Un SMS del banco, un correo de Correos o un mensaje de WhatsApp puede parecer legítimo y llevarte a una página diseñada para robar tus claves. Para analizar enlaces con criterio hay que mirar más allá del nombre visible, revisar el dominio real y apoyarse en herramientas que detecten phishing, malware y redirecciones sospechosas. En esta guía explico un método práctico para comprobar una URL sin exponerte innecesariamente.
Una revisión breve puede evitar un robo de credenciales
- El dominio real importa más que el logotipo o el nombre mostrado en el mensaje.
- HTTPS no garantiza que una web sea legítima.
- VirusTotal y Google Safe Browsing ayudan, pero ningún resultado es una garantía absoluta.
- Los enlaces acortados y las redirecciones ocultas requieren especial cautela.
- Nunca subas enlaces privados, como invitaciones o restablecimientos de contraseña, a un escáner público.
Qué señales delatan un enlace peligroso
Mi primera regla es sencilla: no me fijo en lo convincente que parece el mensaje, sino en el destino técnico del enlace. Los estafadores pueden copiar colores, logotipos y firmas, pero necesitan dirigir a la víctima hacia un dominio controlado por ellos o hacia una página comprometida.
El dominio no coincide con la empresa
En una dirección web, la parte decisiva suele ser el dominio principal, justo antes de la extensión final. Un atacante puede añadir palabras como “seguridad”, “soporte” o el nombre de un banco en un subdominio o en la ruta, pero eso no convierte la dirección en oficial.
También conviene buscar errores mínimos de escritura, letras duplicadas, guiones extra, extensiones inesperadas y caracteres parecidos de otros alfabetos. Esta técnica, conocida como typosquatting, aprovecha que leemos una dirección deprisa y completamos mentalmente lo que creemos reconocer.
Urgencia, premios y amenazas
El enlace gana peligrosidad cuando llega acompañado de presión. Mensajes como “tu cuenta se bloqueará hoy”, “confirma el pago en diez minutos” o “has recibido un reembolso” intentan reducir el tiempo que tienes para pensar. INCIBE identifica precisamente la suplantación de bancos, organismos públicos y empresas conocidas como uno de los patrones habituales del phishing.
Un mensaje legítimo puede pedirte que hagas una gestión, pero no deberías validar su autenticidad desde el propio enlace. Si supuestamente procede de tu banco, abre la aplicación oficial o escribe la dirección conocida manualmente. Esa comprobación independiente suele ser más fiable que cualquier detalle visual del mensaje.
HTTPS y el candado no bastan
El cifrado HTTPS protege la comunicación entre el navegador y el servidor, pero no demuestra quién controla la página. Un sitio fraudulento también puede obtener un certificado válido. Por eso, el candado es una condición técnica útil, aunque no es una prueba de confianza.
Me preocupa especialmente cuando se mezclan HTTPS, un dominio recién creado y una página que solicita datos bancarios. Cada señal por separado puede tener una explicación legítima; juntas deberían hacerte detenerte y verificar por otra vía.
Cómo revisar una URL sin abrirla
La comprobación manual funciona mejor cuando se hace en un orden fijo. Así se evita que una página bien diseñada o una falsa alerta de seguridad influya en la decisión antes de haber revisado el destino.
- Identifica el contexto. Pregúntate si esperabas el mensaje, si conoces al remitente y si la petición tiene sentido.
- Previsualiza el enlace. En un ordenador, coloca el cursor encima sin hacer clic. En el móvil, mantén pulsado el enlace y utiliza la opción para copiarlo, siempre que el sistema muestre el destino sin abrirlo.
- Lee el dominio principal. Ignora de momento la ruta larga y localiza la parte que identifica realmente al propietario del sitio.
- Busca redirecciones. Los acortadores, enlaces con muchas capas de seguimiento o cadenas codificadas dificultan saber dónde terminarás.
- Comprueba el sitio por separado. Accede desde la aplicación oficial, desde un marcador que ya tuvieras guardado o escribiendo la dirección conocida en el navegador.
- Consulta un escáner reputado. Utiliza el resultado como una señal adicional, no como una autorización automática para entrar.
Cuando la dirección contiene una IP en lugar de un dominio, usa una extensión extraña o incluye demasiados subdominios, aumento el nivel de sospecha. También reviso los parámetros posteriores a la ruta, porque pueden contener identificadores de sesión, códigos de acceso o datos personales que no conviene compartir.
Un error muy común es abrir el enlace “solo para ver qué pasa”. Eso puede activar una descarga, registrar tu visita o llevarte a una pantalla de inicio de sesión falsa. Copiar, aislar y verificar es una secuencia mucho más segura que hacer clic por curiosidad.
Qué herramientas sirven para comprobar enlaces
No todas las herramientas hacen lo mismo. Algunas comparan la dirección con listas de sitios peligrosos, otras observan el comportamiento de la página y otras reúnen la opinión de varios motores de seguridad. Esta es la diferencia práctica que considero más importante.
| Herramienta o método | Qué aporta | Limitación principal |
|---|---|---|
| Google Safe Browsing | Detecta muchas direcciones asociadas a phishing, malware o ingeniería social. | Una web nueva o todavía no denunciada puede no aparecer como peligrosa. |
| VirusTotal | Contrasta la URL con múltiples motores y fuentes de inteligencia. | Un resultado limpio no demuestra que la página sea legítima; además, las consultas públicas pueden compartir información. |
| urlscan.io | Permite observar redirecciones, recursos cargados y comportamiento de una página. | Hay que revisar la visibilidad del análisis antes de enviar información sensible. |
| Comprobación manual | Ayuda a detectar suplantaciones, dominios parecidos y peticiones incoherentes. | Depende de la atención y no revela por sí sola si el servidor está comprometido. |
VirusTotal resulta útil para una primera criba porque agrega numerosos motores, pero yo nunca interpreto “cero detecciones” como “enlace seguro”. Una campaña de phishing puede ser demasiado reciente, cambiar de dominio con frecuencia o utilizar una web legítima que ha sido hackeada.
Hay otro detalle que suele pasarse por alto. Una URL puede contener información privada, como un token de recuperación, una invitación interna o un identificador de cliente. No la pegues en un servicio público sin comprobar antes sus condiciones de visibilidad. Para enlaces confidenciales, es preferible usar los controles de seguridad de tu organización o analizar el dominio sin enviar la dirección completa.
Qué hacer si ya has pulsado el enlace
Haber hecho clic no significa automáticamente que te hayan infectado. El riesgo depende de lo que ocurrió después, del dispositivo, de si introdujiste datos y de si descargaste o ejecutaste algún archivo. Lo importante es actuar con orden y no seguir las instrucciones de la página sospechosa.
Si no escribiste datos ni descargaste nada
Cierra la pestaña, no aceptes notificaciones y elimina cualquier archivo que se haya descargado sin esperarlo. Después, actualiza el navegador y el sistema operativo, ejecuta un análisis de seguridad y revisa las extensiones instaladas. Una descarga inesperada merece atención incluso si no la abriste.
Lee también: Robocalls y vishing - Cómo detectarlos y protegerte
Si introdujiste una contraseña o datos bancarios
Cambia la contraseña desde la aplicación o la web oficial, nunca desde el enlace recibido. Si reutilizabas esa clave en otros servicios, cámbiala también allí y activa la autenticación multifactor. Cuando exista riesgo financiero, contacta con el banco por el número oficial y solicita el bloqueo o la vigilancia de las operaciones.
Guarda capturas del mensaje, del remitente y de la página, pero no reenvíes el enlace a otras personas. En España, puedes comunicar el incidente a INCIBE y recurrir a su línea de ayuda en ciberseguridad, el 017. Si ya hubo una pérdida económica o un robo de identidad, conserva las evidencias para la denuncia.
También revisaría la cuenta de correo, las sesiones abiertas y las reglas de reenvío. Los atacantes no siempre buscan una contraseña para entrar inmediatamente; a veces esperan, mantienen una sesión activa o crean una regla para copiar futuros mensajes. Esa revisión suele marcar la diferencia entre un susto aislado y una intrusión prolongada.
El criterio que uso antes de confiar en un enlace
Un enlace no tiene que parecer claramente malicioso para que decida no utilizarlo. Si combina urgencia, una petición sensible y un dominio que no puedo verificar de forma independiente, lo trato como peligroso aunque los escáneres no muestren alertas.
La práctica más segura consiste en separar tres decisiones. Primero compruebo quién envía el mensaje; después, a qué dominio conduce; por último, si la acción solicitada tiene sentido y puede hacerse desde un canal oficial. Si una de esas respuestas no encaja, no continúo.
La tecnología ayuda, pero la defensa más eficaz sigue siendo no entregar credenciales desde un enlace inesperado. Dedicar un minuto a copiar la dirección, examinar el dominio y entrar por la aplicación oficial suele ahorrar horas de recuperación, llamadas al banco y cambios de contraseña.
