Cómo analizar enlaces sospechosos y evitar fraudes online

Los fraudes por correo, SMS, WhatsApp y anuncios falsos ya no dependen de textos torpes: ahora se apoyan en enlaces muy bien disfrazados para llevarte a un login falso, a un pago urgente o a una descarga maliciosa. Si aprendes a analizar enlaces antes de pulsar, reduces mucho el margen de error y entiendes cuándo un aviso merece atención real y cuándo solo intenta forzarte a actuar rápido. Aquí voy a lo práctico: qué mirar, qué herramientas aportan señal útil y qué hacer si ya has dado un clic.

Qué suele esconder un enlace fraudulento

Un enlace sospechoso no solo intenta llevarte a una web falsa. A veces busca robar credenciales, otras empujarte a un pago, y en campañas más agresivas descarga malware o abre la puerta a una segunda fase del ataque. La apariencia importa menos de lo que parece: un enlace puede copiar el nombre de una marca, usar un subdominio engañoso o esconder el destino detrás de redirecciones que a simple vista pasan desapercibidas.

Yo me fijo siempre en una idea básica: la confianza no la da el diseño, la da la coherencia. Si el mensaje habla de una factura, una devolución o un bloqueo de cuenta, pero la URL no encaja con la entidad, ya tengo una señal clara para frenar. INCIBE insiste en algo que sigue siendo válido: no hay que pulsar enlaces de mensajes sin verificar antes a dónde redirigen.

También conviene no caer en un error muy común: pensar que el candado del navegador lo resuelve todo. Una web fraudulenta puede usar https y seguir siendo una estafa. Por eso el siguiente paso no es mirar el icono, sino inspeccionar el destino real del enlace.

Cómo reviso una URL antes de hacer clic

Mi método es sencillo porque funciona en desktop y en móvil. No intento adivinar si el mensaje es falso por intuición; intento comprobar si la dirección encaja con lo que promete.

1. Compruebo el destino real. En ordenador paso el cursor por encima del enlace; en móvil mantengo pulsado para ver la URL completa o la previsualización.
2. Miro el dominio principal. Lo importante no es el texto bonito del enlace, sino la parte que identifica de verdad al sitio. Si aparece una marca dentro de un dominio extraño, desconfío.
3. Busco trucos visuales. Guiones raros, muchas subcarpetas, caracteres extraños, secuencias que empiezan por xn-- o la presencia de @ antes del dominio son motivos suficientes para parar.
4. Expando acortadores. Si la URL está acortada, no la trato como confiable hasta ver el destino final. Un acortador sin contexto es una caja cerrada.
5. Abro la web desde un acceso propio. Si el mensaje habla de tu banco, una plataforma de mensajería o una tienda, yo prefiero entrar desde un marcador guardado o desde la web oficial escrita a mano.

Hay un detalle que suele pasar desapercibido: el enlace puede parecer correcto en pantalla, pero el dominio final cambiar tras redirecciones. Por eso no basta con revisar la primera capa. Cuando un URL me interesa de verdad, sigo mirando hasta entender dónde acaba.

Con ese primer filtro ya reduces muchísimo el ruido, pero todavía faltan las señales que distinguen un susto visual de una estafa bastante bien montada.

Las señales que más peso tienen en phishing y estafas

No busco una sola pista mágica. Busco acumulación de señales. Cuantas más casen a la vez, más claro me queda que hay un problema.

La clave está en no sobrevalorar un solo detalle. Un mensaje puede estar bien escrito y seguir siendo fraudulento; otro puede tener faltas y ser legítimo. Yo prefiero interpretar el conjunto, porque en phishing lo que engaña de verdad es la combinación de presión, contexto y apariencia.

Cuando ese conjunto de señales me hace dudar, paso al tercer nivel: herramientas. Ahí es donde se gana tiempo sin exponerse de más.

Herramientas que me dan mejor señal que la intuición

Las herramientas no sustituyen el criterio, pero sí ayudan a ver lo que el ojo no ve: redirecciones, conexiones salientes, capturas de pantalla, el DOM, es decir, la estructura real del documento que ve el navegador, scripts y reputación previa. Yo suelo usar una combinación corta, no una lista interminable.

En urlscan.io me interesa especialmente que muestre captura, DOM y conexiones; eso ayuda a ver si la página realmente carga lo que promete o si solo está imitando una pantalla de acceso. No convierte la herramienta en infalible, pero sí la hace muy útil cuando el caso parece una campaña de phishing bien preparada.

Con VirusTotal soy más cuidadoso si la URL es sensible. Su modo privado permite analizar URLs sin exponerlas públicamente, algo útil cuando no quiero compartir contexto interno o un enlace que aún no debería circular. Si el caso es delicado, esa diferencia importa.

La idea no es coleccionar herramientas, sino sacar dos o tres señales fiables y decidir con rapidez. Y si la URL ya se abrió o se introdujeron datos, el problema cambia por completo.

Qué hago si ya abrí el enlace o introduje credenciales

Cuando el clic ya ha ocurrido, yo no pierdo tiempo intentando “ver si pasa algo”. Actúo como si el enlace fuese hostil hasta demostrar lo contrario.

1. Cierro la página y no la vuelvo a usar. Si he visto una pantalla de login rara o un formulario de pago, no la reapertro por curiosidad.
2. Cambio la contraseña desde el sitio oficial. Entro escribiendo la dirección a mano o desde un marcador propio, nunca desde el mensaje original.
3. Activo MFA si aún no estaba activa. La autenticación multifactor no arregla el clic, pero reduce mucho el daño si la clave ya se filtró.
4. Reviso otras cuentas donde reutilicé esa contraseña. Si repites claves, cambia también esas cuentas. Esa parte es poco glamourosa, pero evita incidentes mayores.
5. Si hubo datos bancarios, aviso al banco de inmediato. Cuanto antes se reporte, más opciones hay de cortar cargos o bloquear tarjetas.
6. Si descargué algo o escaneé un QR dudoso, reviso el dispositivo. Un antivirus actualizado ayuda, pero si el caso parece serio, la limpieza debe ser más amplia.
7. Conservo captura y detalles del mensaje. Sirven para el soporte, para denunciar y para ayudar a otros usuarios de la empresa o plataforma suplantada.

Las campañas más eficaces juegan con la rapidez. Por eso los primeros minutos importan tanto: si reaccionas pronto, el margen de daño baja de forma clara.

Después de ese escenario, merece la pena revisar los errores que más veo en gente con buena intención. Son repetitivos, pero muy caros.

Los errores que veo una y otra vez

Hay fallos que se repiten porque parecen pequeños, pero abren la puerta a todo lo demás. Yo los resumiría así:

• Confiar solo en el candado. HTTPS cifra la conexión, no certifica que la web sea legítima.
• Mirar el texto visible y no el dominio. El nombre que lees no siempre coincide con el sitio real.
• Entrar por el enlace del mensaje cuando ya sabías qué servicio era. Si esperabas una notificación real, usa el acceso oficial por tu cuenta.
• Ignorar los QR. Un código malicioso puede llevarte a una página falsa sin que veas la URL hasta el final.
• Responder desde el mismo canal. Si te contactan por correo o SMS, valida por una vía aparte, no contestando al propio mensaje.
• Subestimar un diseño limpio. Las estafas modernas ya no se caen por lo visual; caen por la coherencia técnica.

Mi regla práctica es simple: si un enlace quiere acelerar una decisión y al mismo tiempo me impide verificarla con calma, lo trato como sospechoso. No hace falta dramatizar; basta con no regalar confianza.

Con esos errores fuera del camino, queda la parte más útil: tres comprobaciones mínimas que yo no me salto ni cuando voy con prisa.

Las tres comprobaciones que no me salto aunque tenga prisa

Primera: reviso el dominio real. Si no sé decir con seguridad a qué empresa pertenece, no avanzo. Segunda: comparo el mensaje con el contexto. Una supuesta urgencia que no esperaba es una mala señal, aunque la web parezca convincente. Tercera: entro por una vía que controlo yo, no por la que me empuja el mensaje.

Ese trío funciona porque separa tres cosas distintas: apariencia, contexto y destino. Cuando las tres encajan, sigo investigando con herramientas. Cuando una falla, cierro la pestaña sin discutir con la intuición. Y si quieres un hábito todavía más sólido, usa un gestor de contraseñas: suele autocompletar solo en el dominio correcto, así que también te sirve como señal de alerta.