Cómo detectar un correo de phishing: 12 señales de alarma (con ejemplos muy realistas)

Qué es realmente el phishing (en un minuto)

El phishing es un mensaje que se hace pasar por alguien de confianza, como tu banco, una empresa de mensajería, Netflix, tu jefe o incluso un amigo, para que le entregues algo valioso. Normalmente es una contraseña, un código de un solo uso, los datos de tu tarjeta o, simplemente, un clic en un enlace que te instala algo desagradable.

Funciona porque es barato. Un estafador puede enviar un millón de correos casi gratis, y aunque solo piquen unas pocas personas, le sale rentable. Por eso estos correos están pensados para la rapidez: quieren que reacciones antes de pensar. Frenar diez segundos es, sinceramente, la mejor defensa que tienes, y las señales de alarma de abajo te dicen en qué fijarte durante esos diez segundos.

Las 12 señales de alarma

1. La dirección del remitente no coincide con la empresa

El nombre que se muestra puede decir cualquier cosa. «Soporte de PayPal» no es más que texto. Lo que importa es la dirección real que va detrás. Toca o pasa el ratón por encima del nombre para verla.

• Parece correcta: [email protected]
• Señal de alarma: [email protected]
• Señal de alarma: [email protected]

Las grandes empresas envían desde su propio dominio. No te escriben desde una cuenta gratuita de Gmail u Outlook, ni le pegan a su nombre palabras extra como «secure», «verify» o «account».

2. Un dominio escrito casi igual

Los estafadores registran dominios que a simple vista parecen correctos: arnazon.com (la r y la n juntas parecen una m), paypa1.com (el número 1 en lugar de la letra l) o micros0ft.com (un cero en lugar de una o). En la pantalla pequeña del móvil cuesta muchísimo verlos, y precisamente por eso los usan. Lee el dominio despacio, letra a letra.

3. Prisas y amenazas

«Tu cuenta se cerrará en 24 horas.» «Último aviso.» «Emprenderemos acciones legales.» Las empresas de verdad casi nunca te ponen una cuenta atrás por correo. La urgencia está ahí para que no pienses. Cada vez que un correo te haga sentir prisa o miedo, toma esa sensación como una señal de alarma en sí misma.

4. El enlace lleva a otro sitio

El botón puede decir «Inicia sesión en tu cuenta», pero ¿adónde lleva de verdad? En el ordenador, pasa el ratón por encima del enlace y mira la dirección que aparece en la esquina inferior del navegador. En el móvil, mantén pulsado el enlace para ver una vista previa sin abrirlo.

• El correo dice que es de tu banco, pero el enlace lleva a secure-login-bank.xyz
• El enlace empieza con el nombre correcto, pero el dominio real viene después: https://netflix.com.account-update.info/login (aquí el sitio real es account-update.info, no Netflix)

5. Un saludo genérico

«Estimado cliente», «Querido usuario» o «Hola, apreciado miembro». Una empresa en la que tienes cuenta normalmente sabe cómo te llamas. Un saludo genérico no demuestra que el correo sea falso, pero si se junta con cualquier otra señal de esta lista, es una pista muy clara.

6. Te pide la contraseña, un código o los datos de la tarjeta

Esta es sencilla: ningún banco, tienda o proveedor de correo de verdad te pedirá nunca que respondas con tu contraseña, el número completo de tu tarjeta o el código de un solo uso que te acaban de mandar por SMS. Ese código existe justamente para que solo tú puedas usarlo. Si alguien te lo pide, por correo, chat o teléfono, es una estafa. Siempre.

7. Un archivo adjunto que no esperabas

«Factura_0423.zip», «Datos_de_pago.html», «Documento_escaneado.pdf.exe». Los adjuntos inesperados, sobre todo los ZIP, los archivos HTML o cualquier cosa que te pida «habilitar edición» o «habilitar macros», son una forma clásica de instalar malware. Si no esperabas una factura, no abras la factura.

8. Una oferta demasiado buena para ser verdad

«Has ganado un iPhone 16.» «Reclama tu tarjeta regalo de 500 $.» «Tu devolución de impuestos de 1.240 $ te está esperando.» No te apuntaste a ningún sorteo, así que no has ganado ninguno. Estos correos suelen llevarte a un formulario que te pide los datos de la tarjeta «para cubrir el envío».

9. Gramática y formato raros (pero no te fíes solo de eso)

Las frases extrañas, las mayúsculas al azar y los logotipos borrosos solían ser lo que más delataba a un correo falso. Hoy muchos correos de phishing se escriben con herramientas de IA y se ven impecables. Así que toma la mala gramática como una pista extra, nunca como la prueba principal. Un correo bien escrito también puede ser falso.

10. Una dirección de respuesta distinta a la del remitente

Algunos correos de phishing llegan desde una dirección que parece real, pero configuran en silencio una dirección de «responder a» diferente. Pulsas Responder y tu respuesta acaba en manos del estafador. Si vas a responder con algo delicado, revisa primero la dirección del campo «Para» de tu respuesta.

11. Algo que nunca pediste

Un aviso de envío de una empresa de mensajería que no has usado, un restablecimiento de contraseña que no solicitaste o un recibo de una compra que no hiciste. Los estafadores los envían con la esperanza de que hagas clic para «cancelar» o «reclamar» el pedido. No uses el enlace del correo. Si te preocupa, abre la app de la empresa o escribe tú mismo su dirección.

12. Avisos de autenticación de tu app de correo

Gmail, Outlook y Apple Mail comprueban por detrás si un correo viene realmente del dominio que dice. Cuando esas comprobaciones fallan, puede que veas un aviso del tipo «Puede que este mensaje no sea de quien dice ser», o un signo de interrogación en lugar de la foto del remitente. Tómate esos avisos en serio. Si te pica la curiosidad por saber cómo funcionan esas comprobaciones, lo explico en lenguaje sencillo en SPF, DKIM y DMARC explicados.

Un ejemplo muy realista, desmontado

Este es el tipo de correo que llega a las bandejas de entrada todos los días:

De: Amazon Customer Service <[email protected]>
Asunto: Acción necesaria: tu pedido #112-8842 ha sido suspendido

Estimado cliente:
No hemos podido verificar tu información de pago. Tu pedido y tu cuenta se cancelarán en 24 horas si no confirmas tus datos.

[Verificar mi cuenta]

Vamos a contar las señales:

1. El dominio es amaz0n-orders-support.com, con un cero y palabras de más. Amazon no envía desde ahí.
2. «Estimado cliente» en lugar de tu nombre.
3. Una amenaza con plazo de 24 horas.
4. Un pedido que seguramente no reconoces.
5. Un botón que, si lo mantuvieras pulsado, apuntaría a un sitio que no tiene nada que ver.

Cinco señales en unas pocas líneas. Lo correcto: bórralo, o abre tú mismo la app de Amazon y mira tus pedidos. Si de verdad hay un problema, lo verás ahí.

Qué hacer si ya hiciste clic

Lo primero: no te asustes y no te sientas tonto. Estos correos los hace gente que se dedica a tiempo completo a engañar a los demás. Lo que importa ahora es actuar rápido:

1. Si solo abriste el correo: casi seguro que no pasa nada. Simplemente bórralo.
2. Si hiciste clic en el enlace pero no escribiste nada: cierra la página. Pasa el análisis de seguridad de tu dispositivo si tienes uno.
3. Si escribiste una contraseña: cámbiala enseguida en la web real (escribe tú la dirección) y cámbiala también en cualquier otro sitio donde usaras la misma.
4. Si metiste los datos de tu tarjeta: llama a tu banco al número que aparece en el reverso de la tarjeta y pide que la bloqueen.
5. Si compartiste un código de un solo uso: entra en esa cuenta ya mismo, cambia la contraseña y cierra todas las demás sesiones.
6. Activa la verificación en dos pasos en tu correo, tu banco y tus cuentas de compras si todavía no lo has hecho.

Denúncialo, nos ayuda a todos

Usa la opción «Denunciar phishing» o «Marcar como spam» de tu app de correo. En Gmail está en el menú de los tres puntos, y en Outlook en «Informar». Así se entrenan los filtros que protegen a millones de personas. Muchas empresas tienen además su propia dirección para esto, por ejemplo, puedes reenviar los correos falsos de PayPal a [email protected]. En EE. UU. también puedes denunciarlo ante la FTC en reportfraud.ftc.gov, y en el Reino Unido en [email protected].

Menos phishing desde el principio

Nunca vas a dejar el phishing a cero, pero sí puedes hacer que tu bandeja de entrada sea un blanco mucho más pequeño:

• No le des tu dirección de correo principal a cada web, concurso y descarga gratuita. Cuantos menos sitios la tengan, en menos listas acabará.
• Para registros puntuales, usa una dirección de correo temporal. Si más adelante esa web sufre una filtración o vende su lista, la basura llegará a una bandeja que desaparece sola.
• Usa un gestor de contraseñas. No va a autocompletar tu contraseña en paypa1.com, lo que lo convierte en un detector de phishing sorprendentemente bueno.
• Mantén actualizados el móvil y el navegador, porque las actualizaciones cierran los agujeros que intentan aprovechar los enlaces maliciosos.

Si tu dirección ya ha aparecido en alguna filtración, echa un vistazo a qué hacer cuando tu correo aparece en una filtración de datos y, para el día a día, a estas buenas prácticas de privacidad del correo.

El hábito de los diez segundos

Si solo te quedas con una cosa de este artículo, que sea esta: cuando un correo quiera que actúes deprisa, frena diez segundos. Comprueba quién lo envió de verdad, mantén pulsado el enlace para ver adónde lleva y, si algo no te cuadra, entra tú mismo en la web en lugar de hacer clic. Esa pequeña pausa basta para desactivar la inmensa mayoría de los correos de phishing que hay por ahí.

Cuídate, y si has visto algún truco de phishing ingenioso que no esté en esta lista, de verdad me encantaría que me lo contaras. Tienes mis datos de contacto justo aquí abajo.