Llegas a casa después del trabajo, abres el correo y ves un mensaje de tu banco: “Hemos detectado un inicio de sesión sospechoso en tu cuenta. Verifica tu identidad haciendo clic aquí”. El logotipo parece correcto, el tono es serio y te piden que actúes rápido. Tu corazón da un vuelco. ¿Es real? ¿Te han robado la cuenta? ¿Qué haces?
Si esto te suena familiar, no estás solo. Los correos fraudulentos, también conocidos como phishing, son una de las estafas más comunes en internet. Y no, no hace falta ser un experto en ciberseguridad para aprender a detectarlos.
Qué son los correos fraudulentos y cómo funcionan
Un correo fraudulento es un mensaje electrónico que aparenta ser de una entidad legítima (un banco, una empresa de transporte, una red social) pero en realidad busca engañarte para que hagas algo: pinchar un enlace, descargar un archivo o responder con información personal.
El objetivo puede ser robarte la contraseña, infectar tu ordenador con un virus, o suplantar tu identidad para acceder a tus cuentas.
Estos correos no los envía una persona real detrás de un teclado. Son campañas automatizadas que lanzan miles de mensajes esperando que alguien pique. No va contra ti personalmente, pero si caes, las consecuencias pueden ser graves.
Lo primero que tienes que saber es que ninguna empresa seria te va a pedir datos personales o contraseñas por correo electrónico. Si un banco, una tienda online o una red social te los pide por email, es falso. Siempre.
Tipos de phishing que debes conocer
No todos los ataques son iguales. Conocer las variantes te ayuda a estar más preparado:
Phishing masivo. Es el más común. Los atacantes envían miles de correos idénticos suplantando a bancos, grandes empresas o servicios populares. El mensaje es genérico y busca pescar al mayor número posible de víctimas.
Spear phishing. Aquí el ataque va dirigido a una persona concreta. El estafador investiga a su víctima (por redes sociales, LinkedIn, webs profesionales) y personaliza el mensaje con datos reales. Es más peligroso porque el correo parece legítimo.
Smishing y vishing. El smishing llega por SMS, el vishing por llamada telefónica. La mecánica es la misma: suplantan a una entidad y te piden información urgente. Si alguien te llama diciendo ser de tu banco y te pide códigos de seguridad, cuelga y llama tú directamente al número oficial.
Clone phishing. El atacante copia un correo legítimo que hayas recibido antes, modifica el enlace o el archivo adjunto, y te lo reenvía como si fuera una actualización del original. Por eso, aunque un correo parezca una respuesta a algo que ya estabas gestionando, verifica siempre el remitente.
Señales de alerta para identificar un correo falso
Aprender a detectar un correo fraudulento es como aprender a reconocer billetes falsos: una vez que sabes qué buscar, lo ves en segundos. Estas son las señales más comunes.
La dirección del remitente no coincide
El nombre que ves en tu bandeja de entrada puede ser “Banco Santander” o “Amazon”, pero si haces clic en el nombre del remitente para ver la dirección real, descubres que es algo como soporte.bancoNeh@gmail.com o no-reply@empresa-seguridad.tk.
Las empresas de verdad usan dominios propios. Si el dominio después de la arroba no termina en el nombre oficial de la empresa, desconfía.
El saludo es genérico
Los correos legítimos suelen dirigirse a ti por tu nombre. Si el mensaje empieza con “Estimado cliente”, “Estimado usuario” o “A quien corresponda”, es sospechoso. Las empresas tienen tus datos y los usan cuando se comunican contigo.
El mensaje crea urgencia o miedo
“Su cuenta será cerrada en 24 horas”, “Hemos detectado un cargo no autorizado”, “Debe actualizar sus datos inmediatamente”. Los estafadores juegan con tus emociones para que actúes sin pensar.
Si un correo te transmite urgencia, para, respira y examínalo con calma antes de hacer clic en nada.
El enlace no lleva a donde dice
Antes de hacer clic en un enlace, pasa el ratón por encima sin pulsar. Verás una previsualización de la dirección real en la esquina inferior del navegador o en una ventana emergente.
Si el texto del enlace dice https:\\www.bancoNeh.es pero la dirección real es algo como http:\\bancoNeh.verificacion-segura.xyz, es phishing.
Las URLs fraudulentas suelen tener errores ortográficos (santander con una letra cambiada), dominios extraños (.xyz, .tk, .club) o protocolos inseguros (http en lugar de https).
Adjuntos inesperados
Si un correo que no esperabas incluye un archivo adjunto (una factura, un PDF, un ZIP), no lo abras. Los archivos adjuntos son una de las formas más comunes de distribuir virus y ransomware.
Errores de ortografía y diseño
Muchos correos fraudulentos contienen faltas de ortografía, traducciones automáticas mal hechas o diseños que no se corresponden con la imagen de la empresa. No siempre es así (los hay muy bien hechos), pero cuando lo ves, es una señal clara.
Qué hacer si recibes un correo sospechoso
Si has identificado un correo fraudulento, esto es lo que tienes que hacer, paso a paso.
No hagas clic en nada
No pinches enlaces, no descargues archivos, no respondas al mensaje. La interacción con el correo ya confirma al estafador que tu dirección es activa.
No introduzcas datos
Si ya has hecho clic y la página te pide usuario, contraseña, número de tarjeta o cualquier dato personal, no los introduzcas. Cierra la pestaña inmediatamente.
Marca el correo como spam
La mayoría de los gestores de correo (Gmail, Outlook, Yahoo) tienen un botón para marcar mensajes como spam o phishing. Usarlo ayuda al sistema a proteger a otros usuarios.
Reporta el fraude a las autoridades
En España, puedes reenviar el correo sospechoso a Incibe, el Instituto Nacional de Ciberseguridad. En Italia, la autoridad competente es CSIRT Italia. Estas organizaciones analizan las amenazas y emiten alertas.
Si has picado, actúa rápido
Si introdujiste tu contraseña en un sitio falso, cambia esa contraseña inmediatamente en la web oficial del servicio afectado. Si diste tu número de tarjeta, contacta con tu banco para bloquearla. Si descargaste un archivo sospechoso, ejecuta un análisis antivirus completo en tu ordenador.
Cómo protegerte antes de que llegue un correo falso
La prevención es la mejor defensa. Estas prácticas reducen drásticamente el riesgo de caer en un correo fraudulento.
Usa un gestor de contraseñas
Un gestor de contraseñas como 1Password no solo guarda tus claves de forma segura, sino que las escribe automáticamente en los sitios web. Su función más importante contra el phishing es que solo rellena la contraseña si la dirección web coincide exactamente con la que tiene guardada. Si acabas en un sitio falso, el gestor no autocompletará nada, y esa es tu señal de alerta.
Activa la verificación en dos pasos
La mayoría de los servicios importantes (Google, Microsoft, redes sociales, bancos) ofrecen verificación en dos pasos. Aunque te roben la contraseña, sin el segundo factor (un código que llega a tu móvil o a una aplicación) no pueden acceder a tu cuenta.
Actívala en todos los servicios que lo permitan. Es el paso más eficaz que puedes dar para proteger tus cuentas.
Mantén tu ordenador y móvil actualizados
Las actualizaciones de seguridad corrigen vulnerabilidades que los atacantes podrían usar para infectar tu dispositivo. Activa las actualizaciones automáticas en tu sistema operativo y aplicaciones.
No uses la misma contraseña en varios sitios
Si usas la misma clave en tu banco y en una tienda online, y esa tienda sufre una filtración, los atacantes probarán esa contraseña en tu banco. Un gestor de contraseñas te ayuda a tener claves únicas y complejas para cada servicio.
Configura filtros antispam
Tu proveedor de correo ya filtra muchos correos fraudulentos automáticamente, pero puedes ayudarle marcando como spam los que se te escapen. Cuanto más uses esta función, mejor aprenderá el sistema.
Herramientas de seguridad que refuerzan tu protección
Además de las buenas prácticas, existen herramientas que añaden una capa extra de seguridad. Todas tienen versiones gratuitas suficientes para un uso doméstico.
Antivirus. Programas como Kaspersky y Malwarebytes analizan los archivos que descargas y te alertan si algo es peligroso. También protegen tu navegador bloqueando sitios web fraudulentos antes de que se carguen.
Extensiones de navegador. Muchas extensiones gratuitas comprueban automáticamente la reputación de los enlaces mientras navegas. Si una página es conocida por ser fraudulenta, la extensión te avisará antes de que introduzcas ningún dato.
Gestores de contraseñas. Ya lo hemos mencionado antes, pero merece la pena repetirlo: un gestor de contraseñas es tu mejor defensa contra el phishing. Si no sabes por cuál empezar, 1Password es una opción sólida con versiones para particulares y familias.
Preguntas frecuentes sobre correos fraudulentos
¿Qué hago si ya hice clic en un enlace pero no introduje datos?
Cambia la contraseña del servicio al que creías estar accediendo, aunque no introdujeras nada. Algunos ataques pueden intentar instalar software sin que te des cuenta. Ejecuta un análisis antivirus completo como medida de precaución.
¿Los correos fraudulentos solo llegan por email?
No. También aparecen por SMS (se llama smishing), por WhatsApp, por redes sociales y llamadas telefónicas (vishing). Las mismas reglas aplican: no des datos personales, no hagas clic en enlaces sospechosos, verifica siempre el origen.
¿Puedo confiar en un correo si contiene mi nombre real?
No necesariamente. Los estafadores pueden haber conseguido tu nombre de una filtración de datos o de información pública en redes sociales. Que el correo te llame por tu nombre no significa que sea legítimo.
¿Las empresas grandes como Amazon o Netflix envían correos pidiendo datos?
No. Ninguna empresa seria te pide contraseñas, números de tarjeta o datos bancarios por correo electrónico. Si recibes uno que lo hace, es falso, aunque el diseño sea perfecto.
¿Es seguro usar el botón “Cancelar suscripción” al final de estos correos?
No. Hacer clic en “Cancelar suscripción” o en cualquier enlace dentro de un correo fraudulento confirma al estafador que tu dirección es activa. Es mejor marcarlo como spam directamente sin interactuar.
¿Los antivirus gratuitos protegen contra el phishing?
Sí, muchos antivirus gratuitos incluyen protección contra phishing y sitios web fraudulentos. No hace falta pagar para tener una protección básica eficaz.
¿Debo preocuparme si el correo fraudulento viene de un contacto conocido?
Sí. Si un amigo o familiar te envía un enlace sospechoso, es posible que le hayan robado la cuenta. No asumas que es seguro solo porque conoces a la persona. Escríbele por otro canal (WhatsApp, teléfono) para confirmar que realmente te lo ha enviado él.
¿Las estafas de phishing solo buscan dinero?
No siempre. Algunos ataques buscan instalar ransomware (programas que secuestran tus archivos y piden un rescate), otros quieren robar tus credenciales para acceder a servicios donde trabajas y desde allí lanzar ataques más grandes. Incluso hay quienes buscan tu información personal para venderla en la dark web. Por eso es importante proteger tus datos aunque no tengas dinero en juego.
Confía en tu instinto y actúa con calma
La mejor herramienta contra el phishing no es un programa de seguridad ni una lista interminable de reglas. Es tu propio criterio. Si un correo te parece extraño, probablemente lo sea. No dejes que la urgencia o el miedo te empujen a actuar sin pensar.
Para, examina el remitente, pasa el ratón por encima de los enlaces, pregúntate si el mensaje tiene sentido. En esos segundos de duda, puedes evitar un problema que te llevaría horas o días resolver.
Comparte lo que has aprendido con las personas de tu entorno. Tus padres, tus abuelos, tus compañeros de trabajo que no están familiarizados con la tecnología son los más vulnerables a este tipo de estafas. Una conversación de cinco minutos puede ahorrarles un disgusto.
Y recuerda: ninguna empresa seria te va a pedir datos personales por correo. Si lo hace, es falso. No necesitas ser un experto en ciberseguridad para saber eso.
