Cómo reconocer un intento de phishing antes de abrir un enlace

El phishing es una forma de engaño digital en la que alguien se hace pasar por una organización o persona legítima para conseguir que la víctima revele información privada, haga un pago o infecte su dispositivo. El Instituto Nacional de Ciberseguridad de España (INCIBE) describe, entre otros métodos, correos que aparentan proceder de bancos, redes sociales o instituciones públicas y que incorporan archivos adjuntos infectados o enlaces a páginas fraudulentas. El objetivo del mensaje no es solo robar contraseñas: también puede buscar datos de tarjetas, acceso a cuentas o la instalación de software dañino.

La señal más útil no siempre es un error ortográfico evidente

Un mensaje puede tener logotipos correctos, tono profesional y datos personales obtenidos de otras fuentes. En vez de confiar en la apariencia, observa qué te pide y qué consecuencia anuncia. La amenaza de bloquear una cuenta, la supuesta devolución urgente de dinero o la petición inesperada de confirmar credenciales merecen una pausa. La urgencia busca que reacciones antes de pensar; un mensaje alarmante no se vuelve legítimo solo porque parezca importante o provenga de un remitente conocido.

Examina la dirección real del remitente y el destino de los enlaces, sin pulsarlos

Los estafadores pueden usar dominios que se parecen al nombre de una empresa con pequeñas variaciones, palabras añadidas o terminaciones diferentes. En teléfono y ordenador se puede previsualizar un enlace, pero no conviene abrirlo para comprobar si parece correcto. Tampoco el candado o el prefijo HTTPS prueban por sí solos que el sitio pertenezca a la entidad que afirma ser: indican una conexión cifrada, no la honestidad del operador. Si tienes dudas, no introduzcas datos en esa página.

La comprobación más segura consiste en salir del mensaje y contactar con la entidad por una vía que ya sabes que es auténtica. Escribe tú mismo la dirección oficial en el navegador, usa la aplicación instalada desde una tienda legítima o llama al número que figura en una tarjeta o documento fiable. No respondas al correo sospechoso ni uses el teléfono o el enlace que incluye. Si el aviso menciona una compra, inicia sesión por separado y consulta allí los movimientos. Un aviso real de seguridad puede verificarse sin entregar información al remitente que lo envió.

Trata con cautela los adjuntos inesperados, aunque el mensaje parezca venir de un compañero

No habilites macros ni instales programas porque un correo lo solicite, y mantén actualizado el sistema y las aplicaciones. Un gestor de contraseñas puede ayudar a evitar que introduzcas credenciales en un dominio distinto al esperado; la autenticación multifactor añade una barrera, aunque nunca justifica aprobar una solicitud que no has iniciado. Para cuentas importantes, usa contraseñas únicas. Estas medidas no hacen imposible el fraude, pero limitan el daño si un mensaje logra engañar a alguien.

Si ya pulsaste el enlace o compartiste datos, actúa sin demora y desde un dispositivo de confianza

Cambia la contraseña afectada y cualquier otra que reutilice la misma clave; activa la autenticación multifactor y contacta con el banco si facilitaste información financiera o autorizaste una operación. Si descargaste un archivo, evita seguir usándolo y solicita ayuda técnica para revisar el dispositivo. Conserva el mensaje y sus datos para denunciarlo o reportarlo al proveedor del servicio. La respuesta temprana puede permitir bloquear accesos o pagos, y pedir ayuda no es motivo de vergüenza: estos mensajes están diseñados para parecer creíbles.