Reconocer el phishing: qué es un correo fraudulento y cómo detectarlo
¿Qué es el phishing?
El phishing (se pronuncia como «fishing», pescar) es una forma de estafa por correo electrónico, SMS o chat. El remitente «pesca» algo tuyo: una contraseña de acceso, un pago, tus datos bancarios o el acceso a tus sistemas. El mensaje aparenta venir de alguien en quien confías, para que hagas clic o respondas sin pensar.
La mayor parte del phishing es trabajo en masa: el mismo mensaje falso va a miles de personas a la vez, con la esperanza de que una parte pique. También existe el phishing dirigido (a veces llamado «spear phishing»), en el que un atacante adapta un mensaje a ti o a tu empresa, con tu nombre real o el de un compañero. Es más difícil de reconocer, porque parece personal.
Reconocer el phishing: las señales
Rara vez una sola cosa delata un correo falso; es la suma lo que hace saltar la alarma. Repasa estas señales:
- El remitente no acaba de cuadrar. El nombre que se muestra puede parecer auténtico, pero la dirección de correo que hay detrás no coincide: un dominio extraño, caracteres de más o un nombre de empresa mal escrito por poco. Haz clic en el nombre del remitente para ver la dirección completa.
- El enlace lleva a otro sitio. Pasa el ratón por encima de un enlace (sin hacer clic) y mira adónde apunta de verdad. Si no coincide con el texto, o es una dirección web extraña, ponte en guardia.
- Te meten prisa. «Tu cuenta se bloqueará en 24 horas», «paga ahora o habrá una multa». La presión y las amenazas buscan que actúes rápido y sin pensar.
- La petición es inesperada. Una factura que no esperabas, un restablecimiento de contraseña que no pediste, un jefe que de repente te pide por correo un pago urgente. Lo inesperado es motivo para comprobarlo dos veces.
- El contenido no acaba de encajar. Un saludo raro («Estimado cliente» sin tu nombre), un lenguaje forzado, faltas de ortografía o un logotipo que no está del todo bien.
- Te piden información sensible. Un banco o servicio de verdad nunca te pide por correo tu contraseña completa ni tu PIN.
Unos ejemplos de correos de phishing más desarrollados te ayudan a reconocer el patrón aún más rápido.
Cómo funciona el phishing
Un ataque de phishing suele desarrollarse en tres pasos. Primero, el cebo: un mensaje creíble que imita a un remitente de confianza. Después, el anzuelo: un enlace a una web falsa idéntica a la pantalla de inicio de sesión real, o un adjunto que contiene malware. Por último, el botín: si introduces tus datos en la web falsa, van directos al atacante.
Para parecer fiables, los estafadores abusan a menudo del nombre de una empresa real. También pueden falsificar el nombre del remitente, para que un correo parezca venir de alguien que conoces; eso se llama spoofing. Cómo evitar que alguien envíe correo en nombre de tu dominio lo lees en evitar la suplantación (spoofing).
Lo que llama la atención en los últimos años es lo cuidado que puede parecer el phishing. Si antes un correo falso estaba lleno de faltas, ahora a menudo parece profesional, con logotipos correctos y un lenguaje fluido. Por eso no te fíes a ciegas de que «parece auténtico». Lo que cuenta es la suma de señales y tu sentido común: ¿esperaba este mensaje?, ¿cuadra el remitente?, ¿me están presionando? Esas preguntas te protegen mejor que el aspecto de un correo.
En qué debes fijarte
Además de saber reconocerlo, cuentan tus hábitos. Unas cuantas reglas prácticas que te ahorran muchos disgustos:
- No hagas clic: ve tú mismo. ¿No te fías de un mensaje de tu banco o de un servicio? Entonces no uses el enlace: escribe tú la dirección en tu navegador o usa la aplicación oficial.
- Compruébalo por otro canal. ¿Un compañero o proveedor te pide por correo un pago urgente o un cambio de número de cuenta? Llama un momento. Una sola llamada evita casi todos los daños.
- No abras adjuntos inesperados. Sobre todo archivos zip o documentos que «tienes que habilitar». Si dudas, no los abras.
- Nunca introduzcas datos de acceso tras un enlace de un correo. Tampoco tu código 2FA. Un servicio de verdad no te obliga a ello a través de un correo.
- ¿Has picado de todos modos? Cambia de inmediato la contraseña afectada (y en todos los sitios donde usaras esa misma contraseña), activa la verificación en dos pasos e infórmalo al responsable de informática o a la entidad afectada. Actuar rápido limita el daño.
Y en Mailflux
No tienes que frenar el phishing tú solo. En Mailflux, todos los planes incluyen de serie un filtrado basado en aprendizaje automático (ML) contra spam, phishing y malware: muchos mensajes falsos se frenan antes de llegar a tu bandeja de entrada. El sistema sigue aprendiendo, así que evoluciona con los trucos nuevos.
Además, todos los planes incluyen antivirus y antimalware; con Pro y Premium tienes antimalware premium como capa extra sólida contra los adjuntos maliciosos. Y como envías correo con tu propio dominio, puedes ayudar a evitar con acuerdos técnicos (SPF, DKIM, DMARC) que los estafadores abusen de tu nombre. Más sobre ello en correo con tu propio dominio. Un filtro frena mucho. Tu atención hace el resto.
FAQ
Preguntas frecuentes
¿Qué diferencia hay entre el phishing y el spam?
El spam es publicidad no solicitada o correo masivo: molesto, pero normalmente no dañino de forma directa. El phishing es un engaño dirigido que quiere robar tus datos, tu dinero o tu acceso. Un filtro antispam frena ambos, pero el phishing es más peligroso porque intenta engañarte a propósito para que hagas algo.
He hecho clic en un enlace de phishing. ¿Y ahora qué?
Sin pánico, pero actúa rápido. Si aún no has introducido nada, normalmente no pasa gran cosa. Cierra la página. Si sí introdujiste datos, cambia de inmediato esa contraseña (y en todos los sitios donde la reutilizaras), activa 2FA y avisa al responsable de informática o al servicio afectado.
¿Puede un filtro antispam frenar todo el phishing?
No, ningún filtro lo atrapa todo. Un buen filtro basado en ML frena la inmensa mayoría, pero a veces se cuela algún phishing dirigido o nuevo. Por eso tu propia atención sigue siendo imprescindible: comprueba el remitente y los enlaces, y sé crítico con las peticiones inesperadas o urgentes.