Detectar el phishing a tiempo evita muchas brechas de seguridad, robos de credenciales y fugas de datos personales. El phishing es una técnica de fraude en la que un atacante se hace pasar por una empresa, banco, proveedor, administración pública o persona conocida para que la víctima entregue información, pulse un enlace, descargue un archivo o autorice un pago.
Hoy el phishing ya no llega solo por correo electrónico. También aparece por SMS, WhatsApp, redes sociales, llamadas, códigos QR, formularios falsos y anuncios patrocinados. Por eso conviene mirar el mensaje completo, el contexto y la acción que nos pide, no solo si el diseño parece profesional.
En este artículo vamos a tratar...
Señales habituales para detectar phishing
- Urgencia o miedo: mensajes que anuncian bloqueos de cuenta, multas, entregas retenidas, pagos inmediatos o consecuencias graves si no actúas en minutos.
- Remitente sospechoso: dominios parecidos al real, direcciones gratuitas, faltas pequeñas o una dirección que no encaja con la entidad que dice escribir.
- Enlaces que no coinciden: el texto parece legítimo, pero al revisar el enlace apunta a otra web, a un dominio extraño o a una URL acortada.
- Solicitud de datos sensibles: contraseñas, códigos de verificación, tarjetas, DNI, datos bancarios, credenciales corporativas o información de clientes.
- Adjuntos inesperados: facturas, supuestas notificaciones, documentos comprimidos o archivos que piden habilitar macros o permisos.
- Errores de tono o contexto: saludos genéricos, presión emocional, traducciones extrañas o una petición que no encaja con la relación habitual.
- Ofertas demasiado buenas: premios, devoluciones, descuentos o oportunidades que exigen actuar sin verificar.
Checklist antes de hacer clic
- Comprueba el dominio real del remitente y no solo el nombre visible.
- Pasa el cursor sobre el enlace, o mantén pulsado en móvil, para ver la dirección antes de abrirla.
- Accede a la web escribiendo la dirección oficial en el navegador, no desde el enlace recibido.
- Contrasta la petición por otro canal si implica pagos, datos personales, credenciales o cambios de cuenta bancaria.
- No descargues adjuntos inesperados y no habilites macros ni permisos si no tienes certeza de su origen.
- Desconfía de mensajes que mezclan urgencia, amenaza y solicitud de datos.
- En la empresa, reporta el mensaje al responsable interno antes de reenviarlo o contestar.
Qué hacer si has pulsado un enlace de phishing
Si solo has abierto el enlace pero no has introducido datos, cierra la página, no descargues archivos y avisa al equipo técnico si se trata de un dispositivo de empresa. Si has introducido credenciales, cambia la contraseña inmediatamente desde la web oficial, activa o revisa el doble factor de autenticación y cierra sesiones abiertas.
Si has facilitado datos bancarios o códigos de verificación, contacta con tu banco cuanto antes. Si puede haber datos personales afectados en una empresa, documenta el incidente, conserva evidencias y valora si procede comunicar una brecha de seguridad conforme al RGPD.
Medidas para empresas
- Formar a la plantilla con ejemplos reales y simulaciones moderadas.
- Activar doble factor de autenticación en correo, aplicaciones críticas y accesos remotos.
- Configurar filtros antiphishing, SPF, DKIM y DMARC en el dominio corporativo.
- Definir un canal interno sencillo para reportar correos sospechosos.
- Separar permisos: no todos los usuarios deben poder aprobar pagos, acceder a todos los datos o instalar software.
- Tener un protocolo de respuesta para robo de credenciales, malware, pagos fraudulentos y brechas de datos.
Fuentes oficiales recomendadas
- INCIBE: qué es el phishing.
- INCIBE: cómo evitar ser víctima de phishing.
- AEPD: consejos para evitar ser víctima de phishing.
- NCSC: defensas frente a ataques de phishing.
- CISA: reconocer y reportar phishing.
Conclusión
La mejor defensa contra el phishing combina atención humana, formación y controles técnicos. Antes de hacer clic, responder o descargar un archivo, detente unos segundos y verifica el remitente, el enlace y la petición. En protección de datos, esa pausa puede evitar una brecha, una pérdida económica y un problema reputacional.