Cómo reconocer un correo, SMS o mensaje de phishing (y qué hacer si ya has pulsado)

El phishing es un engaño en el que alguien se hace pasar por una empresa, un banco, un organismo o una persona de confianza para que hagas algo: pulsar un enlace, introducir tus datos, descargar un archivo o hacer un pago. Cuando llega por SMS se suele llamar smishing, y por llamada, vishing. Los mensajes son cada vez más convincentes, pero casi todos comparten patrones que se pueden aprender a reconocer.

#Las señales de alerta

#1. Urgencia o miedo

«Tu cuenta será bloqueada en 24 horas», «Último aviso: paquete retenido», «Hemos detectado un cargo sospechoso». La urgencia busca que actúes antes de pensar.

#2. Te piden datos que ya tienen o que nunca piden así

Ningún banco te pedirá por correo o SMS tu contraseña completa, tu PIN, el código de verificación que acabas de recibir ni los datos completos de tu tarjeta.

#3. El remitente no cuadra

• La dirección de correo no corresponde al dominio oficial, por ejemplo, soporte@banco-seguridad-online.com en lugar del dominio real del banco.
• El nombre que se muestra es correcto, pero la dirección que hay detrás no.
• SMS desde números desconocidos que dicen ser tu banco. Ojo: los estafadores pueden falsificar el remitente para que el SMS aparezca en el mismo hilo que los mensajes legítimos.

#4. El enlace lleva a otro sitio

El texto del enlace puede decir una cosa y llevar a otra. Fíjate en el dominio real:

• https://www.mibanco.es/acceso → dominio mibanco.es.
• https://mibanco.es.verificacion-clientes.com/acceso → el dominio real es verificacion-clientes.com, no el banco.

El dominio es la parte justo antes de la primera barra /, leyendo de derecha a izquierda desde ahí.

#5. Pagos pequeños o métodos raros

«Paga 1,99 € de gastos de aduana», «compra tarjetas regalo», «haz un Bizum para recibir dinero». Son patrones típicos de fraude.

#6. Archivos adjuntos inesperados

Facturas, multas o «documentos escaneados» que no esperabas, sobre todo en formatos comprimidos o con macros. Lo explicamos en cómo detectar descargas sospechosas.

#7. El mensaje «de un familiar»

«Hola mamá, se me ha roto el móvil, este es mi número nuevo, ¿me puedes hacer una transferencia?». Llama al número antiguo antes de hacer nada.

#Cómo comprobar sin arriesgarte

• No uses los enlaces ni los teléfonos del mensaje. Abre la app oficial o escribe tú la dirección de la web.
• En el ordenador, pasa el ratón por encima del enlace sin pulsar y mira la dirección real, normalmente en la esquina inferior del navegador.
• En el móvil, mantén pulsado el enlace para ver la dirección sin abrirla.
• Llama a la empresa por su número oficial, el de su web o el de tu tarjeta.

#Qué hacer si ya has pulsado o has dado datos

Actúa rápido y sin vergüenza: le pasa a mucha gente.

1. Si has introducido una contraseña: cámbiala de inmediato desde la web o app oficial, y en cualquier otro servicio donde la uses. Activa la verificación en dos pasos.
2. Si has dado datos bancarios o de tarjeta: llama a tu banco por el número oficial para bloquear la tarjeta y revisar movimientos.
3. Si has descargado e instalado algo: desconecta el dispositivo de internet, pasa un análisis con el antivirus y, si es un móvil, desinstala la app.
4. Si has hecho un pago: contacta con tu banco cuanto antes; en algunos casos se puede intentar retener la operación.
5. Revisa tus cuentas por si hay cambios que no reconoces. Si sospechas que han entrado, sigue los pasos de cómo recuperar una cuenta hackeada.
6. Denuncia ante la policía si ha habido pérdida económica o suplantación.

#Dónde pedir ayuda y avisar

• España: la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, es gratuita y confidencial.
• Reino Unido: el NCSC permite reenviar correos sospechosos a su servicio de denuncias.
• Estados Unidos: la FTC explica cómo denunciar intentos de phishing.
• Otros países: consulta el CERT o el organismo de ciberseguridad nacional.

Además, usa la opción «Denunciar phishing» o «Spam» de tu correo y bloquea el número en el móvil.

#Conclusión

La mayoría de los fraudes se detectan con tres preguntas: ¿me meten prisa?, ¿me piden datos o dinero de forma poco habitual?, ¿el enlace o el remitente coinciden con el oficial? Ante la duda, no pulses: entra por la app o la web oficial. Y si ya has caído, cambia contraseñas, avisa a tu banco y pide ayuda; actuar en las primeras horas reduce mucho los daños.