Cómo reconocer un email de phishing en 30 segundos (aunque parezca legítimo)

Te llega un correo del banco: "Su cuenta será suspendida en 24 horas". El corazón se acelera, el dedo va solo hacia el enlace… y ahí está el problema. La puerta de entrada más común a un fraude digital no es un hacker rompiendo sistemas: es una persona apurada haciendo clic.

La buena noticia es que no necesitas saber nada técnico para defenderte. El phishing casi nunca es sofisticado; es psicológico. Y una vez que aprendes a leer sus señales, los correos falsos se vuelven casi transparentes. Aquí te lo muestro desarmando uno de verdad, señal por señal.

Por qué caemos (y no es por ingenuos)

Un correo de phishing no intenta engañar a tu inteligencia: intenta saltársela. Para eso combina tres ingredientes: autoridad (parece venir de tu banco, de Netflix, de tu jefe), miedo (vas a perder algo: la cuenta, el acceso, un pago) y urgencia (tienes 24 horas, hazlo ahora).

Ese combo está diseñado para que actúes antes de pensar. Por eso la defensa no es "ser más listo": es tener un hábito que te obligue a frenar 30 segundos. Ese hábito es lo que vas a llevarte de esta guía.

El ejemplo: un correo que parece del banco

Este es un correo típico, calcado de los que circulan todos los días:

De: Banco Nacional <alertas@banconacional-clientes.net> Asunto: Su cuenta será suspendida en 24 horas

Estimado cliente:

Hemos detectado actividad inusual en su cuenta. Para evitar la suspensión del servicio, verifique su identidad en las próximas 24 horas en el siguiente enlace:

Verificar mi cuenta → banconacional.com.verificacion-segura.net/login

De lo contrario, su acceso será bloqueado de forma permanente.

A primera vista, pasa. Tiene logo mental de banco, lenguaje formal, un botón claro. Ahora míralo como lo miraría alguien de seguridad.

Señal 1 — El remitente no es quien dice ser. El nombre visible ("Banco Nacional") lo escribe el atacante: puede poner lo que quiera. Lo que no puede falsificar tan fácil es el dominio después de la @. Aquí es banconacional-clientes.net. Un banco escribe desde su dominio exacto (banconacional.com), no desde variantes "parecidas" con guiones o palabras agregadas. Parecido no es igual: en dominios, parecido es sospechoso.

Señal 2 — El enlace lleva a otro lado (el truco del dominio real). Esta es la señal más valiosa de todas. Mira la dirección del enlace: banconacional.com.verificacion-segura.net/login. Parece empezar por el banco, y ese es exactamente el truco.

Para saber a qué sitio lleva de verdad un enlace, lee el dominio de derecha a izquierda, desde la primera barra / hacia atrás: lo que encuentres justo antes de esa barra es el sitio real. Aquí: verificacion-segura.net. Todo lo que está antes (banconacional.com.) es un subdominio decorativo que el dueño de verificacion-segura.net puso para disfrazarse.

En la computadora, pasa el cursor por encima del enlace sin hacer clic y mira la dirección real abajo a la izquierda del navegador. En el teléfono, mantén el dedo apretado sobre el enlace y aparece la vista previa. Diez segundos que desarman la gran mayoría de estos correos.

Señal 3 — Te mete apuro y miedo. "24 horas", "bloqueado de forma permanente". Las instituciones reales no gestionan la seguridad de tu cuenta con ultimátums por correo. La urgencia artificial no es un detalle del mensaje: es el mecanismo del ataque. Cuando un correo te apura, esa prisa es en sí misma la señal.

Señal 4 — Saludo genérico y pedido que nadie serio hace. "Estimado cliente": tu banco sabe cómo te llamas. Y ningún servicio legítimo te pide contraseñas, códigos de verificación o datos completos de tarjeta por correo. Si el mensaje necesita que "confirmes tus credenciales", ya sabes qué es.

La regla de oro (para cuando dudas)

Todo lo anterior se resume en una sola regla que funciona incluso si el correo es tan bueno que no muestra ninguna señal:

Nunca entres por el enlace del correo. Entra tú.

¿Te dice que hay un problema con tu cuenta? Cierra el correo, abre la app del banco o escribe tú la dirección en el navegador, e inicia sesión como siempre. Si el problema es real, el aviso va a estar ahí dentro. Si dentro no hay nada, el correo era falso. Te cuesta 20 segundos y anula el ataque por completo, porque el fraude necesita que llegues al sitio falso a través de su enlace.

El chequeo de 30 segundos

Antes de hacer clic en cualquier correo que te pida algo, repasa estas cinco preguntas:

1. ¿El dominio después de la @ es exactamente el oficial? (No "parecido": exacto.)
2. ¿Adónde lleva el enlace de verdad? (Cursor encima o dedo apretado, y lee el dominio de derecha a izquierda.)
3. ¿Te mete apuro o miedo? (La urgencia es el arma, no un detalle.)
4. ¿Te pide contraseñas, códigos o datos de tarjeta? (Nadie serio los pide por correo.)
5. ¿Esperabas este correo? (Un adjunto o un pedido que no esperabas, aunque venga de un conocido, se verifica por otro canal.)

Con una sola respuesta sospechosa alcanza: no uses el enlace y entra por tu cuenta.

Entrénalo: ¿phishing o legítimo?

Aplica el chequeo a estos tres casos antes de leer la respuesta.

Caso 1. Correo de "Netflix" desde info@netflix-facturacion.com: hubo un problema con tu pago, actualiza tu tarjeta en el enlace. Respuesta: phishing. El dominio real de Netflix es netflix.com; netflix-facturacion.com es otro sitio (señal 1) y encima pide datos de tarjeta (señal 4).

Caso 2. Correo de un compañero de trabajo, escueto ("te paso lo que hablamos"), con un adjunto factura.zip que no esperabas. Respuesta: sospechoso. El remitente puede estar falsificado o su cuenta comprometida. Falla la pregunta 5: no lo esperabas. Se verifica por otro canal —un mensaje o una llamada— antes de abrir nada.

Caso 3. Correo desde no-reply@github.com: "Detectamos un inicio de sesión nuevo desde otro dispositivo. Si fuiste tú, ignora este mensaje". Respuesta: probablemente legítimo: dominio exacto, sin urgencia, no pide datos ni te obliga a hacer clic. Aun así, la regla de oro aplica: si quieres revisar tu cuenta, entra tú directamente, no por el enlace.

El hábito que te protege

Fíjate que en ningún momento hablamos de virus, firewalls ni configuraciones. La primera capa de tu seguridad digital no es técnica: es una pausa de 30 segundos y cinco preguntas. Ese hábito te protege a ti, y si lo compartes —con tu familia, en tu trabajo— protege a los tuyos, porque estos correos les llegan a todos.

La seguridad se aprende igual que la programación: no memorizando teoría, sino practicando con casos concretos hasta que la mirada se te entrena sola. Empieza por este chequeo; el resto se construye encima.

← Volver al blog