Detectar un correo sospechoso: lista contra el phishing

¿Qué es el phishing?

El phishing es una forma de fraude en internet en la que los delincuentes se hacen pasar por organizaciones de confianza para robar datos personales. Suele hacerse por correo electrónico, pero también por SMS (smishing) o por teléfono (vishing). Los correos de phishing están diseñados para parecer lo más legítimos posible, de modo que hasta los internautas con experiencia pueden caer en la trampa. Aquí aprenderás a reconocer los correos sospechosos y a protegerte de esta forma tan habitual de ciberdelincuencia.

¿Por qué es tan peligroso el phishing?

El phishing es una de las formas de ciberdelincuencia más habituales y con más éxito. Las consecuencias pueden ser graves: robo de identidad, daños económicos, acceso a tus cuentas e incluso infecciones de ransomware en tu ordenador o tu red. Lo que hace que el phishing sea aún más peligroso es que explota la psicología humana (el miedo, la urgencia, la curiosidad) y no solo las vulnerabilidades técnicas.

Daños económicos

Si los delincuentes acceden a tus datos bancarios o de tu tarjeta de crédito, pueden robar dinero directamente. Recuperarlo puede llevar semanas y no siempre es posible del todo.

Robo de identidad

Con los datos personales robados, los delincuentes pueden crear cuentas a tu nombre, pedir préstamos o llevar a cabo otras actividades fraudulentas.

La lista de 10 puntos contra el phishing

Usa esta lista con cada correo sospechoso. Un solo punto positivo ya es motivo de precaución; varios son una señal de alarma clara.

1. Comprueba la dirección del remitente

No mires solo el nombre que se muestra, sino la dirección de correo electrónico real. Los estafadores suelen usar direcciones que se parecen a las de empresas auténticas, pero con alguna diferencia. Por ejemplo: "support@faceb00k-security.com" en lugar de "support@facebook.com". Los pequeños cambios, como letras intercambiadas, caracteres de más u otros dominios, son señales de alarma.

2. Fíjate en las faltas de ortografía y la gramática

Las organizaciones profesionales rara vez envían correos con faltas de ortografía o frases extrañas. Los correos de phishing suelen estar escritos por personas que no son nativas o preparados a toda prisa, y de ahí los errores. Presta especial atención a un español poco natural que suene a traducción automática.

3. Analiza el saludo

Las empresas legítimas de las que eres cliente suelen dirigirse a ti por tu nombre: "Estimado Jan Jansen". Los correos de phishing suelen usar saludos genéricos como "Estimado cliente", "Apreciado usuario", o ningún saludo.

4. Desconfía de la urgencia y las amenazas

Los correos de phishing suelen crear una urgencia artificial: "Tu cuenta se bloqueará en un plazo de 24 h", "Responde de inmediato para evitar problemas", "Último aviso". Las empresas auténticas te dan tiempo de sobra para responder y, en asuntos importantes, se comunican por varios canales.

5. Pasa el ratón por encima de los enlaces antes de hacer clic

Mueve el ratón sobre los enlaces (sin hacer clic) para ver adónde llevan. La URL que se muestra debe coincidir con la web oficial de la empresa. Los estafadores suelen usar dominios casi idénticos o URL largas que ocultan el dominio real.

6. Desconfía de los archivos adjuntos inesperados

No abras nunca archivos adjuntos de remitentes desconocidos, sobre todo si son .exe, .zip, .scr o documentos de Office con macros. Incluso un PDF puede contener código malicioso. Si no esperas un archivo adjunto, verifícalo primero por otro canal antes de abrirlo.

7. Comprueba el HTTPS y los certificados

Si aun así haces clic en un enlace, comprueba que la web use HTTPS (el candado de la barra de direcciones) y que el certificado sea válido. Atención: HTTPS no significa automáticamente que un sitio sea fiable, solo que la conexión está cifrada.

8. ¿Te pide el correo información confidencial?

Los bancos, los organismos públicos y las empresas serias nunca piden por correo electrónico contraseñas, códigos PIN, números de tarjeta de crédito ni números BSN (el número de identificación personal de los Países Bajos). Cualquier correo que los pida es sospechoso por definición.

9. ¿La oferta es demasiado buena para ser verdad?

Los correos sobre premios de lotería en los que no has participado, herencias de familiares desconocidos o descuentos increíbles son casi siempre un fraude. Si algo suena demasiado bien para ser verdad, probablemente lo sea.

10. Verifícalo por otra vía

En caso de duda: ponte tú en contacto con la organización a través de su web oficial o su número de teléfono, no con los datos del correo sospechoso. Pregunta si han enviado ellos ese correo.

Ejemplos de técnicas de phishing

Los estafadores son cada vez más astutos. Estas son algunas de las técnicas más habituales que usan.

El phishing bancario

Un correo que supuestamente procede de tu banco y avisa de que se ha detectado actividad sospechosa. Tienes que verificar tus datos "de inmediato" mediante un enlace que lleva a un sitio falso. Los bancos auténticos nunca piden esto por correo electrónico.

El phishing de paquetes

Un mensaje de "PostNL" o "DHL" que dice que no estabas cuando llegó un paquete y que debes pagar para que te lo entreguen de nuevo. El enlace lleva a un sitio falso que roba tus datos de pago. Estos correos suelen llegar en las épocas en que mucha gente compra online.

El fraude del CEO

Un correo que parece venir de tu responsable o de tu director y te pide que hagas un pago rápido o compres tarjetas regalo. La dirección de correo electrónico es ligeramente distinta o el mensaje llega desde una cuenta personal.

El aviso sobre tu cuenta

"Tu cuenta de Netflix/Spotify/Microsoft ha caducado" o "Se ha intentado iniciar sesión en tu cuenta". El enlace lleva a una página de inicio de sesión que parece idéntica, pero que roba tus datos.

¿Qué hacer con un correo sospechoso?

Has recibido un correo sospechoso. Estos son los pasos que debes seguir.

No hagas clic, no abras nada

No hagas clic en los enlaces ni abras los archivos adjuntos. Incluso abrir una imagen puede confirmar al remitente que tu dirección de correo electrónico está activa.

Márcalo como spam o phishing

La mayoría de los programas de correo tienen una opción para denunciar mensajes como phishing. Esto ayuda a mejorar los filtros y protege a otros usuarios.

Elimina el correo

Después de denunciarlo, puedes eliminar el correo. Vacía también la papelera para no hacer clic más tarde en un enlace por error.

Avisa a otras personas

Si el correo de phishing parece venir de una empresa de la que eres cliente, plantéate informar a esa empresa. Podrá avisar a otros clientes.

¿Y si ya has hecho clic?

Si ya has hecho clic en un enlace o has introducido información, actúa de inmediato.

Cambia tus contraseñas

Cambia de inmediato la contraseña de la cuenta que pueda estar comprometida. Si usas la misma contraseña en otros sitios, cámbiala también allí.

Revisa tus cuentas

Revisa tus cuentas bancarias y tarjetas de crédito por si hay transacciones no autorizadas. Comunica de inmediato cualquier actividad sospechosa a tu banco.

Analiza tu ordenador

Si has abierto un archivo adjunto, haz un análisis completo con tu antivirus. Plantéate pedir una segunda opinión a un escáner online.

Denuncia el incidente

En los Países Bajos puedes denunciar el phishing a Fraudehelpdesk (fraudehelpdesk.nl) y reenviarlo a la empresa suplantada. Si has sufrido daños económicos, presenta una denuncia ante la policía.

Cómo protegerte del phishing

Más vale prevenir que curar. Estas son las medidas para protegerte de forma duradera.

Usa la autenticación en dos pasos

Con la autenticación en dos pasos (2FA), a los delincuentes no les basta con tu contraseña. También necesitan acceder a tu teléfono o a tu app de autenticación. Activa la 2FA en todas las cuentas importantes.

Mantén el software actualizado

Asegúrate de que tu navegador, tu sistema operativo y tu antivirus estén siempre actualizados. Las actualizaciones suelen incluir parches de seguridad contra las amenazas más recientes.

Usa un gestor de contraseñas

Un gestor de contraseñas genera y recuerda contraseñas seguras y únicas para todas tus cuentas. Así evitas que una contraseña filtrada dé acceso a otras cuentas.

Mantén el sentido crítico

La protección más importante es una buena dosis de escepticismo. No te fíes a ciegas de los correos, aunque parezcan profesionales. Tómate un momento para repasar la lista antes de hacer nada.

Conclusión

El phishing es una amenaza seria que puede afectar a cualquiera, sean cuales sean sus conocimientos técnicos o su experiencia. Si aprendes a reconocer las señales y aplicas la lista de este artículo, reducirás mucho el riesgo de ser víctima. Recuerda: las organizaciones auténticas nunca piden información confidencial por correo electrónico, no crean urgencias innecesarias y siempre tienen direcciones de remitente correctas. En caso de duda: no hagas clic, no respondas y ponte tú en contacto con ellas por sus canales oficiales. Mantente alerta y protege tu identidad digital.

Preguntas frecuentes

¿Un correo de phishing puede venir de un contacto conocido?

Sí, si hackean la cuenta de alguien que conoces, los delincuentes pueden enviar correos de phishing desde esa dirección. Desconfía del lenguaje inusual, las peticiones extrañas o los archivos adjuntos que no esperas, también cuando vienen de contactos conocidos.

¿Un correo es seguro si lleva el logotipo de una empresa?

No, los logotipos son fáciles de copiar. Los estafadores suelen usar copias exactas de logotipos oficiales, identidades corporativas y formatos de correo. Que haya un logotipo no dice nada sobre la legitimidad de un correo.

¿Qué debo hacer si he hecho clic por error en un enlace de phishing?

Cambia de inmediato tus contraseñas, sobre todo si has iniciado sesión en algún sitio. Revisa tus cuentas por si hay actividad sospechosa, analiza tu ordenador con un antivirus y denuncia el incidente. Si has introducido datos financieros, ponte en contacto con tu banco.

¿Cómo sé si una web es auténtica?

Comprueba bien la URL por si tiene faltas de ortografía o diferencias. Mira si usa HTTPS (el candado). En caso de duda, escribe la dirección a mano en tu navegador en lugar de hacer clic en un enlace. Usa marcadores para los sitios que visitas con regularidad.