Un correo puede parecer idéntico al de tu banco, una tienda conocida o incluso a un compañero de trabajo y seguir siendo una trampa. En este artículo explico cómo detectar señales de phishing, comprobar el remitente y los enlaces, actuar sin empeorar la situación y recuperar el control si ya has respondido o introducido algún dato.
Estas comprobaciones permiten detectar un correo fraudulento antes de caer
- Revisa la dirección completa, no solo el nombre que aparece como remitente.
- No hagas clic por impulso en enlaces, archivos adjuntos o botones con mensajes urgentes.
- Contrasta la petición por otro canal, especialmente si solicita dinero, contraseñas o códigos.
- La autenticación ayuda, pero no garantiza que el contenido sea legítimo.
- Si ya has dado información, actúa de inmediato y conserva todas las pruebas.
Cómo saber si un correo es falso sin abrir la puerta al fraude
Yo empiezo siempre por una regla sencilla: un correo legítimo no debería obligarte a actuar con miedo o prisas. El phishing es una suplantación diseñada para robar contraseñas, datos bancarios, códigos de verificación o dinero, normalmente mediante un enlace o un archivo malicioso.
La señal más fiable no suele ser una falta de ortografía aislada, sino la combinación de varias anomalías. Un mensaje puede estar muy bien escrito y utilizar el logotipo correcto, pero resultar fraudulento si el dominio, la petición o el enlace no encajan.
Comprueba quién lo envía realmente
El nombre visible puede decir “Banco Santander”, “Correos” o “Agencia Tributaria”, mientras que la dirección real pertenece a un dominio extraño. Pulsa o coloca el cursor sobre el remitente para ver la dirección completa y busca imitaciones con letras cambiadas, números o dominios parecidos.
Por ejemplo, no es lo mismo un dominio oficial que otro que añade palabras como “seguridad”, “soporte” o “clientes” antes de una extensión desconocida. También conviene desconfiar de cuentas gratuitas cuando el mensaje pretende representar a una gran empresa. Aun así, que la dirección parezca correcta tampoco demuestra por sí solo que el correo sea seguro, porque existe la falsificación conocida como spoofing.
Analiza lo que te pide el mensaje
Un correo sospechoso suele solicitar algo que la entidad no pediría por email, como la contraseña, el PIN, el número completo de la tarjeta o un código recibido por SMS. También puede pedir que confirmes una transferencia, cambies una cuenta bancaria o descargues una factura inesperada.
Las amenazas de bloqueo inmediato, multas, pérdida de un paquete o cancelación de una suscripción buscan reducir tu capacidad de pensar. En mi experiencia, cuando una petición financiera llega sin que yo la estuviera esperando, la trato como potencialmente fraudulenta hasta verificarla por una vía independiente.
Las señales que delatan un correo de phishing
Ninguna señal es una prueba absoluta, pero varias juntas elevan mucho el riesgo. Esta tabla resume las más útiles y lo que conviene hacer en cada caso.
| Señal | Qué puede indicar | Respuesta recomendable |
|---|---|---|
| Urgencia o amenaza | Intento de manipularte para que actúes sin comprobar nada | Detente y verifica la petición por otro canal |
| Dirección extraña | Suplantación de una empresa o cuenta comprometida | Revisa el dominio completo y no respondas |
| Enlace oculto | Redirección a una página falsa o con malware | Pasa el cursor por encima sin abrirlo y compara la dirección |
| Archivo inesperado | Posible malware, especialmente en documentos comprimidos o ejecutables | No lo descargues ni habilites macros |
| Premio o reembolso inesperado | Gancho para obtener datos personales o un pago | No pagues ninguna tasa para recibirlo |
| Errores o traducción extraña | Plantilla fraudulenta o mensaje automatizado | Busca más señales antes de tomar una decisión |
El enlace merece una revisión aparte
El texto de un botón puede decir “Acceder a mi cuenta”, pero la dirección real llevar a otro sitio. En un ordenador, coloca el cursor sobre el enlace sin hacer clic; en un móvil, mantén pulsado para previsualizarlo. Fíjate en el dominio que aparece justo antes de la primera barra, porque ahí suele estar la entidad real.
No confundas el candado del navegador con una garantía de legitimidad. El cifrado HTTPS protege la conexión, pero una web fraudulenta también puede utilizarlo. Si necesitas entrar en tu banco, escribe tú mismo la dirección conocida o utiliza su aplicación oficial, nunca el botón recibido en un correo inesperado.
Un archivo adjunto también puede ser el anzuelo
Las falsas facturas, multas, justificantes y documentos de entrega son cebos habituales. Un PDF puede dirigir a una web engañosa, mientras que un archivo comprimido o un documento que pide activar macros puede intentar instalar malware. Para mí, un adjunto que no esperaba tiene el mismo nivel de riesgo que un enlace desconocido.
Cómo verificar el mensaje sin entrar en la trampa
La comprobación más segura consiste en salir del correo y buscar tú mismo el canal oficial. Si el mensaje parece de tu banco, abre la aplicación o llama al número que aparece en tu tarjeta. Si menciona una entrega, consulta el pedido desde la tienda donde compraste. No uses los datos de contacto incluidos en el propio mensaje, porque también pueden estar manipulados.
Cuando el supuesto remitente es un compañero o un familiar y solicita dinero, documentos o un cambio de cuenta, confirma la petición mediante una llamada. Incluso una cuenta conocida puede haber sido comprometida. Gmail muestra advertencias y permite consultar si el mensaje está autenticado, pero esa comprobación solo indica que el envío supera ciertos controles técnicos, no que la solicitud sea honesta.
Qué significan SPF, DKIM y DMARC
En los detalles técnicos del mensaje pueden aparecer controles como SPF, DKIM y DMARC. Son mecanismos que ayudan a verificar si el servidor está autorizado para enviar mensajes en nombre de un dominio y si el contenido ha sido manipulado durante el envío.
Son útiles para administradores y usuarios avanzados, pero no deben convertirse en una falsa sensación de seguridad. Un delincuente puede enviar un correo desde un dominio que controla legítimamente o comprometer una cuenta real. La autenticación es una pieza del análisis, no una prueba definitiva de que el contenido sea confiable.
Revisa las cabeceras cuando el caso sea importante
Las cabeceras contienen información sobre los servidores por los que ha pasado el correo, el dominio de origen y los resultados de autenticación. En Gmail suelen consultarse desde la opción para mostrar los detalles del mensaje; otros servicios tienen una función equivalente.
No hace falta entender cada línea. Basta con comprobar si el dominio de origen coincide con la entidad, si aparecen advertencias de autenticación y si las rutas del mensaje resultan coherentes. Para un fraude laboral, una transferencia o una suplantación empresarial, guardar esas cabeceras puede ser más útil que hacer una simple captura de pantalla.
Qué hacer si has recibido un correo sospechoso
Si todavía no has interactuado con él, no respondas, no pulses enlaces y no abras adjuntos. Márcalo como phishing o spam desde tu proveedor de correo y elimínalo después. No hace falta contestar para “avisar” al estafador, ya que una respuesta puede confirmar que tu dirección está activa.
Si el mensaje parece proceder de alguien conocido, avisa a esa persona por teléfono o por una aplicación distinta. Así podrá revisar su cuenta sin recibir instrucciones desde el correo posiblemente comprometido. También es recomendable no reenviar el mensaje modificando su contenido, porque podrías perder cabeceras o propagar un archivo peligroso.
Si has hecho clic, pero no has introducido datos
Cierra la página, no descargues nada y ejecuta un análisis de seguridad actualizado. Comprueba también si se ha descargado algún archivo y elimínalo sin abrirlo. Si introdujiste una contraseña aunque la página pareciera no haber funcionado, cámbiala desde la web oficial y no reutilices la misma clave en otros servicios.
Activa la verificación en dos pasos en las cuentas importantes. Esta medida no detiene todos los fraudes, pero dificulta que una contraseña robada sea suficiente para entrar. Las aplicaciones de autenticación suelen ofrecer una protección más sólida que los códigos enviados por SMS, aunque cualquier segundo factor es mejor que no tenerlo.
Lee también: Llamada fraudulenta - Cómo saberlo y proteger tu dinero
Si has compartido datos bancarios o has pagado
Llama inmediatamente a tu banco utilizando un número oficial y explica qué información has facilitado. Pide que revisen los movimientos, bloqueen la tarjeta si es necesario y valoren la devolución o anulación de la operación. El tiempo importa especialmente en las transferencias y pagos con tarjeta.
Guarda el correo original, las cabeceras, capturas, justificantes, números de teléfono y conversaciones relacionadas. En España puedes pedir orientación gratuita y confidencial al 017 de INCIBE, además de comunicar el fraude a las Fuerzas y Cuerpos de Seguridad del Estado. No borres las pruebas por vergüenza; ayudan a investigar y a proteger a otras personas.
Los errores que más facilitan estas estafas
El fallo más común es confiar en el logotipo, el tono profesional o el nombre conocido del remitente. Los atacantes pueden copiar una plantilla en minutos y obtener información pública para personalizar el mensaje. La apariencia es fácil de falsificar; el canal independiente es mucho más difícil de imitar.
Otro error consiste en buscar el nombre de la empresa junto con la palabra “soporte” y llamar al primer número que aparece. Los resultados pueden incluir anuncios o páginas falsas. Cuando necesito contactar con una entidad, prefiero utilizar una aplicación que ya tengo instalada, un documento oficial anterior o un número que haya verificado antes.
También es mala idea descargar un supuesto antivirus, visor de documentos o herramienta de acceso remoto recomendado en el correo. Ese tipo de programas puede entregar el control del equipo al atacante. Si un mensaje exige instalar software para resolver un problema, lo considero una señal de alto riesgo.
Una rutina breve para decidir antes de hacer clic
- Para la acción durante unos segundos, sobre todo si el mensaje exige rapidez.
- Comprueba el remitente real y el dominio completo.
- Lee la petición exacta y pregúntate si tiene sentido que llegue por correo.
- Inspecciona el enlace o el adjunto sin abrirlo.
- Confirma por un canal oficial que no dependa del mensaje recibido.
- Si continúas teniendo dudas, no hagas nada todavía y pide una segunda opinión.
Esta rutina tarda menos de un minuto y evita muchas decisiones impulsivas. No busca que desconfíes de todos los correos, sino que reserves la confianza automática para los mensajes que no solicitan acciones sensibles. Cuando hay dinero, credenciales o documentos personales en juego, verificar antes de hacer clic siempre sale más barato que reparar el daño después.
