🎣 Phishing: Cómo Identificarlo y Qué Hacer si Has Caído
Correos falsos · SMS fraudulentos · Webs clonadas · Suplantación de identidad · Guía completa
El phishing es el método de ataque más extendido: aprende a reconocerlo antes de que sea demasiado tarde
📋 Contenido
¿Qué es el phishing?
El phishing es una técnica de engaño en la que los ciberdelincuentes se hacen pasar por entidades de confianza —bancos, servicios de mensajería, Hacienda, plataformas de streaming, redes sociales o tu propia empresa— para robarte datos confidenciales: contraseñas, números de tarjeta, credenciales bancarias o información personal.
El nombre proviene del inglés fishing (pescar): los atacantes lanzan anzuelos masivos y esperan a que alguien pique. No es un ataque técnico sofisticado que explota vulnerabilidades del sistema — es ingeniería social pura: te convencen de que entregues voluntariamente tus datos o hagas clic en un enlace malicioso.
Las cifras lo sitúan como la amenaza número uno para usuarios particulares y empresas: según datos de 2025, más de 3.400 millones de correos electrónicos de phishing se envían cada día en todo el mundo. El 36 % de las filtraciones de datos empresariales tienen su origen en un ataque de phishing exitoso.
Tipos de phishing
El phishing ha evolucionado mucho más allá del clásico correo electrónico. Conocer sus variantes es el primer paso para no caer en ninguna de ellas:
-
📧 Phishing por correo electrónico (Email phishing)
La variante más común. Un correo aparentemente legítimo de tu banco, Correos, Netflix o la AEAT te pide que "verifiques tu cuenta" o "actualices tus datos" a través de un enlace que lleva a una web falsa idéntica a la original. -
📱 Smishing (SMS phishing)
El mismo engaño llegado por SMS. Muy habitual con mensajes del tipo "Tu paquete está retenido, paga los gastos de aduana aquí:" seguido de un enlace fraudulento. También se usa para suplantar a bancos con alertas de seguridad falsas. -
📞 Vishing (Voice phishing)
Phishing por llamada telefónica. El atacante se hace pasar por el soporte de Microsoft, tu banco o la Seguridad Social. Con IA de clonación de voz, en 2025 es posible falsificar voces conocidas de forma casi perfecta. -
🎯 Spear phishing (Phishing dirigido)
Ataques personalizados y cuidadosamente preparados contra un individuo o empresa concretos. El atacante investiga previamente a la víctima (nombre, cargo, colegas, proyectos) para crear un señuelo muy creíble. Es el tipo más peligroso y difícil de detectar. -
🌐 Pharming
Más técnico: el atacante manipula el DNS o el archivo hosts del sistema para redirigir al usuario a una web falsa aunque escriba la dirección legítima en el navegador. No requiere que la víctima haga clic en ningún enlace sospechoso. -
📋 Clone phishing
Se copia un correo legítimo real (por ejemplo, una confirmación de pedido de Amazon) y se reemplaza únicamente el enlace por uno malicioso. Al ser casi idéntico a un correo que el usuario ha recibido antes, la detección es extremadamente difícil.
Cómo identificar un ataque de phishing
Los atacantes son cada vez más sofisticados, pero siguen cometiendo errores o usando patrones reconocibles. Estas son las señales de alerta más importantes:
🚩 Señales de alarma — comprueba siempre estas 7 cosas
- Urgencia artificial: "Tu cuenta será suspendida en 24 horas", "Actúa ahora o perderás acceso". La presión de tiempo es la herramienta número uno del phisher.
- Remitente sospechoso: El nombre visible puede decir "Banco Santander" pero la dirección real es [email protected]. Haz clic en el nombre para ver la dirección completa.
- URL diferente a la oficial: Antes de hacer clic, pasa el ratón por encima del enlace. ¿La URL que aparece abajo corresponde al dominio oficial? bancosantander-acceso-seguro.com no es lo mismo que bancosantander.es.
- Errores ortográficos y gramaticales: Aunque los ataques en español son cada vez más perfectos gracias a la IA, muchos siguen conteniendo tildes incorrectas, frases extrañas o texto con aspecto de traducción automática.
- Saludos genéricos: "Estimado cliente" o "Hola, usuario" en vez de tu nombre real. Las empresas legítimas se dirigen a ti por tu nombre.
- Solicitud de credenciales o datos bancarios: Ningún banco, servicio de pago ni plataforma legítima te pedirá contraseñas o datos de tarjeta por correo o SMS.
- Archivos adjuntos inesperados: Facturas, contratos, notificaciones judiciales o fotos que no esperabas. Los adjuntos en phishing suelen contener malware o exploits de Office/PDF.
¿Cómo llega el phishing hasta ti?
Los ataques de phishing pueden llegar por múltiples canales. Conocerlos te permite estar alerta en los momentos menos esperados:
- Correo electrónico: El canal más utilizado. Las campañas masivas imitan a entidades bancarias, Correos, la AEAT, Netflix, Amazon o Microsoft.
- SMS y mensajería instantánea: WhatsApp, Telegram y SMS son vectores crecientes, especialmente con mensajes de "paquete retenido" o "has ganado un premio".
- Redes sociales: Mensajes directos de cuentas comprometidas de amigos, anuncios fraudulentos en Facebook/Instagram, perfiles falsos de marcas conocidas.
- Resultados de búsqueda patrocinados: Anuncios de Google o Bing que aparecen por encima de los resultados orgánicos y llevan a webs falsas de bancos, criptomonedas o software conocido.
- Códigos QR maliciosos: QR en carteles, folletos o emails que redirigen a páginas de phishing en lugar del destino legítimo esperado (QRishing).
- Llamadas telefónicas y buzones de voz: Vishing clásico o mensajes de voz que te piden llamar a un número de "soporte" premium.
- Filtraciones de datos previas: Si tus datos ya han sido robados en brechas anteriores, los atacantes los usan para personalizar el ataque y hacerlo mucho más convincente.
🚨 Si ya has hecho clic o has introducido tus datos, actúa AHORA antes de limpiar el PC
- Cambia la contraseña de la cuenta afectada inmediatamente, desde otro dispositivo o navegador limpio si es posible. Hazlo antes que cualquier otra cosa.
- Activa la autenticación en dos pasos (2FA) en esa cuenta y en todas las que usen la misma contraseña, si aún no la tenías activada.
- Llama a tu banco al número oficial (el del dorso de tu tarjeta, nunca al del mensaje recibido) si introdujiste datos bancarios o de tarjeta. Pide bloquear la tarjeta y revisar movimientos recientes.
- Revisa sesiones activas en los servicios afectados (Gmail, redes sociales, cuentas bancarias online) y cierra sesión en todos los dispositivos no reconocidos.
- Cambia también las contraseñas de otras cuentas que usen las mismas credenciales — la reutilización de contraseñas es el segundo mayor riesgo tras el phishing en sí.
- Guarda capturas de pantalla del mensaje fraudulento antes de borrarlo — pueden servir para denunciar a la Policía o a la INCIBE (Instituto Nacional de Ciberseguridad).
Una vez realizadas estas acciones urgentes, usa los pasos de limpieza a continuación para asegurarte de que no haya malware instalado.
Limpiar el PC tras un ataque de phishing paso a paso
Muchos ataques de phishing no solo roban credenciales: el enlace o el adjunto puede haber instalado malware en silencio. Usa estas herramientas gratuitas en orden para garantizar que el sistema ha quedado completamente limpio.
Cómo protegerte del phishing
El phishing nunca desaparecerá — pero con los hábitos correctos, la probabilidad de caer en uno se reduce drásticamente:
- Activa la autenticación en dos pasos (2FA) en todas tus cuentas importantes: Aunque roben tu contraseña, sin el segundo factor no podrán entrar. Usa una app de autenticación (Google Authenticator, Authy) en vez de SMS siempre que sea posible.
- Usa un gestor de contraseñas: Herramientas como Bitwarden o KeePass generan y almacenan contraseñas únicas por cada servicio. Un gestor de contraseñas no autocompleta en una URL falsa — es una capa de detección automática de phishing.
- Verifica siempre la URL antes de introducir datos: Fíjate en el dominio exacto, no solo en que empiece por "https". Un candado verde no garantiza que la web sea legítima — solo que la conexión está cifrada.
- No hagas clic directamente en enlaces de correos o SMS: Ve directamente al sitio web oficial escribiendo la dirección en el navegador, o usa el marcador que ya tienes guardado.
- Instala un bloqueador de anuncios y extensiones anti-phishing: uBlock Origin bloquea anuncios maliciosos que llevan a páginas de phishing. El propio navegador Chrome/Edge/Firefox tiene protección anti-phishing integrada — mantenlo siempre actualizado.
- Desconfía de la urgencia artificial: Ninguna entidad legítima te exigirá actuar "en las próximas 2 horas o tu cuenta quedará bloqueada". Tómate tiempo para verificar antes de actuar.
- Mantén el sistema y el software actualizados: Muchos adjuntos de phishing explotan vulnerabilidades conocidas de Office, Adobe Reader o Windows. Las actualizaciones automáticas cierran esas puertas.
Conclusión
El phishing es el vector de entrada número uno en el mundo del cibercrimen no por ser técnicamente sofisticado, sino porque se dirige al eslabón más difícil de parchear: el factor humano. Un correo convincente puede engañar a cualquiera si se llega a él en el momento equivocado.
Si has caído en uno, lo más importante es actuar con rapidez: cambiar contraseñas, avisar al banco y limpiar el sistema con las herramientas de esta guía. El tiempo juega en tu contra cuando se trata de credenciales robadas. Si todavía no has caído, los hábitos de prevención — 2FA, gestor de contraseñas, verificar URLs — son tu mejor escudo.
💡 ¿Tienes dudas sobre si un correo o mensaje es legítimo? Puedes consultar el portal de avisos de la INCIBE en incibe.es/ciudadania/avisos — publican alertas actualizadas sobre campañas de phishing activas en España.
No hay comentarios:
Publicar un comentario