Un enlace recibido por SMS, correo o WhatsApp puede llevar a una tienda legítima, a una página falsa o a una descarga peligrosa. Antes de abrirlo, conviene revisar su destino, analizar su reputación y entender qué señales del mensaje apuntan a una estafa. En esta guía explico un método práctico para comprobar un enlace sin exponerte innecesariamente al phishing.
Una revisión breve puede evitar un robo de credenciales
- No abras el enlace de inmediato: copia su destino y examínalo primero.
- Lee el dominio real, no el nombre visible del remitente ni el texto del botón.
- Combina varias señales: navegador, reputación, contexto y contenido del mensaje.
- HTTPS no garantiza legitimidad; solo cifra la conexión con el sitio.
- Si ya has interactuado, cambia contraseñas y contacta con tu banco por un canal oficial.
Mira el destino real antes de tocarlo
En un ordenador, sitúa el cursor sobre el enlace y observa la dirección que aparece en la esquina inferior del navegador. En el móvil, mantén pulsado el enlace y utiliza la opción para copiarlo. Después puedes pegarlo en una nota para leerlo sin visitar la página. Mi regla es sencilla: si el mensaje intenta acelerarme, primero reduzco la velocidad.
La parte más importante de una dirección es el dominio que aparece justo después de “https://” y antes de la primera barra. Un subdominio puede intentar confundir, porque una cadena como “seguridad-nombre-de-tu-banco” no demuestra que la página pertenezca al banco. Lo que manda es el dominio principal que aparece al final de esa sección.
- Errores pequeños en el nombre de la empresa, como letras cambiadas o añadidas.
- Uso de caracteres parecidos procedentes de otros alfabetos, una técnica relacionada con el typosquatting.
- Direcciones con una IP numérica en lugar de un nombre reconocible.
- Un símbolo @, que puede hacer que todo lo anterior parezca el nombre del servicio cuando en realidad el destino está después.
- Enlaces acortados que ocultan la página final.
- Rutas muy largas con palabras como “verificar”, “bloqueo”, “premio” o “pago urgente”.
Un enlace acortado no es automáticamente malicioso, pero sí elimina una pista esencial. Si llega sin que lo hayas solicitado, prefiero tratarlo como un enlace de riesgo elevado hasta conocer su destino real.
Combina el navegador con un analizador de reputación
Los navegadores modernos incorporan sistemas de navegación segura que comparan las páginas con listas de amenazas conocidas. Si Chrome muestra una pantalla roja o una advertencia clara, no conviene ignorarla. Aun así, una página que no activa ninguna alerta no recibe un certificado de inocencia: las campañas nuevas pueden tardar en aparecer en las bases de datos.
También puedes utilizar un comprobador de URL o un servicio como VirusTotal para obtener varias opiniones sobre el enlace. Estas herramientas suelen revisar reputación, malware conocido, phishing y redirecciones. El resultado sirve como una señal adicional, no como una garantía absoluta.
| Método | Qué aporta | Limitación principal |
|---|---|---|
| Advertencia del navegador | Bloquea o señala sitios ya identificados como peligrosos. | Puede no detectar una campaña recién creada. |
| Analizador de reputación | Compara la URL con varias fuentes y motores de seguridad. | Un resultado limpio no descarta un fraude nuevo. |
| Revisión manual | Permite detectar dominios falsos, urgencia y peticiones extrañas. | Depende de que leas el enlace y el mensaje con atención. |
| Canal oficial | Confirma si la entidad realmente ha enviado la comunicación. | Debes contactar usando datos obtenidos por separado. |
Hay un detalle de privacidad que suele pasarse por alto. Algunas URL incluyen tokens de acceso, códigos de recuperación o identificadores personales. Si pegas una dirección así en un servicio externo, podrías estar compartiendo información sensible. Antes de analizarla, elimina esos parámetros cuando sea posible o utiliza una herramienta que explique claramente qué datos envía y cómo los trata.
HTTPS no demuestra que la web sea legítima
El candado del navegador indica que la conexión está cifrada y que el certificado corresponde al dominio visitado. Eso protege el trayecto entre tu dispositivo y la página, pero no responde a la pregunta más importante: ¿quién controla realmente ese dominio? Una web fraudulenta también puede utilizar HTTPS.
Por eso no entregaría credenciales solo porque aparezca el candado. Si recibes un supuesto aviso de tu banco, de una empresa de reparto o de una administración pública, abre la aplicación oficial o escribe manualmente la dirección que ya conoces. Después comprueba allí si existe una notificación. La verificación por un canal independiente es mucho más fiable que responder al mismo mensaje que te está presionando.
Este procedimiento también sirve para los códigos QR. El QR no es una garantía de seguridad, solo una forma de ocultar la dirección detrás de una imagen. Antes de continuar, revisa el dominio que muestra la cámara y desconfía si solicita iniciar sesión, instalar una aplicación o introducir datos bancarios sin una razón clara.
Reconoce el contexto que convierte un enlace en una trampa
Los atacantes no dependen únicamente de una dirección técnicamente extraña. Suelen combinar un enlace aparentemente normal con una historia diseñada para provocar una reacción rápida. En España es habitual ver mensajes sobre paquetes retenidos, multas, facturas pendientes, devoluciones, ofertas de empleo o bloqueos de cuentas.
El remitente visible tampoco basta. Un nombre puede falsificarse y una cuenta conocida puede haber sido comprometida. Lo que más me preocupa en la práctica es la combinación de urgencia, miedo y petición de información. Cuando aparecen las tres señales juntas, dejo de intentar interpretar el mensaje y verifico el asunto desde la fuente oficial.
| Situación | Señal de alarma | Respuesta recomendable |
|---|---|---|
| Supuesto paquete pendiente | Pequeño pago para liberar una entrega. | Consulta el pedido desde la aplicación o la web oficial. |
| Alerta bancaria | Petición inmediata de claves o códigos. | Llama al banco usando el número de tu tarjeta o su aplicación. |
| Oferta de empleo | Solicitud de dinero, documentos o instalación de software. | Investiga la empresa por separado y no envíes documentación todavía. |
| Premio o inversión | Promesa de beneficio alto sin riesgo. | Descarta el enlace hasta comprobar la empresa y sus condiciones. |
Una página de phishing puede estar muy bien diseñada, con logotipos, textos correctos y un diseño idéntico al original. La apariencia importa menos que el dominio, el contexto y la acción que intenta provocar. Si la página exige actuar antes de que puedas verificarla, esa presión ya es información útil.
Qué hacer si ya has pulsado el enlace
Hacer clic no significa automáticamente que hayas sido víctima. El riesgo aumenta si descargaste un archivo, instalaste algo, introdujiste credenciales o autorizaste un pago. Cierra la pestaña, no aceptes notificaciones ni descargas y actualiza el navegador y el sistema operativo. Después realiza un análisis de seguridad si el dispositivo muestra un comportamiento extraño.
Si escribiste una contraseña, cámbiala desde un dispositivo confiable y modifica también cualquier otra cuenta donde reutilizaras esa clave. Activa la autenticación multifactor y revisa las sesiones abiertas, las reglas de reenvío del correo y los dispositivos conectados. Si facilitaste datos bancarios o realizaste una transferencia, contacta con tu entidad inmediatamente mediante su canal oficial.
- Guarda capturas, mensajes, cabeceras del correo y justificantes de pago.
- Bloquea y reporta al remitente en la aplicación correspondiente.
- Cambia las contraseñas afectadas y revoca sesiones desconocidas.
- Contacta con el banco si existe cualquier movimiento o dato financiero expuesto.
- En España, consulta al servicio 017 de INCIBE, gratuito y confidencial, disponible todos los días de 8:00 a 23:00.
Si solo abriste la página y no introdujiste datos, el riesgo suele ser menor, pero no conviene ignorar una descarga automática o una solicitud de permisos. La reacción correcta depende de lo que hiciste después del clic, no solo del clic en sí.
La regla que aplico cuando un enlace me mete prisa
Antes de confiar en un enlace, compruebo cuatro elementos en este orden: quién lo envía, cuál es el dominio real, qué reputación tiene y qué me pide la página. Si uno de ellos no encaja, abandono el proceso y entro por mi cuenta en el servicio legítimo.
No existe un analizador perfecto ni una señal única capaz de detectar todas las estafas. La combinación de lectura cuidadosa, herramientas de reputación y verificación por un canal independiente reduce mucho el margen de error y evita que una urgencia inventada decida por ti.
