Cómo reconocer un correo de phishing antes de hacer clic

Unas pocas señales bastan para distinguir un correo fraudulento de uno legítimo. Aquí van las que más veces vemos.

El phishing sigue siendo la puerta de entrada más habitual para robos de contraseñas, fraudes económicos y ataques a empresas. No hace falta ser experto en seguridad para detectarlo: con fijarse en unos pocos detalles, la mayoría de los intentos se descubren antes de causar daño.

El remitente casi nunca es quien dice ser

Mira la dirección completa, no solo el nombre que aparece. Un correo que dice venir de un banco pero llega desde un dominio raro, con letras cambiadas o extensiones extrañas, ya es sospechoso. Los atacantes suelen usar variaciones muy parecidas al dominio real: una letra de más, un guion, una terminación distinta.

El mensaje busca que actúes rápido

"Tu cuenta será bloqueada en 24 horas", "pago pendiente urgente", "verifica tus datos ahora". La urgencia es una herramienta clásica para que no pares a pensar. Cuando un correo mete prisa de forma desproporcionada, conviene desconfiar.

Los enlaces no llevan a donde dicen

Antes de hacer clic, pasa el ratón por encima del enlace (sin pulsar) y mira la URL real que aparece abajo, en el navegador o el cliente de correo. Si el texto dice "banco.com" pero el enlace apunta a otra cosa, es phishing.

Pide algo que una empresa seria no pediría por correo

Contraseñas, códigos de verificación, datos de tarjeta completos: ninguna entidad legítima los solicita por email. Si un mensaje lo pide, es una señal clara.

Los adjuntos inesperados son un riesgo

Facturas, currículums o documentos que no esperabas, sobre todo en formatos ejecutables o comprimidos, son una vía habitual para instalar malware. Si no esperas ese archivo, no lo abras aunque el remitente parezca conocido: las cuentas comprometidas también envían adjuntos maliciosos.

Qué hacer si tienes dudas

• No hagas clic ni descargues nada hasta confirmar el origen.
• Contacta con la entidad o persona por otro canal (teléfono, web oficial) en vez de responder al correo.
• Si es un correo dirigido a tu empresa, avisa a quien gestione la seguridad informática antes de reenviarlo o eliminarlo.
• Cuando dudes, elimina. Es preferible perder un correo legítimo mal etiquetado que abrir uno fraudulento.

Ningún filtro automático detecta el cien por cien de los intentos de phishing. La combinación de herramientas técnicas y de personas que saben qué mirar es lo que reduce el riesgo de verdad.