El phishing es un engaño diseñado para que seas tú quien abra la puerta: haces clic, escribes una clave, instalas un archivo, facilitas un código o envías dinero creyendo que obedeces a una entidad legítima. El mensaje puede imitar a un banco, una administración, una plataforma de reparto, el servicio de correo o incluso a una persona conocida.
No hace falta memorizar todas las campañas. Cambian las marcas y las excusas, pero el mecanismo se repite: apariencia de confianza, presión emocional y una acción que beneficia al atacante. Aprender a romper esa secuencia protege mejor que buscar una falta de ortografía concreta.
La pregunta que descubre el engaño
Ante un mensaje inesperado, pregúntate: «¿Qué quiere conseguir que haga ahora?». Las respuestas más habituales son:
- abrir un enlace e iniciar sesión;
- descargar o habilitar un archivo;
- comunicar una contraseña, un código o datos de tarjeta;
- cambiar una cuenta bancaria o hacer una transferencia;
- llamar a un número incluido en el propio mensaje;
- instalar una aplicación o permitir control remoto.
La definición de INCIBE abarca tanto el robo de información confidencial como la instalación de programas maliciosos mediante mensajes que suplantan a organizaciones. Si el mensaje conduce a una de esas acciones, merece una pausa aunque el asunto parezca normal.
El método «detén, sal y verifica»
Detén la acción
No respondas, no pulses y no llames todavía. La urgencia pierde fuerza si dejas pasar unos minutos. Un aviso auténtico sobre un cargo, una multa o una contraseña seguirá pudiendo comprobarse por otra vía.
Sal del mensaje
No uses sus botones, teléfonos ni datos de contacto. Cierra el correo o la conversación. Si necesitas revisar una cuenta, abre la aplicación que ya tenías instalada, escribe la dirección conocida en el navegador o utiliza un marcador guardado.
Verifica por un canal independiente
Busca el teléfono en la tarjeta, un contrato, una factura anterior o la web oficial a la que hayas llegado por tu cuenta. Si el supuesto remitente es una persona, llámala al número que ya conocías. Haz una pregunta que permita confirmar el contexto, no una que el impostor pueda responder con un simple «sí».
Esta separación es decisiva: responder al mismo remitente solo confirma lo que diga quien controla ese canal. Tampoco basta con que el número mostrado parezca correcto; el documento reciente del Banco de España sobre fraudes con inteligencia artificial advierte de que el número de una llamada puede falsificarse para coincidir con el de una entidad.
Señales que pesan más cuando aparecen juntas
Presión emocional
El mensaje amenaza con bloquear una cuenta, perder un paquete, pagar una sanción o dejar pasar una oportunidad. También puede provocar ilusión —un premio o reembolso— o deseo de ayudar —un familiar en apuros—. La emoción no demuestra fraude, pero explica por qué el remitente quiere impedir una comprobación tranquila.
Una petición fuera de contexto
Recibes un justificante que no esperabas, una alerta de un servicio que no usas o una factura que no corresponde a tu actividad. En un entorno laboral, alguien solicita saltarse el procedimiento habitual, cambiar el IBAN de un proveedor o guardar secreto sobre un pago.
Una petición puede incluir datos reales y seguir siendo falsa. El atacante quizá conoce tu nombre, empresa, últimas compras o contactos por información pública, una filtración o una cuenta comprometida. Conocer esos detalles no acredita su identidad.
Remitente y destino que no coinciden
Despliega la dirección completa del correo, no solo el nombre visible. Un dominio con una letra cambiada, una cuenta gratuita inesperada o una dirección de respuesta distinta merecen atención. Pero una dirección aparentemente correcta tampoco es prueba definitiva: el remitente puede falsificarse o una cuenta real puede estar comprometida.
Antes de abrir un enlace, en un ordenador puedes situar el puntero encima para ver su destino. En móvil resulta más difícil; la opción segura es no usarlo. Los acortadores ocultan el destino y los códigos QR trasladan el mismo problema a la cámara.
Solicitudes que una entidad no debería resolver así
Desconfía de cualquier mensaje que pida una contraseña completa, PIN, clave de firma o código de un solo uso. Un código recibido para autorizar una operación no es una comprobación que debas recitar a quien llama: puede ser justo la pieza que necesita para completar el acceso.
El Banco de España avisa de correos que usan indebidamente su nombre, anuncian falsas transferencias o invitan a descargar ficheros, y señala que no solicita información confidencial por correo.
Un acabado demasiado perfecto tampoco absuelve
Los errores de idioma, logotipos deformados o saludos genéricos continúan siendo pistas. Sin embargo, hoy un texto correcto, una imagen convincente o una voz parecida pueden generarse o copiarse con facilidad. El Banco de España también señala que la inteligencia artificial permite mensajes personalizados y audios o vídeos falsos. Por eso la calidad visual ya no sirve como filtro principal.
Phishing, smishing, vishing y QR: cambia el canal, no la lógica
- Phishing: suele referirse al correo fraudulento, aunque también se usa como término general.
- Smishing: llega por SMS o mensajería y suele aprovechar avisos de paquetería, bancos o pagos.
- Vishing: utiliza una llamada; el interlocutor guía a la víctima y puede pedir una transferencia o instalar control remoto.
- Phishing por QR: el código lleva a una web o acción que no puedes leer a simple vista.
- Spear phishing: está dirigido a una persona concreta y emplea información real para resultar creíble.
No intentes decidir solo por el canal. Un SMS puede aparecer en el mismo hilo que avisos auténticos y una llamada puede mostrar un número conocido. Mantén el método: detén, abandona ese canal y comprueba por otro obtenido previamente.
Hábitos que reducen el daño incluso si un mensaje convence
Contraseñas distintas y gestor
Usa una clave única para cada servicio. Un gestor de contraseñas evita reutilizarlas y aporta una señal práctica: si no reconoce el dominio, no rellenará automáticamente la credencial guardada. No lo tomes como única defensa, pero atiende esa ausencia inesperada.
Un segundo factor
Activa la verificación en dos pasos. INCIBE explica que añade otro factor a la contraseña y dificulta un acceso no autorizado si la primera clave queda comprometida. Aun así, no compartas códigos ni apruebes notificaciones que no hayas iniciado. Cuando un servicio ofrezca llaves de acceso o llaves físicas y comprendas su recuperación, pueden evitar escribir la contraseña en páginas imitadas.
Actualizaciones y filtros activos
Mantén al día sistema, navegador, aplicación de correo y protección del dispositivo. No desactives el filtro antispam ni ignores una advertencia de descarga para obedecer al mensaje. Las herramientas detienen muchos intentos conocidos, aunque no sustituyen la verificación humana.
Menos información pública útil para personalizar
Revisa qué expones sobre puesto, viajes, proveedores, familiares o responsables de pagos. No se trata de desaparecer de internet, sino de evitar que cualquiera pueda construir con pocos datos una petición perfectamente contextualizada.
Qué hacer si ya has interactuado
Actúa según lo ocurrido, sin perder tiempo en castigarte. El objetivo es cortar el acceso y conservar pruebas.
Pulsaste el enlace, pero no escribiste ni descargaste nada
Cierra la página. Revisa que no hayas aceptado notificaciones o permisos y actualiza navegador y sistema. Una visita no equivale por sí sola a una infección; evita instalar supuestas soluciones que la propia página recomiende.
Escribiste una contraseña
Entra en el servicio auténtico desde otro acceso conocido y cambia la clave. Cierra sesiones abiertas si existe esa opción, revisa dispositivos y métodos de recuperación, y activa el segundo factor. Si reutilizabas la contraseña, cambia cada cuenta afectada, empezando por el correo: suele permitir restablecer las demás.
Facilitaste tarjeta, claves bancarias o autorizaste un pago
Contacta inmediatamente con tu entidad mediante su aplicación, tarjeta o teléfono oficial. Explica exactamente qué datos diste y qué operaciones confirmaste. Bloquea los medios que indique el banco y revisa movimientos. No envíes más dinero a quien prometa «recuperar» el anterior.
Instalaste un archivo o diste control remoto
Desconecta el dispositivo de la red si sigue bajo control de un tercero. Desde un equipo de confianza, cambia credenciales críticas y avisa a tu organización si es un dispositivo de trabajo. Ejecuta las herramientas de seguridad actualizadas o solicita asistencia técnica; borrar solo el archivo descargado puede no deshacer una instalación.
Entregaste datos personales o documentos
Guarda capturas, URL, remitentes, justificantes y conversaciones. Vigila intentos posteriores de suplantación y comunica el incidente a las entidades relacionadas. Si hay perjuicio o uso delictivo, presenta denuncia con las pruebas disponibles.
Reportar ayuda a cortar la campaña
Marca el mensaje como phishing en el correo o servicio de mensajería y avisa a la entidad suplantada mediante su canal oficial. No reenvíes el contenido a familiares de forma que puedan abrir el enlace; envía una captura o una advertencia sin elementos activos.
INCIBE dispone de un canal para reportar fraudes y solicita una descripción y, cuando sea posible, evidencias como el mensaje, una captura o la URL. Su línea 017 orienta a ciudadanos sobre incidentes de ciberseguridad.
El mejor detector no es adivinar si un logo es perfecto. Es reconocer que alguien intenta acelerar una acción sensible y recuperar tú el control del canal. Si la petición es legítima, resistirá una comprobación independiente.
