«Fíjate en las faltas de ortografía» es un consejo caducado. El phishing de hoy está escrito en español correcto, lleva logotipos reales y a veces te llama por tu nombre con un número de cuenta exacto.
Las señales que siguen funcionando son otras, y la más fiable no está en el aspecto del mensaje, sino en lo que pide y en el efecto que produce en ti.
No juzgues un mensaje por su apariencia. Los tres patrones que lo delatan son la urgencia fabricada («tu cuenta se cerrará en 24 horas»), una petición que ninguna entidad legítima hace (tu contraseña o un código de verificación) y un dominio que no coincide. Ante la duda, cierra el mensaje y entra en el sitio por tu cuenta.
La urgencia es la primera señal
Todo intento de phishing que funciona necesita que actúes antes de pensar. De ahí la presión temporal, casi siempre presente:
- «Tu cuenta será suspendida en 24 horas»
- «Detectado un inicio de sesión sospechoso: confirma tu identidad ahora»
- «Tu paquete está retenido, paga hoy los gastos de aduana»
- «Has ganado un premio, recógelo antes de que caduque»
Los bancos y las administraciones no funcionan así. Los procedimientos reales llegan fechados, con plazos razonables y a menudo por más de un canal.
La regla práctica: cuanto más urgente parezca, más despacio deberías ir. Esa inversión es tu mejor defensa, porque funciona incluso cuando el mensaje es técnicamente impecable.
Lo que nadie legítimo pide
Ninguna entidad seria te pedirá, por ningún canal:
- Tu contraseña completa
- El código de verificación que acaba de llegar
- Tu número de tarjeta completo con caducidad y código de seguridad
- Que instales una aplicación «de soporte» desde un enlace recibido en un mensaje
El código de verificación es el peligroso. La estafa habitual: alguien llama haciéndose pasar por tu banco, dice que está verificando tu identidad y pide el código que acaba de llegarte. Ese código es justo lo que le falta para entrar en tu cuenta. Eres tú quien abre la puerta.
Leer un enlace
Aquí ocurre la mayor parte del engaño. Una dirección web se lee de izquierda a derecha hasta la primera barra simple: la última parte antes de ella es el dominio real. Todo lo demás es decoración.
| Enlace | Dominio real | Veredicto |
|---|---|---|
banco.es/acceso | banco.es | Auténtico |
banco.es.verifica-id.net/acceso | verifica-id.net | Phishing |
seguro-banco.es/acceso | seguro-banco.es | Un dominio completamente distinto |
banco-seguro.co/acceso | banco-seguro.co | Extensión distinta |
La segunda fila es el truco más eficaz: el dominio real aparece primero, pero se ha convertido en un subdominio del sitio del atacante.
En ordenador: pasa el cursor sin hacer clic; el destino aparece abajo en la ventana. En teléfono: mantén pulsado hasta ver la vista previa.
El canal independiente
Es la única regla que resiste incluso al ataque más elaborado, y no requiere ningún conocimiento técnico:
Nunca uses el medio de contacto que viene en el mensaje.
¿Un mensaje de tu banco? No hagas clic en el enlace ni llames al número que incluye. Abre tú mismo la aplicación del banco o llama al número impreso en tu tarjeta.
Si el mensaje era real, encontrarás la misma notificación dentro de tu cuenta. Si no encuentras nada, ya tienes la respuesta.
Ahí está la diferencia: no intentas juzgar el mensaje, lo estás rodeando. Por eso la regla se sostiene incluso cuando el mensaje es perfecto.
Variantes habituales
Gastos de paquetería. Un mensaje que pide una cantidad pequeña para liberar un envío. El importe es bajo a propósito, para que no dudes: el objetivo son los datos de tu tarjeta, no la tasa.
Suplantación de un conocido. Un mensaje desde un número desconocido: «este es mi número nuevo, necesito una transferencia urgente». Llama primero al número antiguo.
Falsas ofertas de empleo. Sueldo alto con pocos requisitos y, acto seguido, una petición de cuota de inscripción o de datos bancarios.
El rebote de una cuenta robada. Tras el robo de una cuenta, salen mensajes hacia sus contactos que parecen venir de un amigo real, y por eso funcionan.
Si hiciste clic y escribiste tus datos
Actúa en este orden; la rapidez importa de verdad:
- Cambia la contraseña inmediatamente de esa cuenta y de cualquier otra que use la misma.
- Activa la verificación en dos pasos si no la tenías.
- Llama a tu banco si había datos de tarjeta y pide que la bloqueen.
- Revisa las sesiones activas en los ajustes de seguridad de la cuenta y cierra todo lo que no reconozcas.
- Vigila tus cuentas durante dos semanas: los cargos pequeños de prueba suelen preceder a los grandes.
No retrases el aviso por vergüenza. Un phishing bien construido engaña también a profesionales de la seguridad; lo que marca la diferencia es la velocidad de reacción después.
Preguntas frecuentes
¿Cómo compruebo un enlace antes de hacer clic?
En un ordenador, pasa el cursor por encima sin hacer clic y el destino real aparece abajo en la ventana. En un teléfono, mantén pulsado hasta ver la vista previa. Lo que importa es el dominio justo antes de la primera barra simple.
El mensaje lleva el logo del banco y mi nombre real, ¿no será auténtico?
No. Un logo se copia en segundos, y los nombres y números de cuenta se filtran en las brechas de otros sitios. El aspecto de un mensaje no dice nada sobre su procedencia.
Hice clic pero no escribí nada. ¿Corro riesgo?
Mucho menos. Abrir una página rara vez basta por sí solo. Vigila tus cuentas, pasa un análisis y no introduzcas nada si la página vuelve a pedirlo.
¿Cómo verifico que una llamada es realmente de mi banco?
Cuelga y llama al número del reverso de tu tarjeta o de la web oficial. Nunca uses un número que te dé quien llama. Un interlocutor legítimo no pondrá ninguna objeción.
¿Cuál es la variante más peligrosa?
El phishing dirigido, donde el remitente conoce tu nombre, tu empresa y a veces una operación real. No se detecta por el aspecto, solo por una regla: verificar por un canal independiente antes de cualquier transferencia o credencial.
Fuentes
¿Has encontrado un error? Escríbenos: lo corregimos y anotamos el cambio al final del artículo. Hello@daily-atlas.com
