«Su cuenta ha sido bloqueada», «Tiene un paquete pendiente de entrega», «Ha ganado un premio», «Mamá, se me rompió el móvil, este es mi número nuevo». Seguro que has recibido mensajes parecidos. Son ejemplos de phishing: engaños que se hacen pasar por un banco, una empresa conocida o incluso un familiar para conseguir tus contraseñas, los datos de tu tarjeta o directamente tu dinero.
La buena noticia es que casi todos estos mensajes tienen señales que los delatan. En esta guía aprenderás a reconocerlas y qué hacer si ya has caído en la trampa.
¿Qué es el phishing y por qué funciona?
El phishing es una técnica de engaño en la que el estafador suplanta a alguien de confianza. No necesita «hackear» nada: solo necesita que tú hagas clic en un enlace, escribas tus datos en una página falsa o le envíes un código. Funciona porque juega con emociones muy humanas: el miedo (a perder la cuenta o a una multa), la urgencia (hay que actuar ya), la curiosidad o la ilusión de un premio.
Según el canal, recibe distintos nombres: phishing (correo electrónico), smishing (SMS), vishing (llamadas de voz) y las estafas por WhatsApp y redes sociales.
Las 10 señales de alarma
- Urgencia o amenaza. «Si no actúa en 24 horas, su cuenta será cancelada». Las empresas reales rara vez presionan así.
- Remitente extraño. El nombre dice «Banco» o «Correos», pero la dirección real es algo como soporte-seguridad@cuenta-verificacion.xyz. Pulsa sobre el nombre para ver la dirección completa.
- Enlaces que no coinciden. En el ordenador, pasa el ratón por encima del enlace sin hacer clic y mira la dirección que aparece abajo. En el móvil, mantén pulsado el enlace para ver la URL. Desconfía de dominios con letras cambiadas, guiones extra o terminaciones raras.
- Petición de datos sensibles. Ningún banco te pedirá por correo o SMS tu contraseña, el PIN de tu tarjeta, el código CVV o los códigos que recibes por SMS.
- Saludo genérico. «Estimado cliente» en lugar de tu nombre.
- Errores de ortografía o traducciones extrañas. Aunque cada vez son menos frecuentes, siguen siendo una pista.
- Archivos adjuntos inesperados. Facturas, «comprobantes» o documentos comprimidos (.zip, .rar) o con extensiones como .exe, .scr o .js.
- Ofertas demasiado buenas. Premios, sorteos en los que no participaste o productos a precios imposibles.
- Pequeños pagos por un envío. «Su paquete está retenido; pague una pequeña tasa de envío para liberarlo». El objetivo es conseguir los datos de tu tarjeta.
- Cambio de canal o de número. Un «familiar» que te escribe desde un número desconocido y pide dinero con urgencia.
Ejemplos habituales
El falso banco
Recibes un SMS que parece de tu banco, incluso puede aparecer en el mismo hilo que sus mensajes reales, avisando de un «acceso sospechoso» y con un enlace para «verificar tu identidad». El enlace lleva a una copia exacta de la web del banco. Si introduces tus datos, los estafadores entran en tu cuenta y te piden después el código de confirmación por SMS para autorizar transferencias.
La paquetería
Un mensaje de una supuesta empresa de envíos dice que tu paquete no pudo entregarse y te pide actualizar la dirección y pagar una pequeña tasa. Lo envían de forma masiva sabiendo que mucha gente espera algún paquete.
«Hola mamá/papá»
Por WhatsApp, alguien dice ser tu hijo o hija con un número nuevo porque «se le rompió el móvil». Tras unos mensajes, pide que hagas una transferencia urgente porque no puede acceder a su banca.
El soporte técnico falso
Aparece en el navegador una alerta a pantalla completa diciendo que tu PC está infectado y que llames a un número de «soporte de Microsoft». Al otro lado te piden instalar un programa de control remoto y pagar por una «reparación». Microsoft nunca muestra estos avisos ni llama sin que lo solicites.
Cómo protegerte
- No hagas clic en enlaces de mensajes inesperados. Si tienes dudas, entra en la web o la app oficial escribiendo tú la dirección o abriendo la aplicación que ya tienes instalada.
- Verifica por otro canal. Llama a tu banco al número que aparece en tu tarjeta o en su web oficial. Si un «familiar» pide dinero, llámale al número de siempre o hazle una pregunta que solo él sepa responder.
- Activa la verificación en dos pasos en tus cuentas importantes.
- Nunca compartas códigos recibidos por SMS, aunque te digan que te los enviaron «por error».
- Mantén actualizados el sistema, el navegador y el antivirus: bloquean muchas páginas fraudulentas conocidas.
- Usa un gestor de contraseñas. Solo rellenará tus datos en la web auténtica, no en una copia con otra dirección.
¿Ya hiciste clic o diste tus datos? Qué hacer
- Si diste datos bancarios: llama de inmediato a tu banco al número oficial y pide bloquear la tarjeta o la cuenta. Cuanto antes actúes, más posibilidades hay de frenar cargos.
- Si diste una contraseña: cámbiala enseguida desde la web oficial, y también en cualquier otra cuenta donde usaras la misma. Cierra las sesiones abiertas en otros dispositivos.
- Si instalaste algo o diste acceso remoto: desconecta el equipo de Internet, desinstala el programa y realiza un análisis completo con tu antivirus. Cambia después tus contraseñas desde otro dispositivo de confianza.
- Si te robaron WhatsApp: vuelve a registrar tu número en la app para expulsar al atacante y avisa a tus contactos de que no atiendan peticiones de dinero.
- Denuncia el caso ante la policía o la autoridad competente de tu país y guarda capturas de los mensajes como prueba.
Preguntas frecuentes
¿Es peligroso solo abrir un correo de phishing?
En general, abrir y leer el correo no es peligroso. El riesgo está en hacer clic en los enlaces, descargar adjuntos o responder con datos. Márcalo como spam o phishing y elimínalo.
¿El candado del navegador garantiza que la web es segura?
No. El candado (HTTPS) solo indica que la conexión está cifrada. Muchas páginas fraudulentas también lo tienen. Lo importante es comprobar que la dirección sea exactamente la oficial.
¿Cómo denuncio un SMS o correo fraudulento?
En Gmail y Outlook puedes usar la opción «Denunciar phishing». Para SMS, bloquea el número y reenvía el mensaje a tu operador si ofrece ese servicio. Muchos bancos también tienen una dirección para reportar fraudes.
Conclusión
El phishing se basa en la prisa y la confianza. La regla de oro es sencilla: si un mensaje te mete prisa y te pide datos o dinero, detente y verifica por otro canal. Ninguna entidad seria te pedirá contraseñas ni códigos por mensaje. Compartir esta información con tu familia, especialmente con las personas mayores, es una de las mejores formas de evitar estafas.
