El phishing es la técnica más utilizada para robar contraseñas, datos bancarios y cuentas. No necesita ningún conocimiento técnico avanzado: basta con un mensaje convincente que te haga pinchar en un enlace y escribir tus datos en una web falsa. La buena noticia es que casi todos los intentos dejan pistas. En esta guía aprenderás a detectar el phishing con 10 señales de alerta y qué hacer si ya has caído.
¿Qué es el phishing?
El phishing es un tipo de estafa en la que el atacante se hace pasar por una entidad de confianza (tu banco, una empresa de paquetería, Hacienda, Netflix o incluso un compañero de trabajo) para conseguir que le entregues información o que hagas algo en su beneficio: introducir tu contraseña, dar los datos de tu tarjeta, instalar una aplicación o hacer una transferencia.
Tipos de phishing más comunes
- Phishing por correo: el clásico. Emails que imitan a marcas conocidas con un enlace a una web falsa.
- Smishing (SMS): mensajes de texto sobre paquetes retenidos, multas o cargos sospechosos en tu cuenta.
- Vishing (llamadas): alguien que dice ser de tu banco o del soporte técnico te llama para "verificar" datos o un código.
- Phishing por WhatsApp y redes sociales: mensajes de contactos suplantados ("Hola mamá, he cambiado de número") o falsos sorteos.
- Spear phishing: ataques dirigidos a una persona concreta, con datos reales sobre ella para resultar más creíbles.
10 señales para detectar un intento de phishing
1. Urgencia o amenazas
"Tu cuenta será bloqueada en 24 horas", "último aviso", "se ha detectado un cargo de 899 €". La prisa busca que actúes sin pensar. Las empresas legítimas rara vez imponen plazos tan cortos por mensaje.
2. El remitente no cuadra
El nombre visible puede decir "Banco Santander", pero la dirección real es avisos@seguridad-clientes-info.com. Despliega siempre los datos del remitente. En los SMS, desconfía aunque el mensaje aparezca en el mismo hilo que los mensajes reales de tu banco: el remitente se puede falsificar.
3. Enlaces que llevan a otro sitio
Antes de pinchar, mantén el ratón encima del enlace (o mantén pulsado en el móvil) para ver la dirección real. Fíjate en el dominio principal, la parte justo antes de .com, .es, etc. En bbva.es.verificacion-cliente.com, el dominio real es verificacion-cliente.com, no BBVA.
4. Dominios que imitan a los reales
Letras cambiadas (arnazon en lugar de amazon), números por letras (paypa1), guiones añadidos (correos-envios.com) o extensiones extrañas. Un vistazo rápido no basta: lee el dominio letra a letra.
5. Te piden datos que nunca se piden por mensaje
Ningún banco, empresa ni organismo te pedirá por correo, SMS o teléfono tu contraseña, el PIN de tu tarjeta, el CVV completo o un código de verificación. Si alguien te pide un código que te acaba de llegar por SMS, es una estafa: ese código sirve para autorizar un acceso o un pago.
6. Saludo genérico
"Estimado cliente" o "Hola usuario" en lugar de tu nombre puede indicar un envío masivo. Ojo: lo contrario no garantiza nada, porque los atacantes con datos filtrados también pueden usar tu nombre.
7. Faltas de ortografía y traducciones extrañas
Errores gramaticales, frases mal traducidas o formatos de fecha y moneda raros son pistas clásicas. Cada vez son menos frecuentes porque los delincuentes usan herramientas de traducción e IA, así que no te fíes de un mensaje solo porque esté bien escrito.
8. Archivos adjuntos inesperados
Facturas que no esperabas, "comprobantes de pago" o documentos comprimidos (.zip, .rar), archivos .html o documentos de Office que piden "habilitar contenido". Pueden instalar malware que robe tus contraseñas directamente.
9. Ofertas demasiado buenas
Premios de sorteos en los que no participaste, devoluciones de impuestos inesperadas, móviles a 1 € o inversiones con beneficios garantizados. Si suena demasiado bien para ser verdad, lo es.
10. La web pide más de lo normal
Si llegas a una página de inicio de sesión desde un enlace y te pide datos que normalmente no te piden (número de tarjeta completo, PIN, preguntas de seguridad), cierra la página. El candado de HTTPS no significa que la web sea legítima: solo que la conexión está cifrada, y las webs falsas también lo tienen.
Ejemplos habituales de phishing en España
| Suplanta a | Mensaje típico | Qué buscan |
|---|---|---|
| Bancos | "Hemos bloqueado tu cuenta por un acceso inusual" | Usuario, contraseña y códigos SMS |
| Paquetería (Correos, DHL, SEUR) | "Tu paquete está retenido, paga 1,99 € de aduanas" | Datos de tarjeta |
| Agencia Tributaria / DGT | "Tienes una devolución pendiente" o "multa sin pagar" | Datos personales y de tarjeta |
| Netflix, Amazon, Apple | "Tu suscripción ha sido suspendida, actualiza el pago" | Credenciales y tarjeta |
| Un familiar por WhatsApp | "Se me ha roto el móvil, este es mi nuevo número" | Transferencias o Bizum |
| Soporte técnico | "Su ordenador está infectado, llámenos" | Acceso remoto al equipo |
¿Has caído? Qué hacer inmediatamente
Actuar rápido reduce mucho el daño. Sigue estos pasos en orden:
- Si diste datos bancarios: llama a tu banco por el teléfono oficial (el que aparece en su web o en tu tarjeta, nunca el del mensaje) y bloquea la tarjeta o las operaciones.
- Cambia la contraseña de la cuenta afectada desde la web o app oficial, por una nueva generada con un generador de contraseñas seguras.
- Cambia también esa contraseña en cualquier otro servicio donde la repitieras.
- Activa la verificación en dos pasos si no la tenías. Te explicamos cómo en nuestra guía de autenticación en dos pasos.
- Revisa la actividad reciente de la cuenta: sesiones abiertas, reglas de reenvío en el correo y dispositivos vinculados. Cierra todo lo que no reconozcas.
- Si instalaste algo o abriste un adjunto, analiza el dispositivo con un antivirus actualizado.
- Pide ayuda y denuncia: en España puedes llamar gratis al 017, la Línea de Ayuda en Ciberseguridad de INCIBE, y presentar denuncia ante la Policía Nacional o la Guardia Civil, sobre todo si has perdido dinero.
Para saber si tus datos han aparecido en otras filtraciones, consulta cómo saber si tu contraseña ha sido hackeada.
Cómo protegerte del phishing
- No accedas a tus cuentas desde enlaces de mensajes: escribe tú la dirección o usa la app oficial.
- Usa un gestor de contraseñas: solo autocompleta tus credenciales en el dominio correcto. Si en una web "de tu banco" no te las ofrece, sospecha. Mira nuestra comparativa de gestores de contraseñas gratis.
- Usa passkeys o llaves de seguridad: son la única forma de inicio de sesión que no se puede entregar a una web falsa. Más en qué son las passkeys.
- Contraseñas únicas en cada servicio: si caes una vez, el daño se limita a una cuenta.
- Desconfía de cualquier contacto que no hayas iniciado tú: ante la duda, cuelga y llama tú al número oficial.
- Mantén actualizados el sistema, el navegador y las apps: los navegadores bloquean muchas webs de phishing conocidas.
Conclusión
El phishing funciona porque juega con la prisa, el miedo y la confianza. Párate antes de pinchar, revisa el remitente y el dominio, y recuerda que nadie legítimo te pedirá contraseñas ni códigos por mensaje. Con contraseñas únicas, un gestor que solo rellene en las webs reales y la verificación en dos pasos activada, aunque algún día caigas en un engaño, el daño será mínimo.