Para eliminar phishing de verdad, no basta con borrar el correo: hay que cortar el acceso del atacante, revisar si hubo robo de credenciales y cerrar cualquier vía de reentrada. En esta guía explico qué hacer en los primeros minutos, cómo limpiar el dispositivo, qué revisar en cuentas bancarias y cómo denunciar el fraude en España sin perder tiempo.
Lo más importante para cortar un phishing sin perder tiempo
- Si no has interactuado, bloquea, marca como spam y reporta el mensaje.
- Si has pulsado un enlace o has descargado un archivo, revisa el dispositivo cuanto antes.
- Si diste una contraseña, cámbiala desde un equipo limpio y cierra sesiones abiertas.
- Si compartiste datos bancarios, avisa al banco de inmediato y vigila movimientos.
- Si hubo archivo adjunto, escanea el equipo y desconecta redes si notas comportamiento extraño.
- Si el caso dejó rastro económico, guarda pruebas y presenta denuncia.
Qué significa cortar un ataque de phishing
Cuando hablo de frenar un ataque de phishing, no pienso solo en borrar un correo. Pienso en impedir que el atacante siga usando lo que ya obtuvo: una contraseña, una tarjeta, una sesión abierta o incluso acceso remoto al equipo. Esa diferencia importa, porque un mensaje fraudulento puede parecer inofensivo hasta que el usuario entrega justo lo que el delincuente estaba buscando.
Yo suelo separar el problema en tres capas: cuenta, dispositivo y dinero. Si solo limpias la bandeja de entrada, pero dejas una contraseña comprometida o un móvil infectado, el fraude puede repetirse horas o días después. Por eso el orden de reacción cuenta tanto como la reacción en sí.Con esa idea clara, lo urgente es actuar sin tocar más enlaces ni dejar rastros en el mismo dispositivo.
Qué hacer en los primeros minutos
Si acabas de detectar el intento o sospechas que has caído, mi recomendación es muy simple: no sigas interactuando con el mensaje y pasa a contención. No vuelvas a abrir el enlace, no respondas al remitente y no reenvíes el correo a nadie salvo para reportarlo en un canal seguro.
- Detén la interacción. Cierra la pestaña, el mensaje o la app si estabas dentro de una web dudosa.
- Si descargaste algo, desconecta temporalmente Wi‑Fi o cable de red si notas síntomas raros, sobre todo ventanas extrañas, lentitud extrema o procesos desconocidos.
- Cambia la contraseña desde un dispositivo limpio si introdujiste credenciales. Si solo lo hiciste en el móvil, yo prefiero cambiarla desde otro equipo que sepas que está sano.
- Cierra sesiones activas en correo, banca, redes sociales y servicios en la nube. Muchos servicios permiten ver desde dónde hay sesiones abiertas y revocarlas.
- Activa la verificación en dos pasos si aún no la tenías. Hace más difícil que el atacante entre aunque haya conseguido la contraseña.
- Si diste datos bancarios, llama al banco y pide bloqueo o revisión inmediata de la tarjeta o del acceso online.
Si solo abriste el mensaje y no pulsaste nada, el riesgo suele ser menor que si ya entregaste datos, pero yo no me quedaría tranquilo hasta marcarlo como fraude y revisar si llegaron más mensajes parecidos. No todos los casos exigen la misma respuesta, y ahí conviene separar escenarios.
Qué cambia según lo que hayas hecho
Yo uso una regla práctica: cuanto más valor le hayas dado al atacante, más agresiva debe ser tu respuesta. Abrir un correo no equivale a entregar una cuenta; escribir una contraseña o un código de verificación ya cambia por completo el nivel de riesgo.
| Lo que pasó | Riesgo principal | Qué haría yo |
|---|---|---|
| Solo abriste el mensaje | Bajo, salvo enlaces ocultos o contenido remoto | Ciérralo, elimínalo y márcalo como spam o phishing |
| Pulsaste el enlace, pero no escribiste datos | Medio: rastreo, redirección o descarga silenciosa | No vuelvas a entrar, revisa el equipo y borra la sesión dudosa si llegaste a iniciar algo |
| Escribiste usuario y contraseña | Alto: robo de cuenta | Cambia la contraseña desde un dispositivo limpio y cierra todas las sesiones abiertas |
| Compartiste datos bancarios o de tarjeta | Muy alto: cargos no autorizados | Llama al banco, bloquea la tarjeta si hace falta y revisa movimientos de forma inmediata |
| Descargaste o ejecutaste un adjunto | Muy alto: malware o acceso remoto | Aísla el dispositivo, analiza con antivirus y no restaures copias sin comprobarlas |
| Diste un código de verificación | Crítico: pueden entrar aunque cambies la contraseña | Revoca sesiones, cambia credenciales y revisa dispositivos autorizados |
Si te ves reflejado en una de las filas de mayor riesgo, no pierdas tiempo intentando “comprobar un poco más” desde el mismo enlace. Pasa directo al dispositivo limpio, porque ahí es donde realmente se corta la cadena del fraude.
Cómo limpiar el dispositivo sin empeorar el problema
Si hubo archivo adjunto, instalación de app o descarga sospechosa, el objetivo ya no es solo proteger una cuenta: es desinfectar el equipo o, como mínimo, dejar claro que no quedó una puerta trasera abierta. En phishing, el daño a menudo empieza con un mensaje y termina con malware, redirecciones o robo de sesiones.
- Actualiza sistema operativo, navegador y antivirus antes de hacer nada más.
- Ejecuta un análisis completo, no solo rápido, y revisa lo que detecte.
- Desinstala extensiones, apps o perfiles que no reconozcas, sobre todo si aparecieron después del incidente.
- Revisa el correo por reglas de reenvío, filtros raros o accesos delegados que no hayas creado tú.
- Comprueba el navegador: autocompletado extraño, cambios en la página de inicio o permisos de notificación que no pediste.
- Si es un móvil, mira si hay perfiles de administración, accesibilidad activada sin motivo o apps con permisos excesivos.
Si detectas un comportamiento claramente anómalo, yo no descartaría un restablecimiento de fábrica o una reinstalación limpia, sobre todo en dispositivos donde haya banca, correo principal o acceso a documentos sensibles. Cuando el entorno ya está controlado, toca reforzar las cuentas más valiosas.
Cómo proteger cuentas, banco y pagos
La parte más delicada no suele ser el correo en sí, sino lo que el atacante puede hacer con él: entrar al banco, pedir un cambio de contraseña en otro servicio o usar tu identidad para seguir atacando. Aquí es donde yo priorizo menos la estética de la seguridad y más lo que de verdad corta el daño.
- Cambia contraseñas reutilizadas. Si repetiste la misma clave en varios servicios, cámbiala en todos.
- Usa contraseñas únicas y largas, mejor con gestor de contraseñas que memorizándolas a mano.
- Activa la verificación en dos pasos en correo, banca, redes y nube. Es una barrera simple que reduce mucho el riesgo.
- Revisa métodos de recuperación: teléfono, correo alternativo y dispositivos autorizados.
- Activa alertas del banco para cargos, transferencias o intentos de acceso que no reconozcas.
- Bloquea o reemplaza tarjetas si hubo exposición de datos o si ves movimientos que no cuadran.
En los casos de banca digital, yo no esperaría a ver si “pasa algo más”. Si el fraude tuvo datos financieros de por medio, la reacción rápida marca la diferencia entre un susto y una pérdida real. Y, una vez controlado lo técnico, falta dejar constancia de lo ocurrido.
Dónde reportarlo en España y qué pruebas guardar
En España, yo suelo empezar por INCIBE cuando necesito ordenar el caso o confirmar los siguientes pasos. Su línea gratuita 017 y sus canales de WhatsApp y Telegram son útiles para incidentes de phishing, smishing o vishing, sobre todo si quieres reaccionar con la cabeza fría mientras aún estás dentro de la ventana crítica.
- Guarda el mensaje original, no solo una captura. Si puedes conservar el correo completo, mejor.
- Anota fecha y hora del mensaje, del clic, del acceso y de cualquier cargo sospechoso.
- Conserva el asunto, remitente, enlace y número si hubo SMS o llamada.
- Haz capturas de la web fraudulenta, del formulario falso y de cualquier aviso bancario.
- Si hubo pago o transferencia, guarda justificantes y movimientos bancarios.
- Denuncia si hubo perjuicio económico, suplantación grave o uso indebido de identidad.
Si el caso afecta a una empresa y hay datos personales comprometidos, entran en juego obligaciones más estrictas y conviene no improvisar; en esos escenarios, yo no dejaría la notificación para el final. El siguiente paso lógico es reforzar el sistema para que el próximo intento tenga menos recorrido.
Lo que dejaría activado para no repetir el susto
Si yo tuviera que quedarme solo con unas pocas medidas permanentes, elegiría las que reducen el impacto cuando el engaño consigue pasar el filtro inicial. No hacen el sistema invulnerable, pero sí mucho más difícil de explotar.
- Filtros de spam y antiphishing bien configurados en correo y móvil.
- Verificación en dos pasos en todas las cuentas críticas.
- Gestor de contraseñas para evitar reutilización y detectar dominios falsos.
- Copias de seguridad periódicas, desconectadas o aisladas del equipo principal.
- Actualizaciones automáticas en sistema, navegador, apps y antivirus.
- Hábito de verificar por un canal distinto cuando el mensaje pida prisas, pagos o cambio de credenciales.
El phishing no desaparece por borrar un correo, pero sí pierde eficacia cuando cierras la sesión, cambias claves, proteges el banco y reportas el intento a tiempo. Si aplicas estas capas de defensa, el ataque sigue existiendo, pero deja de ser una vía fácil para robarte datos, dinero o acceso.
