El phishing es una técnica de engaño en la que alguien se hace pasar por una entidad de confianza (tu banco, una empresa de paquetería, la Seguridad Social, incluso tu propia empresa) para que introduzcas tus datos en una web falsa, hagas clic en un enlace malicioso o realices un pago.
No es un problema menor ni anticuado: es el punto de partida de la inmensa mayoría de los fraudes online, y las falsificaciones son cada vez mejores. Ya casi nunca se reconocen por «estar mal traducidas».
Cómo funciona realmente
El esquema casi siempre es el mismo:
- El anzuelo: un mensaje que provoca una emoción fuerte, normalmente miedo (tu cuenta será bloqueada), urgencia (tienes 24 horas) o codicia (has ganado algo).
- El enlace: te lleva a una web que imita casi perfectamente a la original.
- La captura: introduces usuario y contraseña, que van directos al estafador.
- El uso inmediato: en muchos casos, la web falsa te pide además el código de verificación que acabas de recibir por SMS, y lo usan al instante para entrar de verdad.
Las señales que delatan un intento de phishing
1. Urgencia artificial
«Su cuenta será suspendida en 24 horas», «paquete retenido, actúe ya», «último aviso». El objetivo es que actúes sin pensar ni consultar con nadie. Las entidades serias no gestionan así los asuntos importantes.
2. La dirección real del enlace
Es la comprobación más fiable de todas. En un ordenador, pasa el ratón por encima del enlace sin hacer clic: abajo a la izquierda verás la dirección real. En el móvil, mantén pulsado el enlace para que se muestre.
Fíjate en el dominio principal, que es lo que va justo antes de la primera barra:
banco.es/clientes→ legítimo.banco.es.verificacion-seguridad.info→ falso. El dominio real aquí es «verificacion-seguridad.info», no «banco.es».banco-es.comobancoes.net→ falso, dominio parecido pero distinto.
3. El remitente completo, no el nombre visible
El nombre que aparece se puede falsificar con total facilidad. Despliega la dirección de correo completa: es habitual encontrar cosas como «Banco Santander <noreply@marketing-xyz123.com>».
4. Te piden datos que nunca deberían pedirte
Contraseña completa, PIN, número completo de tarjeta con CVV, o un código de verificación recibido por SMS. Ninguna entidad legítima solicita esto por correo, SMS, WhatsApp ni teléfono.
5. Saludos genéricos
«Estimado cliente», «Hola usuario». Tu banco conoce tu nombre. No es una prueba definitiva (algunos ataques sí lo personalizan), pero es una señal.
6. Archivos adjuntos inesperados
Especialmente si son .zip, .exe, o documentos de Office que al abrirse piden «habilitar macros». Esa petición es casi siempre malware.
Las variantes según el canal
| Canal | Nombre | Táctica habitual |
|---|---|---|
| Correo electrónico | Phishing | Suplantación de bancos, Hacienda, servicios de suscripción |
| SMS | Smishing | Paquetes retenidos, multas, avisos de entrega |
| Llamada telefónica | Vishing | Falso técnico de soporte o del departamento antifraude |
| Códigos QR | Quishing | Pegatinas falsas sobre QR legítimos en parquímetros o carteles |
El phishing dirigido: cuando va a por ti
Existe una variante más peligrosa en la que el atacante ha investigado previamente. Usa tu nombre, sabe dónde trabajas, menciona a un compañero real. En el ámbito laboral es frecuente el llamado «fraude del CEO»: un correo que parece de tu jefe pidiendo una transferencia urgente y confidencial.
Contra esto no sirve fijarse en faltas de ortografía: la única defensa es verificar por otro canal. Ante cualquier petición de dinero o datos, llama a la persona por teléfono usando un número que ya tuvieras, no el que aparece en el mensaje.
Qué hacer si recibes uno
- No hagas clic en el enlace ni abras adjuntos.
- No respondas, ni siquiera para quejarte: confirmarías que tu dirección está activa.
- Verifica por tu cuenta: si dudas, entra a la web oficial escribiendo tú mismo la dirección, o llama al teléfono que figura en tu contrato o en el reverso de tu tarjeta.
- Marca como phishing o spam desde tu gestor de correo. Ayuda a proteger a otros usuarios.
Qué hacer si ya has picado
Actúa rápido, en este orden:
- Cambia la contraseña inmediatamente del servicio afectado, desde un dispositivo distinto si sospechas de infección.
- Cámbiala también en cualquier otro sitio donde la reutilizaras.
- Si diste datos bancarios: llama al banco de inmediato para bloquear la tarjeta y revisar movimientos. Existe margen para revertir operaciones recientes.
- Activa la verificación en dos pasos si no la tenías.
- Revisa la actividad reciente de la cuenta y cierra todas las sesiones abiertas.
- Denuncia ante la policía si ha habido perjuicio económico; es necesario para reclamar.
Si sospechas que ya han accedido a tus cuentas, sigue los pasos detallados de cómo saber si te han hackeado el correo y qué hacer.
Cómo reducir el riesgo de forma permanente
- Verificación en dos pasos en todas las cuentas importantes: es la barrera más eficaz.
- Gestor de contraseñas: además de generar claves únicas, no autorrellena en webs falsas, lo que funciona como aviso automático.
- Mantén el sistema y el navegador actualizados: bloquean muchos sitios fraudulentos conocidos.
- Desconfía por defecto de la urgencia. Es la emoción que explotan todos estos fraudes.
La regla que resume todo: ninguna entidad seria te pedirá jamás tu contraseña completa o un código de verificación. Si te lo piden, es una estafa, sin excepciones.
