Identificar un correo de phishing con certeza

« Su cuenta será suspendida en 24h », « Un reembolso de 87,50 € le espera », « Intento de conexión sospechoso detectado » : el phishing (suplantación de identidad) es la primera amenaza digital para los particulares — y de muy lejos. Su principio : hacerse pasar por una organización de confianza para obtener sus credenciales, datos bancarios o pagos. Los mensajes de hoy están pulidos, personalizados, a veces generados por IA : los errores ortográficos groseros de antaño ya no son suficientes para delatarlos. Esta guía le enseña a reconocerlos con certeza — por el método más que por el instinto.

Comprender el mecanismo de la trampa

Todo phishing se basa en el mismo trío : una identidad suplantada (banco, repartidor, administración, servicio conocido), una emoción provocada (miedo a perder, tentación de ganar, urgencia), y una acción solicitada (hacer clic, introducir, pagar, llamar). El mensaje es solo el cebo : la verdadera trampa es la página de conexión imitada donde introducirá sus credenciales, o el formulario de pago falso. Comprender este esquema lo cambia todo : ante un mensaje que cumpla estas tres condiciones — identidad + emoción + acción — su vigilancia debe activarse, sin importar la calidad de la imitación.

Las señales que deben alertar

• La urgencia artificial : « en 24h », « inmediatamente », « último recordatorio ». Las organizaciones legítimas rara vez presionan así.
• La solicitud de datos sensibles : ninguna organización seria pide contraseñas, códigos de tarjeta o códigos recibidos por SMS a través de un mensaje.
• La dirección del remitente aproximada : un dominio extraño, una variante sutil del nombre oficial. Mire la dirección real, no el nombre mostrado.
• El enlace disfrazado : el texto muestra un nombre tranquilizador, pero el enlace apunta a otro lugar. Una pulsación larga (móvil) o un paso por encima (ordenador) revela el destino real.
• El contexto improbable : un paquete que no espera, un reembolso sin trámite, un banco que no es el suyo.
• El archivo adjunto inesperado : factura sorpresa, documento « para validar » : máxima desconfianza.

El reflejo de oro. Nunca haga clic jamás en el enlace de un mensaje para acceder a una cuenta : vaya siempre por su cuenta — escribiendo la dirección oficial o a través de la aplicación. Si la alerta es real, la encontrará en su espacio cliente ; si no hay nada, era phishing. Este simple desvío de diez segundos neutraliza la casi totalidad de los ataques, incluso los más sofisticados.

Tres ejemplos analizados

El falso repartidor : « Su paquete está en espera, pague 1,95 € de aranceles. » La cantidad ridícula adormece la desconfianza — pero el objetivo es su número de tarjeta, no los dos euros. Regla : un transportista no cobra tarifas por SMS ; verifique en el sitio oficial con su número de seguimiento real.

El falso banco : « Se ha detectado una conexión sospechosa, confirme su identidad. » La ironía es cruel : el mensaje que dice protegerle ES el ataque. Regla : su banco nunca le pedirá sus códigos completos ni un código SMS por teléfono o mensaje — este código sirve precisamente para validar un pago en curso, a menudo el del estafador.

El falso soporte técnico : una alerta en pantalla, « su ordenador está infectado, llame a este número ». Al otro lado, un « técnico » toma el control de su máquina y le cobra — o peor. Regla : ninguna alerta legítima muestra un número para llamar. Cierre la página, y si la preocupación persiste, haga revisar el dispositivo por un profesional de su elección.

¿Ha hecho clic? El procedimiento de urgencia

No hay vergüenza — los mejores caen en la trampa — pero sí rapidez :

1. Credenciales introducidas : cambie inmediatamente la contraseña de la cuenta afectada, luego en todas partes donde usaba la misma. Active la autenticación doble de inmediato.
2. Datos bancarios introducidos : contacte a su banco sin demora para bloquear la tarjeta, y supervise las operaciones. La rapidez condiciona el reembolso.
3. Archivo adjunto abierto : ejecute un análisis antivirus completo y cambie sus contraseñas importantes desde otro dispositivo sano.
4. En todos los casos : denuncie el mensaje (las plataformas de denuncia existen para eso) y avise a la organización suplantada.

El código SMS, línea roja absoluta. El código de validación recibido por SMS es la clave final de sus pagos y conexiones : quienquiera que se lo pida — por teléfono, mensaje, « asesor bancario » al otro lado del teléfono — es un estafador que está validando una operación con sus datos. Nunca lo comunique, a nadie, bajo ningún pretexto. Cuelgue y llame usted mismo a su banco al número oficial.

Preguntas frecuentes

¿No son suficientes los filtros anti-spam ?

Bloquean mucho, pero no todo — especialmente los ataques dirigidos y recientes. El filtro reduce el volumen ; su método marca la diferencia en lo que pasa.

¿Cómo verificar un mensaje que parece legítimo ?

Por el canal oficial, nunca por el enlace recibido : conéctese por su cuenta al sitio o a la aplicación, o llame al número oficial (el de su tarjeta o del sitio, no el del mensaje). Toda alerta real aparece allí.

¿El phishing también existe por teléfono ?

Sí — se habla de « vishing » : falsos asesores bancarios, a veces muy convincentes y que ya disponen de información sobre usted. Misma regla : nunca comunique códigos ni validaciones en una llamada entrante. Cuelgue, llame al número oficial.

Lo que hay que recordar

El phishing ya no se detecta por los errores ortográficos : se evita por el método. Reconozca el trío identidad suplantada + emoción + acción solicitada, verifique la dirección real y el destino de los enlaces, y sobre todo aplique el reflejo de oro : nunca por el enlace recibido, siempre por el canal oficial. Nunca comunique un código SMS, a nadie. Y en caso de error, la rapidez (contraseñas, bloqueo bancario) limita la mayor parte de los daños. La actitud correcta no es ni el miedo ni la confianza ciega : es una rutina de verificación de diez segundos — el precio, irrisorio, de su tranquilidad digital.