Cómo detectar un enlace peligroso - Guía completa

Qué miro primero cuando una dirección me parece rara

El primer filtro es bastante simple: comparo lo que dice el enlace con el dominio que realmente registra la web. Si la parte principal no coincide, cierro. Me fijo sobre todo en cuatro cosas: el dominio, la ortografía, las redirecciones y el contexto del mensaje.

• El dominio real: lo importante no es el texto largo del enlace, sino la parte que identifica de verdad al sitio.
• Caracteres cambiados: una o por un 0, una l por un 1 o una letra extra ya cambian el juego.
• Subdominios engañosos: banco-seguro.ejemplo.com no es lo mismo que banco-seguro.com.
• Urgencia artificial: si el mensaje mete prisa con bloqueos, multas o cancelaciones, yo lo trato como sospechoso.
• HTTPS no basta: el candado solo indica que la conexión va cifrada, no que la web sea auténtica.

INCIBE insiste precisamente en revisar el inicio de la URL, el dominio visible y a dónde te redirige el enlace antes de confiar en él; esa combinación reduce muchos errores básicos. Cuando una dirección ya supera este primer filtro, paso a comprobarla sin abrir la página a ciegas.

Cómo reviso un enlace sin abrir la página

Si un enlace me genera dudas, no lo pulso directamente. Lo primero es copiarlo o mantener el dedo presionado en móvil para ver el destino completo, porque en muchos casos el texto visible no coincide con el destino real.

1. Desconfío de los acortadores y miro a qué dominio llevan antes de seguir.
2. Compruebo el dominio completo, no solo el nombre de marca o el camino final de la URL.
3. Busco el sitio por mi cuenta en lugar de entrar desde el enlace recibido.
4. Comparo con un marcador guardado o con la app oficial, si existe.
5. No inicio sesión desde una página abierta por sorpresa, aunque el diseño parezca idéntico.

En móvil, el gesto largo sobre el enlace suele mostrar la previsualización del destino; en escritorio, el cursor cumple la misma función. Si lo que ves sigue sin cuadrar, entonces sí merece la pena pasar a una herramienta automática para obtener más contexto.

Herramientas online que sí aportan contexto

Yo uso tres capas distintas porque ninguna herramienta ve todo: una te avisa por reputación, otra compara contra listas de seguridad y otra reproduce la navegación para observar qué carga la página. Esa combinación suele bastar para decidir si un enlace merece confianza o no.

Google habla de Safe Browsing como una protección que llega a más de 5.000 millones de dispositivos al día, así que su cobertura es enorme; aun así, yo no la trato como un veredicto definitivo. VirusTotal cruza la URL con más de 70 motores y varias sandboxes, y urlscan añade una capa muy útil cuando quiero ver infraestructura y capturas de la página. Si el enlace contiene datos privados o tokens de sesión, prefiero no enviarlo a un servicio público y usar primero una comprobación manual.

Dónde fallan incluso las mejores comprobaciones

Las herramientas ayudan, pero no convierten una URL en inocente. El error más común es pensar que un resultado limpio equivale a seguridad total, y no funciona así.

Cuando la página es demasiado nueva

Una campaña recién lanzada puede tardar en aparecer en listas negras o en correlaciones de reputación. Por eso un enlace recién recibido, especialmente si te pide una acción urgente, merece más prudencia que confianza.

Cuando la web cambia según quién la visita

Algunas páginas muestran contenido aparentemente normal a ciertas visitas y el formulario falso a otras. Esa técnica, conocida como cloaking o camuflaje de contenido, dificulta el análisis automático y explica por qué dos herramientas pueden dar lecturas distintas.

Lee también: Estafa en Booking - Qué hacer y cómo reclamar

Cuando el problema está después del clic

Puede que la portada parezca limpia y el riesgo aparezca al iniciar sesión, descargar un archivo o aceptar permisos. En phishing serio, la trampa suele estar en el formulario, no en el aspecto inicial.

Por eso yo no me quedo con un único resultado: cruzo señales y asumo que el contexto manda. Una vez entendido ese límite, lo siguiente es saber reaccionar bien si ya has interactuado con el enlace.

Qué hago si ya pulsaste el enlace

Si ya has hecho clic, la prioridad cambia: ya no se trata de analizar, sino de reducir el daño. Aquí me muevo rápido y sin improvisar.

1. No introduzcas más datos si la página pide usuario, contraseña, tarjeta o código SMS.
2. Cierra la pestaña y, si descargaste algo, desconecta el equipo de la red mientras revisas qué fue.
3. Cambia la contraseña desde la web oficial o la app legítima, no desde el mismo enlace sospechoso.
4. Activa o revisa la verificación en dos pasos en la cuenta afectada.
5. Si hubo datos bancarios, contacta con tu banco cuanto antes para bloquear o vigilar movimientos.
6. Haz una revisión del dispositivo con tu solución de seguridad y comprueba accesos recientes en tus cuentas.
7. Reporta el incidente si crees que puede afectar a más personas; INCIBE permite enviar la URL maliciosa y la evidencia del fraude.

Si el ataque fue solo un clic, el daño puede quedarse en un susto; si llegaste a escribir credenciales o datos de pago, el margen de reacción baja mucho. Por eso la respuesta rápida vale más que cualquier análisis posterior.

La rutina que yo mantengo para no caer dos veces

La mejor defensa contra el phishing no es un truco puntual, sino una rutina aburrida pero eficaz. Yo me quedo con cinco hábitos que recortan mucho el riesgo sin volver la navegación incómoda.

• Entrar por marcadores o app oficial cuando se trata de banca, correo, compras o administración.
• Desconfiar de la urgencia: un mensaje que exige actuar “ya” casi siempre intenta saltarse tu criterio.
• Revisar el dominio antes de iniciar sesión, no después.
• Usar un gestor de contraseñas, porque suele rellenar solo en el dominio correcto y ayuda a detectar suplantaciones.
• Mantener el navegador actualizado para aprovechar las protecciones de reputación y las advertencias de seguridad.

Si tuviera que resumirlo en una sola regla, diría esto: no confíes en el aspecto del enlace, confía en lo que demuestra el dominio, la redirección y la reputación. Cuando esas tres piezas no encajan, yo cierro la página y sigo por un canal oficial.