Cómo detectar el phishing: señales, ejemplos y qué hacer si caes

Detectar el phishing a tiempo evita muchas brechas de seguridad, robos de credenciales y fugas de datos personales. El phishing es una técnica de fraude en la que un atacante se hace pasar por una empresa, banco, proveedor, administración pública o persona conocida para que la víctima entregue información, pulse un enlace, descargue un archivo o autorice un pago.

Hoy el phishing ya no llega solo por correo electrónico. También aparece por SMS, WhatsApp, redes sociales, llamadas, códigos QR, formularios falsos y anuncios patrocinados. Por eso conviene mirar el mensaje completo, el contexto y la acción que nos pide, no solo si el diseño parece profesional.

Señales habituales para detectar phishing

• Urgencia o miedo: mensajes que anuncian bloqueos de cuenta, multas, entregas retenidas, pagos inmediatos o consecuencias graves si no actúas en minutos.
• Remitente sospechoso: dominios parecidos al real, direcciones gratuitas, faltas pequeñas o una dirección que no encaja con la entidad que dice escribir.
• Enlaces que no coinciden: el texto parece legítimo, pero al revisar el enlace apunta a otra web, a un dominio extraño o a una URL acortada.
• Solicitud de datos sensibles: contraseñas, códigos de verificación, tarjetas, DNI, datos bancarios, credenciales corporativas o información de clientes.
• Adjuntos inesperados: facturas, supuestas notificaciones, documentos comprimidos o archivos que piden habilitar macros o permisos.
• Errores de tono o contexto: saludos genéricos, presión emocional, traducciones extrañas o una petición que no encaja con la relación habitual.
• Ofertas demasiado buenas: premios, devoluciones, descuentos o oportunidades que exigen actuar sin verificar.

Checklist antes de hacer clic

1. Comprueba el dominio real del remitente y no solo el nombre visible.
2. Pasa el cursor sobre el enlace, o mantén pulsado en móvil, para ver la dirección antes de abrirla.
3. Accede a la web escribiendo la dirección oficial en el navegador, no desde el enlace recibido.
4. Contrasta la petición por otro canal si implica pagos, datos personales, credenciales o cambios de cuenta bancaria.
5. No descargues adjuntos inesperados y no habilites macros ni permisos si no tienes certeza de su origen.
6. Desconfía de mensajes que mezclan urgencia, amenaza y solicitud de datos.
7. En la empresa, reporta el mensaje al responsable interno antes de reenviarlo o contestar.

Qué hacer si has pulsado un enlace de phishing

Si solo has abierto el enlace pero no has introducido datos, cierra la página, no descargues archivos y avisa al equipo técnico si se trata de un dispositivo de empresa. Si has introducido credenciales, cambia la contraseña inmediatamente desde la web oficial, activa o revisa el doble factor de autenticación y cierra sesiones abiertas.

Si has facilitado datos bancarios o códigos de verificación, contacta con tu banco cuanto antes. Si puede haber datos personales afectados en una empresa, documenta el incidente, conserva evidencias y valora si procede comunicar una brecha de seguridad conforme al RGPD.

Medidas para empresas

• Formar a la plantilla con ejemplos reales y simulaciones moderadas.
• Activar doble factor de autenticación en correo, aplicaciones críticas y accesos remotos.
• Configurar filtros antiphishing, SPF, DKIM y DMARC en el dominio corporativo.
• Definir un canal interno sencillo para reportar correos sospechosos.
• Separar permisos: no todos los usuarios deben poder aprobar pagos, acceder a todos los datos o instalar software.
• Tener un protocolo de respuesta para robo de credenciales, malware, pagos fraudulentos y brechas de datos.

Fuentes oficiales recomendadas

• INCIBE: qué es el phishing.
• INCIBE: cómo evitar ser víctima de phishing.
• AEPD: consejos para evitar ser víctima de phishing.
• NCSC: defensas frente a ataques de phishing.
• CISA: reconocer y reportar phishing.

Conclusión

La mejor defensa contra el phishing combina atención humana, formación y controles técnicos. Antes de hacer clic, responder o descargar un archivo, detente unos segundos y verifica el remitente, el enlace y la petición. En protección de datos, esa pausa puede evitar una brecha, una pérdida económica y un problema reputacional.