Cómo comprobar un enlace antes de abrirlo - Evita el phishing

Qué miro primero cuando quiero saber si una URL es fiable

Yo empiezo por el dominio, no por el diseño. En un enlace como seguridad-banco-ejemplo.com, lo importante no es la palabra “banco”, sino el dominio real que queda al final antes de la extensión; ahí es donde suelen esconderse los engaños por suplantación.

Hay tres pistas que reviso casi sin pensar: el dominio principal, el subdominio y la extensión. Un subdominio como soporte o verificacion puede parecer serio, pero no convierte una web en oficial; si la marca aparece antes del dominio real, el truco suele estar precisamente ahí. También me fijo en extensiones poco coherentes con lo que se anuncia: un archivo .zip o .exe no debería presentarse como una página normal, y un sitio bancario o institucional mal montado ya merece desconfianza.

El HTTPS me interesa, pero solo como parte del cuadro. Una conexión cifrada no prueba identidad; indica que la comunicación está protegida, no que estés en la web correcta. Esa es una de las confusiones más caras en phishing, porque el candado tranquiliza demasiado y el atacante lo sabe. Ese juego de imitar marcas con una letra cambiada se conoce como typosquatting, y sigue funcionando porque a simple vista engaña bastante. Esa lectura inicial me ahorra muchos sustos, pero todavía falta el punto ciego más habitual: los acortadores y las redirecciones.

Los enlaces acortados y las redirecciones exigen más cautela

Un enlace corto puede ser útil, pero también es ideal para ocultar la dirección real. INCIBE recuerda que estos enlaces pueden esconder el destino final y dirigir a páginas peligrosas, así que yo no los abro “a ciegas”, sobre todo cuando llegan por SMS, mensajería instantánea o redes sociales.

La técnica más simple es expandirlo antes de pulsar. En ordenador, paso el cursor por encima para ver la URL real cuando el navegador lo permite; en móvil, prefiero mantener pulsado el enlace o copiarlo en un analizador que muestre la dirección completa. Si el servicio final no coincide con lo que prometía el mensaje, corto ahí mismo. Una redirección rara no siempre significa malware, pero sí me dice que alguien está intentando separar el texto visible del destino real.

Mi regla es simple: si el enlace necesita que yo confíe en él sin mirar, ya está pidiendo demasiado. Y cuando eso ocurre, las herramientas dejan de ser un extra y pasan a ser una barrera útil.

Las herramientas que sí me sirven para verificar el destino

No necesito veinte utilidades distintas; necesito pocas y bien entendidas. Las que mejor funcionan son las que combinan señales automáticas con una lectura humana sensata, porque un resultado “limpio” no siempre elimina el riesgo y un aviso aislado tampoco sentencia por sí solo.

En la práctica, yo combino navegador + analizador + verificación visual. Si todo coincide, sigo; si una sola pieza chirría, no me compensa seguir probando suerte. Con esa base ya se puede montar una rutina rápida y bastante fiable.

La secuencia práctica que sigo antes de hacer clic

Cuando un enlace me genera dudas, aplico siempre el mismo orden. No es sofisticado, pero funciona porque reduce el margen de error cuando vas con prisa o cuando el mensaje te intenta empujar a reaccionar sin pensar.

1. Leo el contexto completo: quién lo envía, por qué lo envía y si yo esperaba ese mensaje.
2. Identifico el dominio real y descarto subdominios decorativos o nombres que solo imitan a la marca.
3. Expando el enlace si está acortado y compruebo a dónde redirige de verdad.
4. Miro si el navegador enseña una advertencia de sitio peligroso, conexión no segura o contenido bloqueado.
5. Si sigo con dudas, pego la URL en un analizador y comparo el destino con lo que prometía el mensaje.
6. Si el enlace pretende llevarme a iniciar sesión, entro en la web escribiendo yo mismo la dirección o desde un favorito guardado, no desde el mensaje.

En móvil, esta rutina importa todavía más, porque ver la URL completa suele ser menos cómodo y el usuario se salta pasos. Yo prefiero perder quince segundos y no una cuenta entera. A partir de aquí, lo que queda son las señales de phishing que más se repiten y que nunca me gustaría normalizar.

Las señales de phishing que yo no ignoro

INCIBE resume bien el patrón: estos enlaces llegan por correo, SMS, mensajería instantánea, redes sociales, foros o anuncios, y casi siempre buscan que hagas algo rápido sin revisar. En España veo mucho la mezcla de urgencia, imitación de banco, supuesta incidencia con un paquete o aviso de una administración pública; el objetivo no cambia, solo cambia la excusa.

• Urgencia artificial: “tu cuenta se bloqueará”, “te queda una hora”, “confirma ahora”. Si me fuerzan el ritmo, desconfío.
• Marca imitada: logos correctos, pero dominio flojo. El diseño puede copiarse; el dominio real, no tanto.
• Petición de credenciales o códigos: si te piden contraseña, PIN o código de un solo uso, el riesgo sube mucho.
• Mismatched text: el texto del enlace dice una cosa y la URL lleva a otra. Esa diferencia suele ser la pista más útil.
• Archivos o terminaciones raras: si el supuesto trámite acaba en .zip o .exe, no me parece una web normal.
• Lenguaje torpe o incoherente: no siempre hay faltas, pero cuando las hay, muchas campañas caen por ahí.

Lo importante no es memorizar una lista infinita, sino reconocer el patrón: te piden prisa, te piden confianza y te empujan a saltarte la verificación. Si ya has hecho clic o has metido datos, toca cambiar el enfoque y pensar en contención.

Si ya has abierto el enlace, actúa así sin perder tiempo

Si no has introducido ningún dato, la mejor decisión suele ser cerrar la página y no seguir interactuando. Si sí has escrito una contraseña, un código o datos bancarios, yo haría tres cosas en este orden: cambiar la clave desde un dispositivo limpio, cerrar sesiones abiertas y avisar a la entidad afectada si hay dinero o tarjetas de por medio.

Si el servicio lo permite, activa passkeys o, como mínimo, autenticación en dos pasos. Las passkeys tienen una ventaja clara frente al phishing: están ligadas al origen de la web, así que no sirven en una página falsa aunque se parezca mucho a la real. Es una barrera más sólida que la contraseña sola y reduce bastante el impacto si un enlace se cuela.

Si descargaste un archivo, desconéctate del impulso de abrirlo a ver qué es y pásalo por tu protección de seguridad antes de ejecutarlo. Y si no tienes claro el alcance, en España merece la pena usar la ayuda especializada de INCIBE; a veces una llamada a tiempo evita que el problema crezca. La parte final de todo esto no es técnica, es disciplinaria: la mejor rutina es la que haces siempre, incluso cuando tienes prisa.

La rutina mínima que yo no rompería con un enlace dudoso

Si tienes poco tiempo, quédate con esta versión corta: mira el dominio real, expande los acortadores, desconfía de la urgencia, confirma el destino en una herramienta y no inicies sesión desde el propio mensaje. Yo no necesito más para decidir en la mayoría de casos.

• Abre el sitio escribiendo tú la dirección cuando se trate de banca, correo o administración.
• Usa el navegador como primera barrera y no ignores sus alertas rojas.
• No confundas HTTPS con legitimidad.
• Si una URL intenta parecer oficial pero te acelera, probablemente quiere saltarse tu criterio.

Con eso ya reduces mucho el riesgo sin depender de trucos ni de intuición. La idea no es convertir cada clic en una investigación forense, sino tener una forma rápida y repetible de decidir cuándo un enlace merece confianza y cuándo merece silencio.