Cómo detectar un correo de phishing y evitarlo
¿Qué es el phishing?
El phishing es un mensaje falso que se hace pasar por un remitente de confianza con el objetivo de sonsacarte datos, contraseñas o dinero. El remitente finge ser tu banco, tu proveedor, una empresa de mensajería o incluso un compañero, e intenta que hagas algo que normalmente no harías.
La palabra viene de «fishing» (pescar): se lanza un cebo y el atacante espera que piques. A veces se trata de correos masivos y descuidados; otras, de mensajes imitados con esmero y dirigidos a una sola persona o empresa. Encontrarás una explicación más amplia del concepto en la página sobre qué es el phishing.
Te encontrarás con distintas variantes. En el phishing corriente, el mismo correo falso va a miles de direcciones a la vez, con la esperanza de que unas pocas personas caigan. En el spear phishing, el correo está hecho a medida para ti o tu empresa, con nombres y detalles reales, lo que lo hace mucho más creíble. Y en el fraude del CEO, el remitente se hace pasar por el jefe o por un proveedor conocido, con una petición urgente de hacer un pago. Cuanto más dirigido es el ataque, más difícil es reconocerlo, y por tanto más importante es tener una rutina de control fija.
Por qué importa detectar el phishing
Un solo clic equivocado puede tener grandes consecuencias: una cuenta bancaria vaciada, un buzón secuestrado o un ransomware que toma como rehén toda tu administración. Para una pyme o una consulta, no solo está en juego el dinero, sino también la confianza: si alguien abusa de tu buzón, tus clientes empiezan a recibir mensajes falsos en tu nombre.
Además, el phishing es la puerta a otros problemas. Con una contraseña robada, los atacantes pueden leer tu correo, falsificar facturas o usar tu dominio para engañar a otros. Por eso reconocer el correo falso no es un lujo, sino higiene diaria, como cerrar la puerta con llave.
Así detectas un correo de phishing
Ante un mensaje sospechoso, repasa estas señales. A menudo saltan a la vista varias a la vez.
- La dirección del remitente no acaba de cuadrar. El nombre que se muestra parece auténtico, pero la dirección que hay detrás es un dominio extraño o mal escrito por poco. Despliega siempre la dirección completa.
- Te meten prisa. «Tu cuenta se bloqueará en 24 horas» o «paga ahora para evitar una multa». La urgencia busca que actúes sin pensar.
- El enlace lleva a otro sitio. Pasa el ratón por encima del enlace (sin hacer clic) y mira adónde apunta de verdad. Si no coincide con el texto, ponte en guardia.
- Un saludo impersonal o algo raro. «Estimado cliente» donde esperarías tu nombre, o frases extrañas y faltas de ortografía.
- Un adjunto inesperado. Sobre todo los archivos que tienes que «habilitar» o ejecutar son sospechosos.
- Una petición de datos. Las organizaciones reales rara vez te piden por correo contraseñas, códigos PIN o los datos completos de tu tarjeta.
- La oferta es demasiado buena. Un reembolso, un premio o una herencia inesperados son casi siempre un cebo.
¿Tienes dudas? No sigas el correo: inicia sesión directamente a través de la dirección que tú mismo escribes, o llama a la organización a un número que busques tú.
En qué debes fijarte
- Mira más allá del nombre que se muestra. A los atacantes les resulta fácil falsificar el remitente visible. Lo que se envía en nombre de tu propio dominio encaja en el tema de evitar la suplantación (spoofing).
- No te fíes de ningún mensaje solo por el logotipo. Los logotipos y la imagen corporativa se copian en un momento.
- Presta especial atención a las peticiones de facturas y pagos. Si un proveedor cambia «de repente» su número de cuenta, llama para comprobarlo.
- No compartas datos de acceso a través de un enlace de un correo. Ve siempre tú mismo al sitio web.
- ¿Hiciste clic de todos modos? Cambia de inmediato tu contraseña, activa la verificación en dos pasos y avisa a tu proveedor o al responsable de informática. Cuanto antes, menor será el daño.
- Conviértelo en un hábito, sin pánico. No hace falta desconfiar de cada correo; unos cuantos reflejos fijos (desplegar el remitente, comprobar los enlaces, llamar un momento cuando hay dinero de por medio) frenan casi todo sin darte trabajo.
Una regla práctica: no te guíes por lo auténtico que parece un mensaje, sino por lo que pide. Si un correo te pide iniciar sesión, pagar o descargar algo, ve siempre un paso más despacio y compruébalo por un canal que elijas tú. Precisamente ese paso intermedio quita la presión con la que cuenta el phishing.
Un buen filtro antispam ya frena mucho phishing antes de que te llegue. Si es el correo legítimo el que desaparece en el spam, es otro problema; lo lees en por qué el correo acaba en spam.
Y en Mailflux
En Mailflux, todos los planes filtran con aprendizaje automático (machine learning) contra spam, phishing y malware, e incluyen de serie antivirus, antispam y antimalware. Así, buena parte del correo falso se frena antes de aparecer en tu bandeja de entrada. En los planes con protección premium, ese antimalware va un paso más allá.
Obtienes correo profesional con tu propio dominio, alojado en Europa y conforme al RGPD, con copias de seguridad automáticas y verificación en dos pasos opcional. El filtrado frena mucho, pero tu atención sigue siendo la última y mejor defensa, y ambas se refuerzan mutuamente.
FAQ
Preguntas frecuentes
¿Cuál es la señal más rápida de que un correo es phishing?
Comprueba la dirección completa del remitente, no solo el nombre que se muestra. Si el dominio no cuadra, o está mal escrito por poco, es una señal clara. Súmale urgencia y un enlace sospechoso, y la probabilidad de phishing es alta.
¿Qué hago si he hecho clic en un enlace de phishing?
Mantén la calma y actúa rápido. Cambia de inmediato la contraseña de la cuenta afectada, activa la verificación en dos pasos e infórmalo a tu proveedor o al responsable de informática. Si ejecutaste un adjunto, haz que revisen tu dispositivo en busca de malware y vigila tus cuentas.
¿Puede un filtro antispam frenar el phishing por completo?
Un buen filtro frena mucho phishing, pero ningún filtro es infalible al cien por cien. Los atacantes adaptan sus trucos constantemente. Por eso, la combinación de un filtrado sólido y usuarios atentos sigue siendo lo más seguro: la técnica caza la masa, tú cazas la excepción.