Cómo detectar un correo de phishing

¿Qué es el phishing por correo electrónico?

El phishing es una técnica de ingeniería social en la que un atacante se hace pasar por una persona, empresa o institución de confianza para conseguir que la víctima revele información, abra un archivo peligroso o visite una página fraudulenta.

El correo electrónico es uno de los canales utilizados para este tipo de ataque. El mensaje puede afirmar que existe un problema con tu cuenta, que tienes un paquete pendiente, que debes confirmar una factura o que has ganado un premio.

El objetivo suele ser conseguir credenciales, información financiera, datos personales o que descargues software malicioso. Algunas campañas también buscan comprometer cuentas corporativas para acceder a documentos y sistemas internos.

¿Qué tipos de phishing existen?

10 señales para detectar un correo de phishing

Un correo sospechoso no siempre presenta todos estos indicios. A veces basta una señal importante, como un dominio falso o una petición inusual de credenciales, para detenerse y comprobar su autenticidad.

1. El mensaje exige actuar de inmediato

Los estafadores suelen crear una sensación de urgencia para evitar que analices el mensaje con calma. Pueden amenazarte con cerrar una cuenta, bloquear una tarjeta, cancelar un pedido o aplicar una multa si no actúas en pocos minutos.

Frases como «último aviso», «acción obligatoria» o «tu cuenta será suspendida hoy» merecen atención especial, sobre todo si incluyen un enlace para resolver el supuesto problema.

2. El remitente utiliza una dirección extraña

El nombre visible puede decir «Soporte del banco» mientras la dirección real pertenece a un dominio sin relación con esa entidad. Comprueba la dirección completa y no te quedes únicamente con el nombre mostrado en la bandeja de entrada.

3. El dominio contiene errores sutiles

Un atacante puede registrar una dirección parecida a la original cambiando una letra, añadiendo palabras o utilizando caracteres que se parecen visualmente. Por ejemplo, puede reemplazar una letra por un número o añadir un término como «seguridad» a un dominio engañoso.

La apariencia del texto no basta: revisa cuidadosamente el dominio real. Además, un dominio extraño no siempre prueba que sea fraude, y un dominio que parece correcto tampoco garantiza por sí solo que el mensaje sea legítimo.

4. Te pide contraseñas o información confidencial

Desconfía de solicitudes inesperadas para enviar por correo contraseñas, códigos de verificación, PIN, números completos de tarjetas o claves de acceso. No respondas con información sensible ni la introduzcas en una página abierta desde un mensaje sospechoso.

5. Incluye enlaces que no coinciden con el texto

El mensaje puede mostrar «Acceder a mi cuenta» o «Ver factura», pero el enlace puede llevar a un dominio distinto. En una computadora, coloca el cursor encima del enlace sin hacer clic para revisar la dirección de destino. En el móvil, evita abrirlo; según el dispositivo, puedes mantenerlo pulsado para inspeccionar la dirección, siempre sin seleccionar una opción que lo abra.

6. Tiene archivos adjuntos inesperados

Facturas, comprobantes, documentos comprimidos y supuestos informes pueden utilizarse para distribuir malware o conducir a páginas falsas. Ten especial cuidado con archivos ejecutables, documentos que solicitan habilitar macros y archivos que no esperabas recibir.

7. El saludo o el contexto no encajan

Un mensaje genérico puede ser sospechoso si afirma que existe una relación comercial que no tienes. Sin embargo, un saludo personalizado tampoco garantiza seguridad: los atacantes pueden conocer tu nombre y otros detalles públicos.

8. Ofrece premios, reembolsos o ganancias inesperadas

Desconfía de mensajes que prometen premios en concursos en los que no participaste, grandes descuentos, reembolsos inesperados o beneficios que exigen pagar una tasa o proporcionar datos bancarios para recibirlos.

9. Solicita un pago o un cambio de cuenta bancaria

Si un proveedor comunica que cambió su cuenta bancaria, o alguien de tu empresa pide una transferencia urgente, verifica la instrucción por un canal independiente y conocido. No uses únicamente el teléfono o los datos de contacto incluidos en el correo sospechoso.

10. El mensaje resulta extraño aunque parezca profesional

Los errores ortográficos pueden ser una señal, pero ya no son un requisito para detectar phishing. Los atacantes pueden redactar mensajes claros y convincentes, incluso con ayuda de herramientas de inteligencia artificial. Presta más atención al remitente, el destino de los enlaces, la solicitud y el contexto.

Cómo revisar el remitente y el dominio de un correo

Revisar la dirección de origen es uno de los pasos más útiles para detectar un correo de phishing. No obstante, el campo del remitente puede falsificarse, por lo que debes combinar esta comprobación con otras señales.

Comprueba la dirección completa

1. Abre los detalles del remitente en tu aplicación de correo.
2. Compara el dominio después del símbolo «@» con el dominio oficial de la empresa.
3. Busca errores de escritura, palabras añadidas o terminaciones inesperadas.
4. Si el mensaje afirma que existe una incidencia en tu cuenta, entra directamente al servicio oficial para comprobarla.

¿Qué significan SPF, DKIM y DMARC?

Son mecanismos de autenticación del correo que ayudan a los servidores a evaluar si un mensaje está autorizado y si ciertos datos de su origen son coherentes:

• SPF: indica qué servidores están autorizados a enviar correo en nombre de un dominio.
• DKIM: permite verificar una firma digital asociada al mensaje.
• DMARC: establece políticas y comprobaciones relacionadas con SPF, DKIM y la alineación del dominio visible.

Estos mecanismos ayudan a combatir la suplantación, pero no garantizan que todo mensaje autenticado sea seguro. Un atacante también puede utilizar una cuenta legítima comprometida o registrar un dominio parecido al de una empresa.

Cómo comprobar enlaces y archivos adjuntos sospechosos

Cómo analizar un enlace sin abrirlo

1. No pulses el enlace para averiguar si es seguro.
2. En una computadora, coloca el cursor encima sin hacer clic y observa la dirección de destino.
3. Identifica el dominio principal y busca diferencias con la dirección oficial.
4. Si el enlace está acortado o no puedes comprobar su destino, no lo abras.
5. Entra al servicio escribiendo su dirección en el navegador o utilizando la aplicación oficial.

¿Qué hacer con un archivo adjunto inesperado?

• Confirma con el remitente, por otro canal, que realmente envió el archivo.
• No habilites macros ni contenido activo porque el documento lo solicite.
• No instales programas ni extensiones desde enlaces recibidos por correo sin verificar su origen.
• Utiliza las herramientas de seguridad del dispositivo y mantén el sistema actualizado.
• Si el mensaje pertenece a tu trabajo, consulta con el equipo de tecnología antes de abrir el archivo.

Evita cargar documentos confidenciales, facturas privadas o archivos de tu empresa en páginas públicas de análisis de enlaces o archivos. Si necesitas comprobarlos, utiliza las herramientas autorizadas por tu organización.

Ejemplos de correos de phishing y cómo reconocerlos

Los siguientes ejemplos son ficticios. Sirven para ilustrar señales de riesgo y no representan mensajes de empresas concretas.

Qué hacer si recibes un correo de phishing

Si todavía no has interactuado con el mensaje, lo más importante es evitar el contacto con los elementos potencialmente peligrosos y reportarlo mediante las herramientas disponibles.

1. No respondas: no confirmes que tu dirección está activa ni envíes información personal.
2. No abras enlaces ni archivos adjuntos: tampoco pulses botones para iniciar sesión o descargar documentos.
3. Verifica por otro canal: contacta con la empresa o la persona mediante su aplicación oficial, una dirección conocida o un teléfono obtenido independientemente.
4. Reporta el mensaje: utiliza las opciones de phishing, correo no deseado o reporte de seguridad de tu servicio.
5. Elimínalo: después de reportarlo, evita volver a abrirlo.

Cómo reportar phishing en Gmail

1. Abre Gmail y selecciona el mensaje sospechoso.
2. Abre el menú de más opciones.
3. Selecciona «Reportar phishing» o la opción equivalente disponible en tu versión.

Puedes consultar la guía oficial de Google para evitar y reportar correos de phishing.

Cómo reportar phishing en Outlook

En Outlook, selecciona el mensaje y busca la opción de reporte de phishing en el menú de seguridad o en la barra de herramientas. Los pasos exactos pueden variar según la versión y el tipo de cuenta.

Consulta las recomendaciones oficiales de Microsoft para protegerte del phishing.

Qué hacer si ya hiciste clic en un enlace de phishing

Haber hecho clic no significa necesariamente que tu cuenta o dispositivo estén comprometidos. El riesgo depende de lo que ocurrió después: si introdujiste credenciales, descargaste un archivo, instalaste una aplicación o autorizaste una operación.

Si abriste el enlace, pero no introdujiste datos

• Cierra la página sospechosa sin seguir sus instrucciones.
• No descargues archivos ni aceptes permisos o notificaciones que no esperabas.
• Si se descargó un archivo, no lo abras y elimínalo si puedes hacerlo de forma segura.
• Actualiza el navegador y el sistema operativo.
• Si el navegador mostró advertencias de seguridad, no las ignores.

Si introdujiste una contraseña

1. Entra al sitio oficial escribiendo su dirección manualmente o utilizando su aplicación legítima.
2. Cambia inmediatamente la contraseña comprometida.
3. Si reutilizabas esa contraseña, cámbiala también en los demás servicios afectados.
4. Cierra sesiones desconocidas y revisa los métodos de recuperación de la cuenta.
5. Activa la autenticación multifactor si está disponible.

Si compartiste datos bancarios o realizaste un pago

Contacta de inmediato con tu banco o proveedor de pagos utilizando su número o aplicación oficial. Solicita que revisen las operaciones y pregunta qué medidas pueden tomar para proteger la cuenta o bloquear movimientos no autorizados.

Si descargaste o ejecutaste un archivo

No sigas utilizando el archivo. Ejecuta las comprobaciones de seguridad recomendadas para tu sistema y solicita ayuda técnica si observas comportamientos extraños. Si es un equipo de trabajo, avisa al equipo de tecnología o seguridad sin demora.

Cómo proteger tu correo electrónico contra el phishing

Además de reconocer mensajes fraudulentos, puedes reforzar la seguridad de tus cuentas con hábitos y configuraciones que dificultan los ataques.

• Utiliza contraseñas largas y diferentes para cada servicio.
• Activa la autenticación multifactor, preferiblemente con un método resistente al phishing cuando esté disponible.
• Mantén actualizado el sistema operativo, el navegador y las aplicaciones de correo.
• Activa las protecciones antispam y antiphishing que ofrezca tu proveedor.
• Revisa periódicamente las sesiones abiertas y los dispositivos conectados a tus cuentas.
• Evita descargar programas desde enlaces recibidos en mensajes inesperados.
• No compartas códigos de verificación ni apruebes solicitudes de inicio de sesión que no reconoces.
• En una empresa, establece un procedimiento para verificar pagos y cambios de cuentas bancarias.

¿Los filtros de spam son suficientes?

No. Los filtros de correo pueden detectar y bloquear numerosos mensajes maliciosos, pero algunos ataques logran llegar a la bandeja de entrada. Además, un mensaje puede proceder de una cuenta legítima que ha sido comprometida. Mantén el hábito de revisar el contexto y verificar solicitudes inusuales.

Recursos oficiales para mejorar la seguridad

Lista rápida para revisar un correo sospechoso

Antes de hacer clic, utiliza esta lista. Marca los puntos que hayas comprobado; las casillas funcionan localmente en la página y no envían tus respuestas a ningún servidor.

Conclusión: piensa antes de hacer clic

Detectar un correo de phishing consiste en analizar varias señales: quién lo envía, qué solicita, a dónde conducen sus enlaces y si el mensaje tiene sentido dentro de tu contexto. Un diseño profesional o una dirección aparentemente conocida no son garantías de autenticidad.

Ante la duda, no respondas, no abras adjuntos y no introduzcas tus credenciales. Entra directamente al servicio oficial y verifica cualquier solicitud importante por otro canal. Si ya compartiste información, cambia las credenciales afectadas y contacta cuanto antes con el proveedor correspondiente.

La prevención, las contraseñas únicas, la autenticación multifactor y el reporte de mensajes sospechosos ayudan a reducir el impacto de estos ataques, tanto en el ámbito personal como en el empresarial.