- El phishing se basa en suplantar entidades legítimas para robar datos, dinero o acceso a cuentas mediante enlaces y archivos maliciosos.
- Las señales clave son la urgencia, remitentes y dominios sospechosos, enlaces ocultos y peticiones de datos sensibles por correo o SMS.
- La mejor defensa combina formación, software de seguridad, autenticación multifactor y copias de seguridad periódicas.
- Si detectas o sufres un phishing, cambia contraseñas, avisa a tu banco y reporta el mensaje al proveedor y a las autoridades cuando proceda.
Los correos y mensajes de phishing se han convertido en una de las estafas digitales más frecuentes. Llegan por email, SMS, redes sociales o incluso llamadas de teléfono, se hacen pasar por bancos, plataformas conocidas o instituciones públicas y buscan una cosa: que piques y entregues tus datos o instales algo malicioso. Cada año afectan a millones de personas y empresas, generando pérdidas económicas, robos de identidad y filtraciones de información muy delicada.
Aunque los ciberdelincuentes cada vez lo hacen mejor, la buena noticia es que, con un poco de práctica, reconocer un intento de phishing es relativamente sencillo. Aprender a detectar señales de alerta, revisar con calma enlaces y remitentes, y saber cómo reaccionar si ya has hecho clic marca la diferencia entre quedarte en un susto o acabar con tus cuentas comprometidas. Vamos a verlo paso a paso, con ejemplos reales y consejos tanto para usuarios normales como para empresas.
Qué es exactamente el phishing y qué pretende
El phishing es, básicamente, una técnica de engaño que se aprovecha de la confianza y de la prisa. El atacante envía un mensaje (sobre todo email, pero también SMS, WhatsApp, redes sociales o llamadas) simulando ser una entidad legítima: un banco, una empresa de mensajería, un servicio de suscripción, una red social, un organismo público, etc.
En ese mensaje se plantea una situación inventada -un problema de seguridad, una factura pendiente, una entrega fallida, un reembolso, una renovación de suscripción- para que la víctima haga algo concreto: pulsar un enlace, descargar un archivo o compartir datos confidenciales. El objetivo real suele ser robar credenciales, datos bancarios, números de tarjetas o incluso infectar el dispositivo con malware para después moverse por la red de la víctima (en el caso de empresas).
No todo correo molesto es phishing. El spam común puede ser solo publicidad basura sin intención directa de estafarte. El phishing, en cambio, persigue un daño claro: robo de dinero, datos o control de cuentas. Por eso suelen cuidar tanto la apariencia: copian logos, colores corporativos y el tono de comunicación de la marca original.
En muchos casos, un único clic o un solo formulario enviado basta para comprometer una cuenta. Una vez tienen usuario y contraseña, los atacantes pueden entrar en tu correo, banco, redes sociales o herramientas de trabajo, cambiar contraseñas, solicitar más códigos o lanzar nuevos fraudes desde tus propias cuentas.
Cómo funciona un ataque de phishing paso a paso
En un ataque típico, el ciberdelincuente prepara primero el anzuelo: redacta un correo o mensaje convincente y monta una web falsa muy parecida a la original. Esa web puede imitar la banca online, la página de inicio de sesión de Microsoft, Facebook, Apple, PayPal, Netflix o cualquier otro servicio conocido.
El mensaje llega a tu bandeja de entrada simulando ser una alerta de seguridad, un aviso de facturación, un paquete retenido, un documento urgente para firmar o cualquier excusa similar. Introduce casi siempre una sensación de urgencia o amenaza: que si tu cuenta se va a bloquear, que si hay un pago no autorizado, que si pierdes el acceso si no actúas ya, etc.
Cuando pulsas el enlace, aterrizas en la web fraudulenta. Allí, sin sospechar, introduces tus credenciales, datos de tarjeta o información personal. La página envía esos datos directamente al atacante, que puede usarlos en el momento o guardarlos y venderlos después en la dark web.
En otros casos, el email incluye un archivo adjunto (PDF, Word, Excel, ZIP, etc.). Al abrirlo, se ejecuta código malicioso que descarga e instala virus informáticos en tu dispositivo: troyanos bancarios, keyloggers que registran lo que tecleas, ransomware, o puertas traseras para que el atacante entre más tarde.
Características típicas de un correo de phishing
Los atacantes se esmeran mucho en que sus mensajes parezcan legítimos, pero casi siempre hay detalles que delatan la trampa. Conviene revisar lo siguiente antes de hacer clic en nada, sobre todo cuando haya prisas o amenazas.
1. Uso de urgencia, miedo o presión emocional
Es uno de los trucos estrella. El email o mensaje insiste en que tienes que actuar inmediatamente: confirmar datos, pagar algo, restablecer tu contraseña o aceptar un documento. Hablan de bloqueos, cierres de cuenta, multas o pérdida de un envío para que no te pares a pensar ni contrastar la información.
2. Remitentes raros, nuevos o externos
Aunque no es sospechoso por sí solo, recibir un correo de alguien desconocido, con dominio extraño o marcado como remitente externo debe ponerte en modo alerta. Comprueba si el dominio coincide exactamente con el de la empresa (ojo con cambios mínimos: letras sustituidas por números, letras añadidas, dominios .ru, .info, etc.).
3. Errores de idioma y redacción poco profesional
A día de hoy muchos ataques ya traen textos bastante pulidos, pero sigue siendo frecuente encontrar faltas de ortografía, frases raras o traducciones literales. Organizaciones serias cuidan la edición; un mensaje lleno de errores es una señal clara de posible estafa.
4. Saludos genéricos y datos poco personalizados
Si supuestamente el correo viene de tu banco, tu plataforma de streaming o un servicio donde estás registrado, lo normal es que sepan tu nombre. Saludar con un “Estimado cliente”, “Señor/a” o fórmulas muy genéricas es típico de campañas masivas de phishing.
5. Dominios y direcciones que no encajan
Un correo que asegura ser de Microsoft, de un banco o de una gran empresa pero que se envía desde un Gmail, un Outlook genérico o un dominio raro es un gran aviso. También son frecuentes los dominios casi idénticos al original, con cambios mínimos: micros0ft.com (con cero), rnicrosoft.com (con r+n en vez de m), o subdominios muy largos antes del dominio real.
6. Enlaces sospechosos y adjuntos inesperados
El texto del enlace puede poner algo tipo “www.tubanco.es”, pero si pasas el ratón por encima verás la URL real (sin hacer clic). Si aparece una dirección larga, extraña o que no coincide con el dominio oficial, mala señal. Lo mismo con los adjuntos que no esperas: facturas que no has pedido, documentos no solicitados, supuestos comprobantes de pago, etc.
7. Avisos del propio cliente de correo
Plataformas como Outlook o algunos clientes corporativos pueden mostrar banners del estilo “no se ha podido comprobar el remitente”. Estos avisos indican que algo en los encabezados del mensaje es sospechoso (fallo de autenticación, suplantación del campo “De”, etc.). Tómalos en serio.
Cómo revisar enlaces y archivos de manera segura
La regla de oro es clara: si no estás seguro, no hagas clic. Y, aun mejor, no uses el enlace del correo para acceder a la supuesta web legítima.
Lo ideal es que, si recibes un mensaje de tu banco, servicio de pago, tienda online o similar, abras manualmente su web escribiendo la dirección en el navegador o usando un marcador que ya tengas guardado. Desde ahí podrás comprobar si hay avisos, facturas o notificaciones reales sin depender del enlace dudoso.
Con los archivos adjuntos, la prudencia tiene que ser máxima: documentos que no esperas, autoproclamadas facturas, comprobantes o formularios suelen ser la vía de entrada del malware. Si de verdad alguien necesita que descargues algo, normalmente tendrás aviso previo o podrás acceder a ese documento desde la propia plataforma oficial, no solo desde el correo.
En entornos corporativos avanzados, algunos sistemas analizan los adjuntos en un entorno aislado (sandbox) antes de permitir su apertura. Como usuario particular, tu mejor defensa es la sospecha saludable: si algo no cuadra, mejor borrar que arriesgar.
Dificultades extra al detectar phishing desde el móvil
En teléfonos y tablets, detectar un phishing es aún más complicado. Las apps de correo suelen mostrar solo el nombre del remitente, no la dirección completa, y las URLs en los enlaces se ven recortadas, lo que limita mucho la inspección visual.
Además, en pantallas pequeñas es más fácil pulsar donde no toca, y muchas acciones se hacen de manera casi automática: abrir una notificación, tocar en un botón grande, responder a un SMS en los móviles Galaxy. Esa combinación de prisa, tamaño de pantalla y diseño simplificado juega a favor del atacante.
Una buena práctica es que, si un mensaje te resulta sospechoso en el móvil, lo revises luego en un ordenador donde puedas ver mejor el remitente y la URL completa. Y, como antes, accede a las cuentas críticas por tus marcadores o por la app oficial, no siguiendo enlaces recibidos.
Tipos de phishing más habituales
Aunque la creatividad de los estafadores no tiene fin, la mayoría de campañas de phishing se agrupan en unos cuantos tipos bastante claros. Conocerlos te ayuda a detectar patrones repetidos.
Phishing de cuentas e inicio de sesión
Probablemente, el más común. Imitan avisos de seguridad de bancos, plataformas como Microsoft, Google, Apple, PayPal, Netflix, redes sociales, etc. El gancho suele ser un problema de seguridad, un inicio de sesión extraño o un bloqueo inminente de la cuenta que se “soluciona” haciendo clic en un botón que lleva a una página de login falsa.
Phishing de pagos, facturas y entregas
Aquí se juega con el dinero o los envíos. Se envían facturas que no reconoces, falsas devoluciones, supuestas tasas de aduana o cargos inmediatos que debes cancelar. También son muy frecuentes las estafas que se hacen pasar por empresas de mensajería o paquetería, pidiendo pagar pequeñas cantidades para liberar un paquete inexistente.
Spear phishing y suplantación dirigida
En el spear phishing el ataque no es masivo sino muy específico. El ciberdelincuente recopila información pública sobre una persona concreta (cargo, empresa, correos previos, redes sociales) y fabrica un mensaje a medida para resultar más creíble. En entornos empresariales, esto se combina con la suplantación de directivos (CEO fraud), donde el atacante se hace pasar por un jefe que pide pagos urgentes o datos sensibles.
Smishing y vishing (SMS y llamadas telefónicas)
El smishing traslada el mismo engaño al mensaje de texto: un SMS que aparenta venir del banco, de la Agencia Tributaria, de una empresa de reparto o de un servicio de pago, con un enlace a una web falsa o un número al que llamar. En el vishing, directamente se utiliza una llamada telefónica; los delincuentes pueden hacerse pasar por soporte técnico, policía, banco, operador telefónico, etc., y pedir códigos, contraseñas o que instales software de “ayuda remota”.
Casos reales y consecuencias de caer en un phishing
Cuando hablamos de phishing no estamos ante algo teórico; hay casos sonados que han causado daños millonarios y filtraciones masivas de datos, y otros muchos que afectan a usuarios de a pie y a empresas pequeñas.
Ataque a Sony Pictures (2014)
En 2014, un grupo de atacantes conocido como “Guardians of Peace” utilizó correos de phishing para robar credenciales de empleados y colarse en la red interna de Sony Pictures. Desde ahí extrajeron más de 100 terabytes de datos: películas inéditas, correos internos, contratos, datos personales de empleados y directivos y estrategias de negocio.
Las consecuencias fueron enormes: pérdidas económicas superiores a los 100 millones de dólares por la interrupción de operaciones y el coste de respuesta, además de un fuerte daño reputacional por la filtración de correos internos con opiniones delicadas sobre actores y decisiones corporativas.
Campañas contra usuarios de Facebook (2019)
En 2019 se documentaron campañas en las que más de 267 millones de usuarios se vieron afectados por estafas de phishing que imitaban a Facebook. Los correos avisaban de actividad sospechosa en la cuenta y urgían a cambiar la contraseña mediante un enlace a una web falsa idéntica a la oficial.
Al introducir la contraseña, los atacantes obtenían acceso a las cuentas, que luego se usaban para difundir más phishing, cometer fraudes, vender datos en la dark web o propagar desinformación. De nuevo, impacto económico y una gran pérdida de confianza en la plataforma.
Phishing bancario en España
Los bancos españoles (BBVA, Santander, CaixaBank, etc.) son también objetivos constantes. El patrón es más o menos siempre el mismo: correo o SMS que asegura que ha habido un intento de acceso ilegal, que hay un problema con la tarjeta o que debes verificar tu identidad. El enlace lleva a una copia casi perfecta de la banca online; cuando la víctima introduce usuario y contraseña, los delincuentes acceden a sus cuentas, realizan transferencias o compras y, en muchos casos, vacían tarjetas o líneas de crédito.
Impacto del phishing en personas y organizaciones
Caer en un phishing no se queda en un simple disgusto; las consecuencias pueden ser graves y prolongarse durante años, tanto para particulares como para empresas.
Pérdidas económicas directas e indirectas
En el plano inmediato, hablamos de cargos fraudulentos, transferencias no autorizadas, créditos abiertos a tu nombre o compras con tus tarjetas. Pero además hay costes ocultos: tiempo invertido en bloquear cuentas, recuperar accesos, hablar con bancos y fuerzas de seguridad, contratar expertos, etc.
Robo de identidad y uso indebido de datos
Con suficiente información (DNI, número de la Seguridad Social, datos de contacto, contraseñas reutilizadas) los delincuentes pueden llevar a cabo un verdadero robo de identidad: abrir cuentas, contratar servicios, solicitar préstamos o estafar a terceros haciéndose pasar por ti. Los efectos pueden sentirse durante mucho tiempo.
Daño reputacional y pérdida de confianza
En empresas, una brecha causada por phishing puede exponer datos de clientes, secretos comerciales, información confidencial. Esto no solo afecta a clientes y socios, sino que deteriora la imagen de la marca y la confianza del mercado, lo que puede traducirse en pérdidas de negocio.
Riesgos legales y regulatorios
Cuando se manejan datos personales, muchas normativas (como el RGPD) obligan a notificar brechas de seguridad a autoridades y afectados. No hacerlo, o gestionarlo mal, puede derivar en multas importantes y demandas colectivas. Además, el coste de recuperación (peritajes, refuerzo de sistemas, comunicación de crisis) es habitualmente muy elevado.
Medidas clave para prevenir el phishing a largo plazo
La defensa más sólida contra el phishing combina buenas prácticas de los usuarios, medidas técnicas y una mentalidad de desconfianza razonable. No se trata de vivir con paranoia, pero sí de no dar por bueno cualquier mensaje que llegue.
Formación y concienciación en seguridad
Para personas y empresas es fundamental entender cómo operan estas estafas. La formación periódica en ciberseguridad explica cómo reconocer emails falsos, URLs sospechosas y técnicas de ingeniería social, y anima a reportar mensajes dudosos en lugar de ignorarlos.
Uso de software de seguridad y sistemas actualizados
Contar con un buen antivirus, cortafuegos y filtros de spam ayuda a parar muchos intentos antes de que lleguen a tu bandeja. Configurar las actualizaciones automáticas tanto en el ordenador como en el móvil es clave para tapar vulnerabilidades que el malware intenta explotar.
Contraseñas robustas y autenticación multifactor (MFA)
Una contraseña robada duele mucho menos si el atacante se topa con una segunda barrera. La autenticación multifactor pide, además de la clave, algo que sabes (PIN), algo que tienes (código por SMS o app de autenticación, llave de seguridad) o algo que eres (huella, rostro). Así, aunque un phishing capture tu contraseña, es mucho más difícil que consigan entrar.
Comunicación cifrada y navegación segura
Siempre que vayas a introducir datos sensibles, asegúrate de que la web utiliza HTTPS y un certificado válido. Además, evita descargar software de sitios poco conocidos y comprueba bien la barra de direcciones antes de introducir información confidencial.
Filtros de correo y listas de bloqueo
En el entorno corporativo, las soluciones específicas antiphishing analizan los mensajes entrantes, sus enlaces y adjuntos con múltiples técnicas: filtrado de URLs, análisis basado en comportamiento, modelos de inteligencia artificial que buscan patrones de engaño, y uso de inteligencia compartida sobre amenazas recientes.
Copias de seguridad regulares
Si un phishing termina en la instalación de ransomware u otro malware destructivo, disponer de copias de seguridad fiables y recientes puede marcar la diferencia entre perderlo todo o volver al estado anterior. Lo ideal es combinar copias locales y en la nube, y probar periódicamente la restauración.
Cómo detectar un intento de phishing en el día a día
En la práctica, detectar un phishing se resume en aplicar unos cuantos filtros mentales rápidos cada vez que te llegue un correo o mensaje sospechoso.
Hazte esta primera pregunta: ¿tengo realmente cuenta o relación con quien escribe?
Si recibes un supuesto aviso de un banco donde no eres cliente, de una empresa donde no trabajas o de un servicio que nunca has usado, lo más probable es que sea fraude. Revisa el mensaje buscando las señales que ya hemos visto y elimínalo o márcalo como phishing.
Desconfía si te piden datos sensibles por correo o SMS
Las entidades serias no te van a enviar un enlace por email o por texto para que introduzcas tu contraseña, PIN, número de tarjeta completo o códigos de un solo uso. Si el mensaje te pide eso, mala pinta.
No confíes ciegamente en el logo o el diseño
Clonar el aspecto de una web o un correo corporativo es facilísimo hoy en día. Por eso, fíjate más en el remitente, la URL real, el tipo de petición y el tono que en que el mail tenga el logo oficial bien puesto.
Comprueba siempre por otro canal
Si dudas, no respondas al correo ni llames al número que aparece en él. Ve a la web oficial escribiendo tú mismo la dirección o usa la app oficial, y desde ahí revisa notificaciones o llama a los teléfonos que aparezcan en la página legítima. Lo mismo con amigos o compañeros: si recibes algo raro “de ellos”, pregúntales por WhatsApp o por teléfono antes de fiarte.
Qué hacer si has abierto un correo de phishing o ya has caído
Abrir el correo, por sí solo, normalmente no significa que ya te hayan hackeado. Lo peligroso es hacer clic en enlaces, descargar archivos o enviar información. Aun así, conviene reaccionar con rapidez.
Si solo lo has abierto pero no has hecho clic en nada
Cierra el mensaje, no interactúes con ningún enlace o botón y márcalo como phishing/spam en tu proveedor de correo. Así ayudas a mejorar los filtros y a que futuras campañas similares se bloqueen antes.
Si has hecho clic en un enlace o descargado un archivo
Aquí hay que actuar rápido: cambia inmediatamente las contraseñas de las cuentas afectadas empezando por el email principal, pasa un escaneo completo con tu solución de seguridad, revisa la actividad reciente en tus cuentas y desconecta el dispositivo de internet si sospechas que ha podido instalarse malware.
Si el correo implicaba datos financieros (banco, tarjetas, plataformas de pago) o has introducido datos de pago, contacta de inmediato con tu banco o proveedor para avisar de un posible fraude, revisar movimientos y, si hace falta, bloquear tarjetas o cuentas.
Si has compartido datos personales críticos
En casos de posible robo de identidad (documentación, número de la Seguridad Social, datos completos de cuenta bancaria) es importante consultar recursos oficiales sobre qué pasos seguir según el tipo de dato expuesto y valorar denunciar a la policía o a la unidad de delitos telemáticos. Cuanto antes actúes, más margen tendrás para limitar el daño.
Cómo y dónde reportar correos y webs de phishing
Reportar no es una pérdida de tiempo: ayuda a que los proveedores de correo y las propias empresas suplantadas bloqueen las campañas más rápido y protejan a otros usuarios.
Desde Outlook / Microsoft
En Outlook (Microsoft 365 y Outlook.com), puedes seleccionar el mensaje sospechoso y usar la opción de “Reportar” > “Phishing”. También es posible reenviarlo a direcciones dedicadas como phish@office365.microsoft.com para que Microsoft analice la campaña.
En servicios concretos (Amazon, PayPal, Apple, Netflix…)
Muchas grandes plataformas tienen correos específicos para reportar suplantaciones:
- Amazon: reenviar el mensaje a reportascam@amazon.com sin hacer clic en los enlaces.
- PayPal: reenviar a phishing@paypal.com.
- Apple / iCloud: reenviar a reportphishing@apple.com o abuse@icloud.com.
- Netflix: reenviar a phishing@netflix.com.
En Microsoft Teams y sitios web sospechosos
Si el mensaje llega por Teams, puedes usar las opciones de “Más acciones” > “Informar de este mensaje” y marcarlo como riesgo de seguridad. En el navegador Edge, es posible informar de páginas peligrosas desde el menú de ayuda y comentarios > “Informar sobre un sitio no seguro”.
Ante pérdidas económicas o robo de identidad
Si ya ha habido movimiento de dinero o sospechas de robo de identidad, además de alertar a tu banco y a los servicios afectados, es recomendable denunciar ante las autoridades competentes (policía, organismos de consumo o agencias especializadas), aportando todos los detalles del ataque (fechas, mensajes, URLs, datos que entregaste).
En un contexto donde los atacantes utilizan incluso inteligencia artificial para generar mensajes impecables y campañas a gran escala, la combinación de desconfianza razonable, buenas prácticas técnicas y reporte sistemático de intentos sospechosos se ha vuelto imprescindible. Saber detectar un phishing a tiempo, reaccionar con rapidez si ya hemos caído y compartir la información con proveedores y autoridades no solo protege nuestras cuentas y dispositivos, también contribuye a ponerle más difícil las cosas a los estafadores digitales.
