El phishing es un intento de convencer a alguien para que entregue información, abra un archivo o visite una página controlada por un atacante. El mensaje puede llegar por correo electrónico, SMS, aplicaciones de mensajería o redes sociales. El formato cambia; la presión para actuar rápido suele mantenerse.
Este artículo organiza las señales que ayudan a evaluar un mensaje y qué hacer cuando aparece la sospecha, incluso después de haber hecho clic.
Observa el contexto antes que el contenido
Un mensaje debe tener sentido para ti. Tres preguntas resuelven la mayoría de los casos:
- ¿Esperaba este contacto?
- ¿La solicitud coincide con el proceso normal de esta empresa o servicio?
- ¿Por qué el mensaje quiere que decida ahora?
La tercera es la más reveladora. El phishing funciona creando una emoción que atropella la verificación: urgencia («tu cuenta se bloqueará en 24 horas»), miedo («detectamos un acceso indebido»), autoridad («mensaje de la dirección») u oportunidad («has sido seleccionado»).
Estas señales no prueban por sí solas que haya fraude: las empresas legítimas también envían avisos urgentes. Lo que indican es que conviene detenerse y comprobarlo por otro canal. La prisa es el objetivo del atacante, no una característica del asunto.
Desconfía especialmente de las solicitudes para ignorar procedimientos habituales: pagar por un canal diferente, aprobar fuera del sistema, no comentarlo con colegas. Las estafas que piden secreto están pidiendo escapar de la verificación.
Comprueba el destino, no la apariencia
El texto visible de un enlace puede ser diferente de la dirección real. Antes de abrirlo, comprueba el dominio completo e identifica el dominio registrable: el sufijo público más el nombre situado inmediatamente a su izquierda. La cantidad de puntos varía: en banco.com.br, el sufijo es .com.br y el dominio registrable es banco.com.br; en seguro-login.net, el sufijo es .net y el dominio registrable es seguro-login.net. La definición de MDN explica esta distinción. Los ejemplos siguientes comparan destinos:
| Lo que ves | El dominio real | ¿Auténtico? |
|---|---|---|
banco.com.br | banco.com.br | Sí |
banco.com.br.seguro-login.net | seguro-login.net | No |
banco-com-br.info | banco-com-br.info | No |
bancoo.com.br | bancoo.com.br | No |
El truco más común es el del centro de la tabla: el nombre legítimo aparece completo, pero como subdominio de otro sitio. Todo lo que viene antes del dominio real lo elige libremente quien registró la dirección.
En dispositivos móviles esta comprobación resulta más difícil, porque el navegador acorta la dirección. Ante la duda, accede al servicio escribiendo la dirección conocida o mediante la aplicación oficial, nunca a través del enlace recibido.
El nombre mostrado del remitente también puede falsificarse. La foto, el nombre y el logotipo no prueban autenticidad: son los elementos más fáciles de copiar.
Las señales cambiaron y la redacción ya no es una de ellas
Durante mucho tiempo se enseñó a buscar errores de escritura. Ese consejo envejeció: los textos generados automáticamente eliminaron los errores gramaticales que delataban fraudes, y hoy son comunes los mensajes bien escritos, personalizados y contextualizados.
Lo que no cambió es la estructura de la solicitud. Todo intento de phishing necesita que hagas algo: proporcionar una credencial, aprobar una autenticación, abrir un archivo adjunto, realizar un pago o instalar algo.
Por eso la verificación debe centrarse en la acción, no en la apariencia. Un mensaje impecable que pide tu código de verificación sigue siendo un fraude. Un mensaje mal escrito de tu jefe puede ser legítimo.
Qué hacer ante una sospecha
- No proporciones contraseñas, códigos de verificación ni datos financieros a través del mensaje.
- Contacta con la organización por un canal que ya conoces: teléfono de la tarjeta, aplicación oficial, dirección web escrita manualmente.
- Utiliza el proceso interno de reporte, si estás en una empresa.
- Si ya hiciste clic o proporcionaste datos: cambia la contraseña desde el sitio oficial, cierra las sesiones activas, verifica los métodos de MFA registrados y avisa al equipo responsable.
El paso 4 merece énfasis. Haber caído en una estafa no es motivo para ocultarlo: es motivo para actuar rápido. La diferencia entre un incidente contenido y uno grave suele estar en cuánto tardó alguien en avisar. Los equipos que tratan el reporte como un fracaso personal terminan descubriendo los casos mucho más tarde.
La autenticación multifactor reduce el daño de una contraseña entregada, pero también es objetivo de la ingeniería social: nunca apruebes una solicitud de acceso que no iniciaste ni compartas un código recibido; ningún servicio legítimo lo pide por teléfono o mensaje.
Para equipos de defensa
La formación funciona mejor acompañada de procesos sencillos de reporte y respuesta. Si reportar cuesta trabajo, las personas no reportan.
Mide las cosas adecuadas. La tasa de clics en simulaciones es una métrica débil: mide la dificultad del ejercicio más que la madurez de la organización y, si se utiliza como castigo, enseña a ocultar los errores. Métricas más útiles:
- tiempo hasta el primer reporte de una campaña real;
- proporción de personas que reportaron, además de las que hicieron clic;
- tiempo entre el reporte y la contención: bloqueo del remitente, retirada de las bandejas de entrada;
- cuántos reportes llegaron de quienes no cayeron: señal de una cultura saludable.
Una campaña detectada en minutos por una persona atenta vale más que una tasa baja de clics en una prueba fácil.
En el plano técnico, la CISA recomienda combinar controles que no dependan de la atención de las personas: autenticación de dominio en el correo (SPF, DKIM y DMARC), filtrado de adjuntos y enlaces, y MFA resistente al phishing en las cuentas más sensibles. La formación es la última capa, no la primera.
La pausa de un minuto
Cuando un mensaje exige urgencia, haz una pausa breve: deja de hacer clic, lee la solicitud completa, comprueba el dominio y confirma la petición por un canal independiente. El mensaje puede ser legítimo, pero este procedimiento evita que la presión que genera determine tu decisión.
Al reportar una sospecha, conserva el contexto sin reenviar enlaces ni adjuntos a tus colegas. Informa por el canal interno quién es el remitente, la hora y por qué el mensaje te resultó inusual. Reenviar el original al equipo de seguridad por el canal establecido es útil; compartirlo en el grupo del equipo solo amplía la exposición.
Siguiente paso
Localiza ahora, antes de necesitarlo: cuál es el canal para reportar phishing en tu empresa y cuál es el teléfono oficial de tu banco, el del reverso de la tarjeta, no el de un mensaje. Tener estos dos datos a mano convierte una decisión bajo presión en una comprobación de treinta segundos.
