Reconocer un correo de phishing: 5 señales que no engañan
Objetivo de aprendizaje
Después de leer este artículo, serás capaz de identificar las cinco señales más fiables de un correo de phishing, entender cómo llegan los ransomware a tu dispositivo, y aplicar un método de verificación sencillo antes de responder a cualquier mensaje sospechoso, desde hoy mismo.
Una situación que quizá reconozcas
Recibes un correo que parece venir de PayPal. El logotipo es correcto. El formato parece profesional. El mensaje te indica que se ha detectado actividad inusual en tu cuenta y que debes verificar tus datos en 24 horas, bajo pena de suspensión.
Sientes una ligera presión. Quizá sea auténtico. No quieres perder el acceso a tu cuenta. Pasas el cursor sobre el enlace, y algo en la dirección te resulta extraño.
Así funciona exactamente el phishing: no con errores burdos, sino con una sensación de urgencia cuidadosamente construida que te empuja a actuar antes de pensar.
¿De qué hablamos exactamente?
El phishing (suplantación de identidad) consiste en enviar correos o mensajes fraudulentos que imitan a una organización de confianza (un banco, un servicio de paquetería, una empresa tecnológica) con el objetivo de robar tu información personal, tus contraseñas o tus datos bancarios.
El ransomware (secuestro de datos) es un programa malicioso que, una vez instalado en tu dispositivo, cifra tus archivos y exige un pago para devolverte el acceso. En la mayoría de los casos llega mediante un correo de phishing: a través de un archivo adjunto que abres o de un enlace en el que haces clic.
Ambos están estrechamente relacionados: el phishing suele ser el vehículo; el ransomware, una de sus posibles consecuencias.
Las 5 señales de que un correo no es lo que dice ser
Señal 1 — La dirección real no coincide con la identidad mostrada
Los estafadores registran dominios que se parecen casi al detalle a los legítimos. Basta un solo carácter: paypall.com, amazom.com, correos-seguridad.net.
Qué hacer: no te fíes del nombre mostrado. Mira la dirección de correo real. En la mayoría de los gestores de correo, un clic o el cursor sobre el nombre del remitente revela la dirección completa. Si no coincide exactamente con el dominio conocido de la organización, trata el correo como sospechoso. Ojo: una dirección correcta no basta por sí sola para demostrar legitimidad (el remitente mostrado a veces puede falsificarse), pero una dirección incorrecta condena el mensaje con total seguridad.
Señal 2 — El mensaje crea una urgencia artificial
«Tu cuenta será suspendida en 24 horas.» «Se requiere acción inmediata.» «Actividad sospechosa detectada, responde ahora.»
La urgencia es la herramienta más fiable del arsenal de un estafador. Está diseñada para cortocircuitar tu prudencia natural y hacerte actuar antes de que tengas tiempo de verificar.
Qué hacer: cuando un correo te presiona para actuar de inmediato, trata esa presión como la propia señal de alarma. Las organizaciones legítimas (bancos, servicios de pago, administraciones) no exigen respuestas instantáneas por correo. Cierra el mensaje y entra directamente en el sitio oficial para comprobar si tu cuenta tiene realmente un problema.
Señal 3 — Enlaces que llevan a otro sitio distinto del que muestran
Un correo puede mostrar el texto www.paypal.com mientras el enlace lleva en realidad a payp4l-seguridad.net. El texto visible y el destino real son dos cosas totalmente independientes.
Qué hacer: antes de hacer clic en un enlace, pasa el cursor por encima (sin hacer clic): el destino real aparece en la parte inferior de la ventana. En el móvil, una pulsación larga sobre el enlace muestra la dirección sin abrirla. Si no coincide exactamente con lo que esperas, no hagas clic: borra el correo y escribe tú mismo la dirección del sitio.
Señal 4 — Archivos adjuntos que no esperabas
Un adjunto inesperado (un PDF, un documento Word, un ZIP) es uno de los vectores más comunes de los ransomware. Abrirlo puede instalar silenciosamente un programa malicioso, aunque el archivo parezca abrirse con normalidad.
Qué hacer: no abras nunca un adjunto de un correo que no esperabas, aunque el remitente parezca alguien conocido. Su cuenta puede haber sido pirateada. Confirma con la persona por un canal separado (llamada, mensaje aparte) antes de abrirlo. Y ten presente el único seguro real contra un ransomware: una copia de seguridad regular de tus archivos importantes, en un disco externo desconectado o en una nube de confianza. Un archivo con copia no puede ser tomado como rehén.
Señal 5 — Peticiones de información personal por correo
Ningún banco, ningún servicio de pago, ninguna empresa legítima te pedirá tu contraseña, tu número de tarjeta o tus datos de identidad completos por correo. Sencillamente, no es así como funcionan estas organizaciones.
Qué hacer: si un correo te pide información sensible, detente de inmediato. No respondas. Contacta con la organización por un medio que ya conozcas (el número al dorso de tu tarjeta, la dirección del sitio que escribes tú mismo), nunca por los datos de contacto que aparecen en el propio correo.
Las 2 trampas clásicas
Trampa 1 — Fiarse de la apariencia visual
Un logotipo profesional, una identidad gráfica correcta, un diseño cuidado: nada de eso demuestra nada. Cualquiera puede copiar la identidad visual exacta de una organización en pocos minutos.
En qué fijarse en su lugar: la dirección real del remitente y el destino real de los enlaces. Son los elementos más difíciles de maquillar: el diseño, en cambio, se copia sin esfuerzo.
Trampa 2 — Responder bajo presión sin verificar
El miedo a perder el acceso a una cuenta, o a incumplir un plazo, es precisamente la emoción que explota el phishing. Bajo esa presión, es fácil responder sin pensar.
Qué hacer en su lugar: adopta una regla personal: todo correo que pida información sensible exige una verificación independiente previa. Llama a un número que ya tengas. Entra en el sitio directamente. Si el problema es real, seguirá ahí después de verificar.
Lo que de verdad importa
La mayoría de los intentos de phishing se apoyan en dos ingredientes: una apariencia convincente y una sensación de urgencia. Neutraliza uno de los dos, y el ataque pierde casi toda su eficacia.
El hábito más eficaz que puedes desarrollar cabe en una frase: no actuar nunca sobre un correo inesperado sin haber verificado su legitimidad de forma independiente. No a través del propio correo, sino por un canal separado y seguro.
Todo lo demás (comprobar direcciones, pasar el cursor por los enlaces, mantener los dispositivos al día, hacer copias de seguridad) refuerza ese único hábito fundamental.
Un método sencillo para empezar
Paso 1 — Entrena el ojo con las direcciones. Durante las próximas dos semanas, acostúmbrate a revelar la dirección completa de cada remitente en tu bandeja de entrada, incluso en los correos de confianza. Tres segundos cada vez, y el reflejo se vuelve automático.
Paso 2 — Pasa el cursor antes de hacer clic. Sistemáticamente, incluso con remitentes conocidos. Con la práctica, detectar un enlace fraudulento se vuelve instintivo.
Paso 3 — Aplica la regla de los 60 segundos. Cada vez que un correo cree urgencia, concédete 60 segundos antes de hacer nada. Abre una pestaña nueva, entra directamente en el sitio de la organización, comprueba si el problema es real. En casi todos los casos, no lo será.
Qué significa «suficientemente bien»:
- Principiante: compruebas las direcciones de los remitentes, reconoces el lenguaje urgente como señal de alarma y pasas el cursor por los enlaces antes de hacer clic
- Intermedio: no abres nunca adjuntos inesperados, verificas las peticiones de forma independiente antes de responder, y tus dispositivos y copias de seguridad están al día
- Avanzado — la verificación en dos pasos está activa en todas tus cuentas importantes, sabes dónde pedir ayuda ante un intento de fraude (la línea gratuita 017 de INCIBE), y reconoces el spear phishing: los ataques dirigidos construidos con tu información personal
Una nota honesta
Incluso los usuarios experimentados reciben correos de phishing realmente difíciles de identificar. Los ataques más sofisticados están diseñados por profesionales que saben exactamente cómo hacerlos convincentes.
El objetivo no es volverse imposible de engañar. El objetivo es frenar, verificar, y no facilitar nunca información sensible bajo presión. Ese único hábito te protege de la gran mayoría de los intentos.