Spam - significado, cómo evitarlo y diferenciarlo del phishing

Qué significa realmente el spam en la práctica

Yo suelo explicar el spam como correo no deseado enviado de forma masiva. INCIBE lo resume precisamente así: mensajes que no has pedido y que llegan en volumen, a veces con fines publicitarios y otras como parte de campañas maliciosas. Esa doble cara es importante, porque el problema no es solo que saturen la bandeja de entrada; también pueden servir para probar qué direcciones siguen activas, colarte una oferta engañosa o preparar un fraude más serio.

En un entorno digital normal, el spam puede aparecer como newsletter no solicitada, promoción repetitiva, SMS de un supuesto sorteo o mensaje directo de una cuenta desconocida. La diferencia entre un simple estorbo y un riesgo real está en lo que viene después: si el mensaje te empuja a entregar datos, instalar algo o actuar con prisa, ya no lo trato como un simple aviso molesto. Con esa base clara, lo siguiente es separar el spam del phishing, porque no son lo mismo aunque a menudo viajen juntos.

Por qué el spam y el phishing suelen ir de la mano

El spam es el vehículo; el phishing, el anzuelo. El primero sirve para distribuir mensajes en masa y el segundo intenta robar credenciales, dinero o acceso a cuentas. Yo no los mezclo porque la reacción correcta cambia: un correo comercial pesado se bloquea o se desuscribe, mientras que un phishing se verifica, se ignora y, si hace falta, se denuncia.

La confusión aparece porque ambos usan técnicas parecidas: remitentes falsificados, asuntos alarmistas y enlaces que parecen legítimos. Aquí entra un tercer término que conviene entender: spoofing, que es la suplantación del remitente o del dominio para que el mensaje parezca venir de alguien de confianza. Es una pieza habitual en campañas de phishing, y por eso un correo que “parece” tu banco, tu empresa de paquetería o incluso tu propia dirección no merece confianza automática.

En España, los ejemplos clásicos siguen siendo muy reconocibles: supuestas multas de la DGT, avisos de Hacienda, notificaciones de bancos o alertas de entregas pendientes. No importa tanto la marca suplantada como la lógica del mensaje: urgencia, presión y petición de acción inmediata. La diferencia práctica entre spam, phishing, spoofing y malware se ve mejor si los comparas de forma directa.

Yo no los trato como sinónimos; me interesa quién envía, qué pide y qué pasa si haces clic. Esa regla sencilla evita muchas confusiones y nos lleva al siguiente paso: aprender a detectar las señales concretas en un mensaje.

Cómo distinguir un mensaje basura de un intento de fraude

La mejor defensa no es una intuición vaga, sino una revisión rápida de señales. Si veo dos o tres de estas a la vez, doy por hecho que el mensaje merece desconfianza. No hace falta ser paranoico; basta con ser metódico.

• Urgencia artificial: “último aviso”, “bloqueo inmediato” o “su cuenta caduca hoy”.
• Remitente raro: un dominio extraño, una variación mínima del original o una dirección que no coincide con la empresa que dice ser.
• Enlace que no encaja: al pasar el cursor, la URL real no coincide con el texto visible.
• Adjuntos inesperados: facturas, albaranes, documentos compartidos o archivos comprimidos sin contexto.
• Errores o tono extraño: no siempre aparecen, pero siguen siendo una pista útil.
• Petición de datos sensibles: contraseñas, códigos de verificación, tarjeta o firma de documentos fuera del canal oficial.

Hay un matiz que mucha gente pasa por alto: un mensaje visualmente limpio también puede ser fraudulento. El lenguaje ha mejorado mucho y, en campañas actuales, los atacantes copian logos, estilos y firmas con bastante precisión. Por eso yo doy más peso a la estructura del mensaje que a su aspecto estético.

Un ejemplo útil: si recibes una supuesta notificación de tu banco y te pide “confirmar” la cuenta mediante un enlace, no importa lo convincente que sea el diseño. La forma correcta de comprobarlo es entrar tú mismo en la web o en la app oficial, escribiendo la dirección o usando el acceso que ya conoces. Esa diferencia entre verificar por tu cuenta y seguir el enlace del mensaje es la línea que separa la prudencia del riesgo. Con eso en mente, el siguiente tema es qué hacer exactamente cuando el mensaje ya está en tu bandeja.

Qué hacer cuando recibes spam o sospechas phishing

Mi regla es simple: no interactúes primero, verifica después. Si el mensaje solo es spam, lo cierras, lo marcas y sigues. Si hay señales de fraude, actúas con más orden. Este es el protocolo que mejor funciona en la práctica:

1. No abras enlaces ni adjuntos si no esperabas el mensaje.
2. Comprueba el remitente real, no solo el nombre visible.
3. Entra por el canal oficial del servicio, nunca desde el enlace del correo.
4. Marca el mensaje como spam o phishing en tu proveedor de correo para entrenar el filtro.
5. Si ya diste una contraseña, cámbiala de inmediato y cierra sesiones activas.
6. Activa la verificación en dos pasos si aún no la tienes; añade una barrera real aunque la clave se filtre.
7. Si afecta a dinero o identidad, avisa al banco o al servicio implicado cuanto antes.

Google recuerda que mover un mensaje sospechoso a la carpeta de spam ayuda a mejorar el filtrado, pero eso no sustituye la revisión manual cuando el mensaje intenta imitar un servicio real. Yo añadiría algo más: si el mensaje llegó a tu bandeja principal, no significa que sea confiable; solo significa que el filtro no lo detectó a tiempo. Y si el fraude ya te ha pedido credenciales, la prioridad pasa a ser cortar el acceso, no discutir si el mensaje “parecía auténtico”.

Esto conecta con el siguiente punto, que para mí es el más rentable a medio plazo: ajustar tus hábitos para que llegue menos basura y, sobre todo, para que sea más difícil que un fraude te encuentre desprevenido.

Cómo reducir el spam sin perder correos legítimos

No existe una bandeja de entrada perfecta, pero sí una bastante más limpia. Yo priorizo medidas que reducen ruido sin romper comunicaciones útiles. Lo más efectivo suele ser una combinación de filtro, higiene digital y sentido común con dónde compartes tu dirección.

• Usa una dirección secundaria para registros poco importantes, sorteos o pruebas.
• Separa cuentas: una para trabajo, otra personal y otra para registros de bajo valor.
• Revisa las suscripciones reales y cancela solo las que reconoces; no pulses “desuscribir” en mensajes dudosos.
• Activa filtros y reglas para mover automáticamente lo repetitivo o sospechoso.
• No publiques tu correo principal en espacios abiertos si puedes evitarlo.
• No respondas al spam; en muchos casos solo confirmas que la cuenta está activa.

Hay una diferencia importante entre desuscribirse de una lista legítima y tocar un enlace dentro de un correo dudoso. En el primer caso, reduces ruido; en el segundo, puedes estar confirmando que tu dirección es válida o incluso saltando a una web maliciosa. Yo suelo usar una regla muy simple: si reconozco la empresa y la relación es real, gestiono la baja; si no la reconozco o el mensaje me presiona, lo dejo intacto y lo marco como sospechoso.

También conviene entender el límite de los filtros: son buenos para volumen, no perfectos para intención. Por eso, aunque la tecnología ha mejorado mucho, el criterio humano sigue siendo la capa que cierra el círculo. Y ahí es donde entra la parte final de este tema.

Lo que no conviene normalizar en una bandeja de entrada saturada

Cuando la bandeja se llena de ruido, el error más común es acostumbrarse. Esa costumbre sale cara: se pierden alertas reales, se confunden mensajes legítimos con fraude y se baja la guardia justo cuando aparece una campaña bien hecha. Yo prefiero pensar el spam como una señal de exposición: si llega mucho, algo está filtrando tu dirección hacia fuera.

Si tuviera que resumir la idea útil, sería esta: trata el spam como ruido, pero revisa con calma cada mensaje que te pida dinero, contraseñas o acción inmediata, porque ahí es donde empieza casi siempre la estafa.