El anzuelo más antiguo de internet no cesa: el phishing sigue siendo la puerta de entrada favorita para robar credenciales, sesiones y dinero. Lo que cambian son los envoltorios. El correo ya no viene de un príncipe lejano: llega con la factura de tu operador, la notificación de un organismo o el aviso de tu banco. Y ya no vive solo: se ha mudado al SMS, a WhatsApp y, últimamente, a una llamada con una voz que suena familiar.
El mecanismo, sin embargo, no se ha movido en décadas: urgencia, autoridad y miedo para acortar el tiempo de reflexión. El clic casi nunca es el daño; el daño es entregar una contraseña, aprobar un aviso que no pediste o dejar una sesión abierta. La defensa no es desconfiar de todo: es verificar por otro canal.
Esta guía repasa cómo se reconoce un phishing hoy, qué señales usar en cada canal, qué hacer si ya has caído —sin culpas— y dónde termina la prevención. Si te interesa el lado del atacante, este otro artículo explica qué busca realmente en una web.
01Resumen rápido
- La urgencia es la carga«Vence hoy», «se bloquea tu cuenta», «último aviso»: si el mensaje te empuja a actuar ya, eso es el gancho, no la información.
- El remitente no es fiableLa dirección, el logo y el nombre se suplantan en minutos. No juzgues por la cabecera: juzga por la acción que te piden.
- Verifica por otro canalAbre la app oficial o el teléfono que buscas tú mismo, nunca el que viene en el mensaje. Lo legítimo sobrevive al cambio de canal.
- El clic no es el único dañoTambién enganchan un adjunto, una aprobación de acceso que no pediste o una transferencia «temporal».
- Si has caído: rápido y sin culpaRota credenciales, revisa sesiones activas, revoca aplicaciones conectadas y avisa a quien corresponda.
- La prevención tiene techoNingún filtro elimina el cien por cien. El objetivo es que un clic no se convierta en pérdida: menos permisos, sesiones cortas, respaldos.
02Cómo se reconoce un phishing hoy
Un mensaje de phishing es marketing inverso: vende miedo o confianza en tu nombre para conseguir una acción. Casi siempre lleva al menos uno de estos cinco cargamentos:
- Urgencia fabricada. Plazos que no existen, cuentas que «se cierran hoy», supuestos intentos de acceso. La prisa no es información: es la carga útil del mensaje.
- Autoridad prestada. Hacienda, el banco, la compañía eléctrica, tu jefe o la plataforma de mensajería. Suplantar logotipos y estilos cuesta minutos y es legalmente la parte fácil para quien ataca.
- Miedo o culpa. «Hay un problema con tu cuenta», «debemos verificar tus datos» o la temida multa. El objetivo es que quieras resolver rápido y no pienses despacio.
- Enlace o dominio parecido. Cambios de una letra, guiones añadidos, extensiones raras o subdominios que imitan el dominio real: en «tubanco-verificacion.com» el dominio registrado es el inventado, no el del banco.
- Adjunto o petición inusual. Facturas en comprimido, «acuse de recibo» que abre una web de login, o transferencias por canales raros a nombre de terceros.
Un solo indicador puede ser legítimo: los bancos también avisan. La alarma útil es la combinación: urgencia + autoridad + acción externa + canal que no elegiste tú.
¿Te llega una petición por correo? Compruébala por un medio que tú controlas: la app oficial, la web que escribes a mano, el teléfono que buscas en una guía de confianza. Si la amenaza es real, sobrevive al cambio de canal. Si no aparece en ningún sitio legítimo, no era real.
03Los canales: correo, SMS, WhatsApp y voz
Cada canal tiene su señuelo típico. Cambia el envoltorio, no el guion: te piden una acción rápida y fuera del contexto en el que confiabas.
| Canal | Cómo entra | Señal típica |
|---|---|---|
| Correo | Remitente suplantado o dominio casi idéntico | Facturas, avisos fiscales, documentos «compartidos» que piden login |
| SMS | Número desconocido o robado, sin aviso previo | Paquete retenido, un cargo que no reconoces, enlace acortado sin destino visible |
| Contacto conocido con cuenta tomada o número spoofeado | «Pásame este código», ofertas de trabajo fáciles, transferencias urgentes de un conocido | |
| Voz | Llamada que imita al banco, a soporte técnico o a un familiar | Suplantación con voz sintética: pide verificación, aprobaciones o discreción inmediata |
Correo y SMS
El correo es el canal clásico y sigue siendo el que más entra: no hace falta romper nada, basta con que el diseño esté bien copiado. El SMS añade lo que el correo no tiene: intimidad de bolsillo y enlaces imposibles de inspeccionar. La regla para los dos: no pulses el enlace; abre la web oficial escribiéndola tú.
Aquí el gancho es la confianza: el mensaje llega de un número que conoces porque su cuenta ha sido tomada, o de uno que lo imita. «Confírmame el código que te acabo de mandar» es un robo de sesión en directo: ese código es la llave de tu cuenta. Un trabajo que paga bien por escribir reseñas desde el móvil, con contacto fuera de la plataforma y dinero por delante, es phishing con planilla.
Voz
El vishing —phishing por voz— ya no depende solo del acento raro y la llamada internacional. Con modelos capaces de imitar una voz conocida a partir de unos segundos de audio, «suena como tu hija» deja de ser un criterio fiable. La única defensa práctica es una norma acordada de antemano: una pregunta que solo un familiar real sabría responder, o una llamada que cuelga y devuelve por el número de siempre. Si la voz pide dinero, códigos o discreción, cuelga y verifica por el canal de siempre.
Y un aviso sobre los avisos de seguridad: si recibes una notificación de acceso que no has iniciado tú, no es un susto ni un error del sistema. Alguien tiene tu contraseña y está probando suertes. Aceptar «por si acaso» —la fatiga de MFA— es ceder la puerta: la respuesta correcta es rechazar, cambiar la contraseña y cerrar sesiones.
04Qué hacer si has caído
Primero, una idea que ahorra tiempo y vergüenza: que te timen no es un defecto de carácter. Los mensajes de phishing los escriben equipos que prueban guiones hasta que alguno funciona, con datos reales robados de filtraciones. Un día estás con prisa, en el móvil, con un aviso que imita lo de siempre. Puede pasarle a cualquiera. Lo que separa un susto de un desastre es lo que haces en la hora siguiente.
- Para de aprobar cosas. Ni confirmaciones, ni códigos, ni «último paso». Mientras dudes, no toques nada.
- Rota las credenciales afectadas. Empieza por el servicio suplantado; sigue por cualquier cuenta donde reutilizaras esa contraseña. Cámbialas desde un dispositivo que controles, no desde el enlace del mensaje.
- Cierra sesiones. Revisa los inicios de sesión activos en correo, banco, redes y herramientas de trabajo, y desconecta todo lo que no identifiques.
- Revoca aplicaciones conectadas. Los accesos OAuth que diste «para probar» siguen abiertos: quítalos de la lista.
- Avisa a quien corresponde. Tu banco, tu empresa (el equipo de sistemas, no tu compañero), el organismo suplantado. Avisar pronto a una empresa puede cortar el ataque antes de que llegue a otros.
- Reporta el mensaje. Reenvíalo como adjunto a los canales de abuse del proveedor y a los organismos que reciben denuncias cibernéticas. Sirve para cerrar el cebo.
- Vigila unos días. Alertas de acceso activadas, movimientos que no reconoces, correos extraños en tu nombre. La segunda ola suele llegar rápido.
El diagnóstico honesto tras un incidente nunca es «el usuario hizo clic». Es por qué ese clic abrió tanto: ¿la contraseña servía para tres servicios?, ¿no había verificación en dos pasos?, ¿la sesión del panel llevaba meses abierta? El secuestro de datos suele empezar exactamente así.
05Prevención y límites
La prevención que funciona reduce el daño, no promete un mundo sin ataques. En orden de rentabilidad:
- Gestor de contraseñas y una contraseña por servicio. Si una filtración no abre las demás cuentas, el clic pierde poder.
- Verificación robusta. Autenticador o llave física antes que SMS: el SMS vive en el mismo bolsillo que el ataque.
- Sesiones cortas y permisos mínimos. Quien menos puede romper, menos rompe cuando pica el anzuelo.
- Respaldos que se pueden restaurar. Suena de otra guía, pero un rescate rápido es un phishing que quedó en anécdota.
- Normas de doble canal. Criterio para transferencias: se confirman por otro medio y con otra persona. Una norma simple vale más que diez campañas de formación.
Y está el lado de las webs: un sitio comprometido no solo se roba datos, se convierte en vehículo. Las webs WordPress atacadas sirven páginas de login falsas a los visitantes y lanzan correo de phishing desde el dominio real, que es el que sí confía la gente. Si tu web envía correos a clientes, su higiene es parte de la defensa de todos: seguridad WordPress cubre accesos, actualizaciones, monitorización y respuesta ante incidentes.
El límite honesto: algún eslabón caerá. El filtrado, la formación y los avisos bajan la probabilidad; no la cero. Por eso el diseño que aguanta es el que asume el clic y corta después: expiración de sesión, confirmación para acciones graves, alertas activadas y respaldos. Ninguna campaña de «no pulses ahí» compensa una arquitectura que deja que un clic lo abra casi todo.
06Preguntas frecuentes
¿Se distingue un dominio falso mirando la dirección?
A veces sí, pero fiarse de la vista es el error clásico: los registros nuevos imitan, los subdominios engañan y los acortadores ocultan. El método no es leer la dirección, es no entrar por el enlace: escribe tú la web oficial en el navegador o usa la app.
¿Esa oferta de trabajo por WhatsApp es phishing?
La combinación es sospechosa de entrada: pago fácil por tareas mínimas, contacto iniciado por número desconocido y traspaso de la conversación a otra app. Si además piden dinero o datos bancarios «para darte de alta», es phishing con nombre de empresa.
Pulsé un enlace pero no introduje nada: ¿estoy a salvo?
En un caso típico, el clic solo no abre la puerta; el daño viene de identificar el navegador y esperar el siguiente error tuyo. Aun así: no reutilices la contraseña de ese servicio, fuerza cierre de sesión y observa. Si el sitio pedía un login, trata las credenciales como comprometidas.
Me llegó una aprobación de acceso que no pedí: ¿la rechazo?
Sí, sin dudar y sin «por si acaso». Una aprobación no solicitada es alguien con tu contraseña probando hasta que digas que sí. Recházala y cambia esa contraseña ese mismo día.
¿Mi dominio está suplantado por correos que lo imitan? ¿Qué hago?
Reporta a los buzones de abuse de los grandes proveedores y, si procede, denuncia. Después revisa tu casa: si tu web no tiene controles, puede que el siguiente mensaje suplante tu dominio porque tu WordPress ya está comprometido. Una auditoría WordPress lo detecta y ordena qué arreglar.