camino y la autenticación doble son las claves.

Atención: ningún servicio verdadero le pide sus identificadores o datos bancarios mediante un enlace — y si ha hecho clic y ha introducido información, reaccione rápidamente. Dos puntos esenciales para su seguridad. El primero es una regla de oro que debe grabar en su mente: los SERVICIOS VERDADEROS (su banco, su operador, las administraciones, las grandes plataformas) nunca le piden «confirmar» o «verificar» sus identificadores, contraseñas o datos bancarios haciendo clic en un enlace recibido por correo electrónico o SMS. Es un principio fundamental: un servicio serio nunca le enviará un enlace pidiéndole que introduzca su contraseña o su número de tarjeta para «desbloquear su cuenta», «evitar la suspensión» o «validar un reembolso». Toda solicitud de este tipo es, casi sistemáticamente, un FRAUDE (suplantación de identidad). Los estafadores imitan a la perfección la apariencia de los servicios verdaderos — el logotipo, los colores, el tono — y crean sitios falsos en todo punto similares a los verdaderos, para inspirarle confianza y hacerle introducir sus informaciones, que recuperan de inmediato. La regla es pues simple y sin excepción: nunca introduzca sus identificadores o datos bancarios en un sitio al que ha accedido mediante un enlace recibido. Si piensa que debe realmente conectarse a un servicio o verificar algo, hágalo SIEMPRE por sus propios medios: abra usted mismo su navegador y escriba la dirección oficial del servicio, o use su aplicación oficial, o llame a su número oficial (el que figura en sus documentos oficiales, no el del mensaje sospechoso). Así, está seguro de estar en el sitio verdadero, y no en una imitación. Este único reflejo — nunca introducir información sensible mediante un enlace recibido, siempre pasar por el canal oficial que conoce — le protege de la casi totalidad de los fraudes por suplantación de identidad. El segundo punto concierne a la REACCIÓN si el mal está hecho: ha hecho clic en un enlace engañoso, y peor, ha introducido información (identificadores, datos bancarios). No entre en pánico, pero ACTÚE RÁPIDO, ya que la rapidez limita los daños. Los gestos a realizar de inmediato: CAMBIE sin demora la contraseña de la cuenta concernida (mediante el VERDADERO sitio web oficial), y de toda cuenta que comparta esta contraseña; el robo de contraseña se contrarresta con un cambio rápido; actúe sin tardar. Si ha comunicado DATOS BANCARIOS, contacte INMEDIATAMENTE a su banco (número oficial); señale, haga oposición/vigile la tarjeta si es necesario; vigile sus extractos de cerca; el banco le guiará; la rapidez es crucial. Active la AUTENTICACIÓN DOBLE en las cuentas concernidas (si no lo había hecho); incluso con una contraseña robada, el segundo factor bloquea; una protección que limita los daños; refuerce. Si piensa haber instalado algo malicioso, haga verificar su dispositivo (análisis antivirus, o ayuda de un profesional). SEÑALE el fraude (a las autoridades competentes y al servicio imitado), y advierta a sus seres queridos si la trampa ha podido propagarse (por ejemplo si su cuenta de mensajería ha podido ser comprometida). Finalmente, no se culpe: estos fraudes están concebidos para engañar, atrapan incluso a las personas prudentes; lo importante es reaccionar rápido y sacar las lecciones para el futuro. En resumen: recuerde que ningún servicio verdadero le pide sus identificadores o datos bancarios mediante un enlace (nunca los introduzca así, pase siempre por el canal oficial que conoce), y si se ha dejado engañar, actúe rápido (cambie sus contraseñas, contacte a su banco, vigile sus cuentas, señale). La vigilancia antes del clic y la reactividad después marcan toda la diferencia.

Preguntas frecuentes

¿Cómo verificar a dónde lleva un enlace sin hacer clic?

En ordenador, pase el ratón por encima del enlace (la dirección real aparece); en teléfono, pulse largamente sobre él para ver una vista previa; examine si la dirección corresponde realmente al sitio web oficial esperado. Detallamos. En ORDENADOR — pasar por encima: coloque el cursor del ratón SOBRE el enlace, SIN hacer clic; la dirección real (URL) hacia la que apunta aparece (a menudo en la parte inferior de la pantalla, o en una pequeña burbuja); ve la verdadera dirección; el paso por encima revela. En TELÉFONO — pulsación larga: pulse LARGAMENTE sobre el enlace (mantenga sin soltar); una vista previa de la dirección (y a menudo opciones) aparece; mire la dirección, luego cancele (no haga clic en «abrir»); la pulsación larga descubre sin abrir. EXAMINAR la dirección: una vez que la dirección es visible, mírela atentamente; ¿corresponde EXACTAMENTE al sitio web oficial esperado? ¿el verdadero nombre de dominio está bien allí? ¿hay errores, caracteres extraños? el examen revela la trampa. Reconocer el VERDADERO dominio: el nombre de dominio es la parte principal de la dirección (justo antes de la extensión como .fr, .com); ES ÉL quien cuenta; desconfíe si no es el verdadero sitio web oficial (imitación, palabra añadida, letra cambiada); aprenda a reconocerlo. Las IMITACIONES: los estafadores imitan las direcciones verdaderas con pequeñas diferencias (una letra, una palabra de más, una extensión inusual, un subdominio engañoso); mire de cerca; una dirección «casi» correcta es sospechosa; el diablo está en los detalles. Los enlaces ACORTADOS: un enlace acortado oculta la verdadera dirección; no se puede ver fácilmente; desconfíe de un enlace acortado recibido de una fuente dudosa; la dirección oculta impide la verificación. El TEXTO ≠ la dirección: atención; el texto mostrado del enlace (ej: «www.mibanque.fr») puede ser DIFERENTE de la verdadera dirección; solo el paso por encima/pulsación larga revela a dónde lleva REALMENTE; no se fíe del texto mostrado. En caso de DUDA sobre la dirección: si la dirección le parece extraña, o no corresponde al sitio web oficial, NO HAGA CLIC; vaya mejor al sitio web oficial por sí mismo; la dirección sospechosa basta para abstenerse; en caso de duda, no. Herramientas de VERIFICACIÓN: existen herramientas en línea para «desplegar» un enlace acortado o verificar un enlace; para los más prudentes; pero lo más simple sigue siendo: en caso de duda, no hacer clic y pasar por el sitio web oficial; la abstención prima. El CONSEJO: pase el ratón por encima (ordenador) o pulse largamente (teléfono) sobre el enlace para ver su verdadera dirección sin hacer clic; examine si corresponde exactamente al sitio web oficial (atención a las imitaciones); en caso de duda, no haga clic y vaya al sitio por sí mismo. En resumen, para verificar a dónde lleva un enlace sin hacer clic: en ORDENADOR, pase el ratón por encima del enlace (sin hacer clic) — la dirección real hacia la que apunta aparece (a menudo en la parte inferior de la pantalla); en TELÉFONO, pulse LARGAMENTE sobre el enlace (sin soltar) para hacer aparecer una vista previa de la dirección, luego cancele. Una vez que la dirección es visible, examínela atentamente: ¿corresponde EXACTAMENTE al sitio web oficial esperado? Concéntrese en el NOMBRE DE DOMINIO (la parte principal de la dirección, justo antes de la extensión como .fr o .com), ya que es él quien indica el verdadero sitio; desconfíe de las IMITACIONES, que reproducen una dirección verdadera con pequeñas diferencias (una letra cambiada, una palabra añadida, una extensión inusual). Atención: el TEXTO mostrado del enlace puede ser totalmente diferente de su verdadera dirección — es incluso una trampa común —, por lo tanto, nunca se fíe del texto, solo de la dirección real revelada por el paso por encima o la pulsación larga. Desconfíe también de los enlaces ACORTADOS, que ocultan voluntariamente la dirección. Y si la dirección le parece extraña, no corresponde al sitio web oficial, o si tiene la menor duda: NO HAGA CLIC, y vaya mejor al sitio web oficial por sí mismo (escribiendo su dirección). Este simple reflejo de verificación, que no toma más que unos segundos, desbarata la gran mayoría de los enlaces engañosos.

He hecho clic en un enlace sospechoso, ¿qué debo hacer?

No entre en pánico, pero actúe rápido: si ha introducido información, cambie sus contraseñas y contacte a su banco; de lo contrario, vigile su dispositivo y sus cuentas. La rapidez limita los daños. Veamos. Evaluar lo que ha HECHO: ¿ha hecho solo clic (abierto el sitio), o también INTRODUCIDO información (identificadores, datos bancarios)? el riesgo difiere; introducir información es más grave que solo hacer clic; identifique su situación. Si ha solo HACIDO CLIC: si ha abierto solo el sitio sin introducir ni descargar nada, el riesgo es más limitado; no introduzca nada, cierre la página; vigile su dispositivo (comportamiento extraño); por precaución, un análisis antivirus; permanezca vigilante. Si ha INTRODUCIDO identificadores: cambie INMEDIATAMENTE la contraseña de la cuenta concernida (mediante el VERDADERO sitio web oficial), y de toda cuenta que comparta esta contraseña; el robo de contraseña se contrarresta con un cambio rápido; actúe sin tardar. Si ha dado DATOS bancarios: contacte INMEDIATAMENTE a su banco (número oficial); señale, haga oposición/vigile la tarjeta si es necesario; vigile sus extractos de cerca; el banco le guiará; la rapidez es crucial. Activar la AUTENTICACIÓN DOBLE: active la autenticación doble en las cuentas concernidas (si no lo había hecho); incluso con una contraseña robada, el segundo factor bloquea; una protección que limita los daños; refuerce. Si ha DESCARGADO algo: si el clic ha desencadenado una descarga, no la abra, bórrela; haga analizar su dispositivo (antivirus, o ayuda de un profesional); un archivo malicioso se trata; limpie. VIGILAR sus cuentas: en los días siguientes, vigile sus cuentas (bancarias, en línea); vigile toda actividad sospechosa (conexiones, operaciones); reaccione ante la menor anomalía; la vigilancia post-incidente. SEÑALAR el fraude: señale el mensaje fraudulento (a las autoridades competentes, al servicio imitado); ayuda a luchar y a proteger a otros; el señalamiento es útil; participe. ADVERTIR a sus seres queridos: si su cuenta (correo electrónico) ha podido ser comprometida, advierta a sus contactos (el fraude podría propagarse en su nombre); la transparencia protege a su entorno; alerte. No CULPARSE: estos fraudes engañan incluso a los prudentes; lo importante es reaccionar rápido, no culparse; saque las lecciones para el futuro; el error llega, la reacción cuenta. El CONSEJO: actúe rápido; cambie las contraseñas si ha introducido identificadores, contacte al banco si ha dado datos bancarios, vigile dispositivo y cuentas, active la autenticación doble, señale, y advierta a sus seres queridos si es necesario. En resumen, si ha hecho clic en un enlace sospechoso, no entre en pánico pero ACTÚE RÁPIDO, ya que la rapidez limita los daños. Evalúe primero lo que ha hecho: si ha SOLO hecho clic (abierto el sitio) sin introducir ni descargar nada, el riesgo es más limitado — cierre la página, no introduzca nada, y por precaución vigile su dispositivo y lance un análisis antivirus. Si ha INTRODUCIDO identificadores, cambie INMEDIATAMENTE la contraseña de la cuenta concernida (mediante el verdadero sitio web oficial), así como de toda otra cuenta que use la misma contraseña. Si ha comunicado DATOS BANCARIOS, contacte sin demora a su banco (mediante su número oficial) para señalar la situación, hacer oposición o vigilar su tarjeta, y vigile sus extractos de cerca. Active la AUTENTICACIÓN DOBLE en las cuentas concernidas (bloquea el uso de una contraseña robada). Si el clic ha desencadenado una DESCARGA, no la abra, bórrela, y haga analizar su dispositivo. En todos los casos, VIGILE sus cuentas en los días siguientes (actividad sospechosa), SEÑALE el fraude, y ADVIERTA a sus seres queridos si su cuenta ha podido ser comprometida (el fraude podría propagarse en su nombre). Finalmente, no se culpe: estos engaños están concebidos para engañar incluso a las personas prudentes; lo esencial es reaccionar rápidamente y sacar las lecciones para mantenerse vigilante en el futuro. Una reacción rápida y metódica transforma un incidente potencialmente grave en un susto sin consecuencia.

¿Llegan los enlaces engañosos solo por correo electrónico?

No: también llegan por SMS, mensajes en redes y mensajerías, publicidades, resultados de búsqueda falsos, e incluso códigos QR; la vigilancia vale en todos los canales, no solo en el correo electrónico. Veamos los canales. Por CORREO ELECTRÓNICO (el clásico): el correo electrónico sigue siendo un canal mayor (suplantación de identidad clásica); falsos correos de banco, servicio, administración con un enlace engañoso; el canal histórico; pero no el único. Por SMS (smishing): los SMS engañosos son muy extendidos; «paquete en espera», «cuenta bloqueada», «multa a pagar» con un enlace; el SMS a veces inspira más confianza que el correo electrónico (a torto); desconfíe de los SMS con enlaces. En las REDES y mensajerías: mensajes engañosos en redes sociales, mensajerías (a veces de una cuenta pirateada de un ser querido ¡); «mira este vídeo», «vota por mí»; desconfíe incluso de un mensaje de un contacto si el enlace es extraño. Las PUBLICIDADES engañosas: algunas publicidades (en sitios web, aplicaciones) llevan a sitios web fraudulentos; desconfíe de las publicidades demasiado bonitas o alarmantes; no haga clic en cualquier publicidad; las publicidades pueden engañar. Los RESULTADOS DE BÚSQUEDA falsos: a veces, un resultado de búsqueda (o una publicidad en la parte superior de la búsqueda) lleva a un sitio falso; verifique que está en el verdadero sitio web oficial; incluso una búsqueda puede llevar a una trampa; permanezca vigilante. Los CÓDIGOS QR: un código QR (en un cartel, una carta, una falsa reseña) puede llevar a un enlace engañoso; no se ve a dónde lleva antes de escanear; desconfíe de los códigos QR de fuente dudosa; un canal en crecimiento. Una cuenta PIRATEADA de un ser querido: atención; un enlace engañoso puede venir de la cuenta PIRATEADA de un amigo (el estafador envía en su nombre); incluso un mensaje de un ser querido merece precaución si el enlace es sospechoso; la confianza no basta. Los MISMOS reflejos en todas partes: sea cual sea el canal, los reflejos son los mismos; verificar la dirección, desconfiar de la urgencia y de las solicitudes de identificadores, no hacer clic en caso de duda; la vigilancia es universal; aplíquelos en todas partes. No BAJAR la guardia: no crea estar a salvo porque vigila sus correos electrónicos; las trampas llegan por todos los canales; mantenga la vigilancia en SMS, redes, publicidades, códigos QR; la amenaza es multi-canales. El CONSEJO: desconfíe de los enlaces engañosos en TODOS los canales (correo electrónico, SMS, redes, mensajerías, publicidades, búsqueda, códigos QR), no solo en el correo electrónico; aplique en todas partes los mismos reflejos (verificar la dirección, desconfiar de la urgencia, no hacer clic en caso de duda); incluso un mensaje de un ser querido puede estar engañado (cuenta pirateada). En resumen, no, los enlaces engañosos no llegan solo por correo electrónico — lejos de ello. Si siguen siendo frecuentes por CORREO ELECTRÓNICO (la suplantación de identidad clásica), también llegan tanto por SMS (el «smishing»: «paquete en espera», «multa a pagar»… — y el SMS a veces inspira más confianza a torto), por MENSAJES en redes sociales y mensajerías (a veces enviados desde la cuenta PIRATEADA de un ser querido, lo que los hace engañosos), por PUBLICIDADES engañosas (en sitios web o aplicaciones), por RESULTADOS DE BÚSQUEDA falsos (un enlace en la parte superior de la búsqueda que lleva a un sitio falso), e incluso por CÓDIGOS QR (cuyo destino no se ve antes de escanear). La amenaza es pues multi-canales, y no debe bajar la guardia bajo pretexto de que vigila sus correos electrónicos. Un punto importante: desconfíe incluso de un enlace recibido de un SER QUERIDO, ya que su cuenta ha podido ser pirateada y el estafador enviar enlaces en su nombre — la confianza hacia el remitente no basta si el enlace es sospechoso. La buena noticia es que los REFLEJOS son los mismos sea cual sea el canal: verificar a dónde lleva realmente el enlace antes de hacer clic, desconfiar de la urgencia y de las solicitudes de identificadores, y no hacer clic en caso de duda (verificando mejor por sí mismo mediante el canal oficial). Aplíquelos en todas partes — correo electrónico, SMS, redes, publicidades, códigos QR —, y estará protegido en todos los frentes.

Lo que debe recordar

Un enlace engañoso es un enlace (recibido por correo electrónico, SMS, mensaje, o visto en publicidad) que, bajo una apariencia inofensiva o legítima, le lleva a un sitio FRAUDULENTO o desencadena una acción maliciosa: robar sus contraseñas y datos bancarios (la mayoría de las veces mediante SUPLANTACIÓN de IDENTIDAD — un sitio falso que imita uno verdadero donde introduciría sus identificadores), robar sus datos, o infectar su dispositivo. Estos enlaces van acompañados de un PRETEXTO creíble o alarmante («paquete a recoger», «cuenta bloqueada», «reembolso», «ganancia») y juegan con la URGENCIA para hacerle hacer clic sin reflexionar. Llegan por TODOS los canales (correo electrónico, SMS, redes sociales, mensajerías, publicidades, resultados de búsqueda falsos, códigos QR) — a veces incluso desde la cuenta pirateada de un ser querido —, y apuntan a todo el mundo. La mejor protección es saber RECONOCERLOS antes de hacer clic, gracias a algunas señales: la URGENCIA y la presión, un EXPEDIDOR dudoso, una DIRECCIÓN de enlace sospechosa (no es el sitio web oficial verdadero), errores y un tono extraño, una SOLICITUD de identificadores o datos bancarios, un mensaje INAESPERADO, una oferta DEMASIADO BUENA, un enlace ACORTADO que oculta su destino. Cruce estas señales, y en caso de duda, absténgase. Los dos reflejos clave a adoptar: primero, VERIFICAR LA DIRECCIÓN real del enlace ANTES de hacer clic (pase el ratón por encima en ordenador, pulse largamente en teléfono) — el texto mostrado puede ocultar un destino totalmente diferente, entonces examine si la dirección corresponde realmente al sitio web oficial (desconfíe de las imitaciones con una letra cambiada o una palabra añadida). Luego, nunca CEDER a la URGENCIA: considérela ella misma como una señal de alerta, tome su tiempo, y en caso de duda, NO HAGA CLIC — vaya mejor a verificar POR SÍ MISMO mediante el canal oficial (escriba la dirección del sitio, use la aplicación oficial, llame al número oficial). La regla de oro absoluta: ningún servicio verdadero le pide JAMÁS sus identificadores o datos bancarios mediante un enlace recibido — no los introduzca pues nunca así, pase siempre por el canal oficial que conoce. Complete con buenas prácticas de fondo: active la AUTENTICACIÓN DOBLE (protege incluso si una contraseña se filtra), mantenga sus dispositivos al día, use una protección, señale y borre los mensajes fraudulentos, y advierta a sus seres queridos (especialmente los más vulnerables). Y si el mal está hecho — ha hecho clic e introducido información —, no entre en pánico pero REACTÚE RÁPIDO: cambie inmediatamente las contraseñas concernidas (mediante el verdadero sitio), contacte a su banco si ha dado datos bancarios, active la autenticación doble, vigile sus cuentas, señale el fraude, y advierta a sus seres queridos si su cuenta ha podido ser comprometida. No se culpe: estos engaños están concebidos para engañar incluso a las personas prudentes. En resumen, protegerse de los enlaces engañosos no requiere ser experto, sino adquirir algunos automatismos de precaución: verificar la dirección antes de hacer clic, desconfiar de la urgencia, nunca introducir información sensible mediante un enlace recibido, y en caso de duda, siempre pasar por el canal oficial. Estos reflejos simples, aplicados en todos los canales, le protegen de la casi totalidad de las trampas — un clic reflexionado vale mil arrepentimientos.