Qué son las estafas de phishing y por qué funcionan
El phishing no es simplemente “un virus”; es un truco astuto que busca que tú mismo le abras la puerta. El atacante se hace pasar por un banco, una empresa de mensajería, una red social o un servicio de soporte técnico, y te incita a hacer clic, descargar un archivo o entregar tus credenciales (o códigos de verificación) en una página web falsa.
Por dónde llega hoy (email, SMS, llamadas y QR)
Y ya no se limita solo al correo electrónico. También puede llegar a través de SMS (smishing), llamadas telefónicas (vishing) o incluso como un código QR que te lleva a un sitio engañoso.
Por qué el phishing funciona (el “botón emocional”)
El phishing casi siempre se basa en una emoción específica:
Las 4 emociones que usan: miedo, urgencia, recompensa y autoridad
- Miedo: “bloqueo”, “cargo sospechoso”, “incidencia”
- Urgencia: “último aviso”, “24 horas”
- Recompensa: “reembolso”, “premio”
- Autoridad: “soporte”, “seguridad”, “verificación”
Cuando sientes ese empujón emocional… es hora de detenerse.
Señales claras de phishing
No necesitas ser un experto. Si ves 2 o 3 de estas señales, actúa como si fuera phishing:
Señales en el mensaje y el enlace
- Te piden datos o códigos que no deberían solicitarte:
Contraseña, PIN, CVV, códigos SMS/OTP, claves de firma, etc. - El enlace “no cuadra”:
Dominios extraños, acortadores, subdominios raros o una URL que no es la oficial.
Señales en el remitente y en los adjuntos
- Remitente sospechoso (aunque el nombre parezca legítimo):
La dirección de correo real no coincide con la empresa o tiene pequeñas variaciones. - Errores y detalles “baratos”:
Traducciones extrañas, faltas de ortografía, saludos genéricos o un tono poco habitual para esa marca. - Adjunto inesperado:
“Factura”, “multa”, “pedido”, “documento” que no esperabas.
Señales cuando te sacan del canal oficial
- Te sacan de la app o del canal oficial:
“Confirma aquí”, “verifica en este enlace”, “rellena este formulario”.
Tipos de phishing más comunes
**Email phishing**
El clásico: un correo que contiene un enlace a una página clonada o un archivo adjunto malicioso.
**Smishing (SMS / mensajería)**
Mensajes que imitan avisos sobre envíos, multas, cargos o “seguridad” que incluyen enlaces engañosos.
**Vishing (llamadas)**
Te llaman “del banco o soporte” y te guían para que tú mismo autorices una operación o instales algo. Reglas típicas: mantén la calma, no cedas a la presión y cuelga si algo te parece sospechoso.
**QR phishing (qrishing / quishing)**
Recibes un código QR en un email, cartel o PDF, y al escanearlo, te redirige a una página falsa que intenta robar tus credenciales.
**El método infalible en la práctica: “Pausa + Verifica”**
Pasos para comprobar si el aviso es real (sin usar el enlace)
- No hagas clic en el enlace del mensaje.
- Accede a través de tu método habitual: la app oficial o escribiendo la web a mano.
- Si se trata de un banco o servicio, contacta con el número oficial (que puedes encontrar en la web, app o tarjeta).
- Si el aviso era legítimo, lo verás reflejado en tu cuenta.
Aplicar esto con disciplina puede cortar la mayoría de los fraudes.
5 hábitos para protegerte (sin complicaciones)
Medidas que reducen el riesgo de forma realista
- Mantén las actualizaciones automáticas en tu móvil y PC.
- Activa la autenticación de doble factor (MFA) siempre que sea posible; es mejor usar una app autenticadora que recibir SMS.
- Utiliza un gestor de contraseñas y claves únicas (si una se ve comprometida, no se ven afectadas todas).
- Configura alertas en tu banco para enterarte al instante de cualquier cargo.
- Mantén una desconfianza saludable con los códigos QR: si decides escanear uno, revisa la URL antes de abrirla.
Si ya has caído: plan rápido de acción
Si ya has caído en una trampa: aquí tienes un plan rápido de acción.
Pasos inmediatos (lo primero que debes hacer)
- Primero, corta la comunicación: no compartas más información, no realices pagos y evita instalar cualquier cosa.
- Cambia tus contraseñas, comenzando por tu correo electrónico, y cierra sesión en todas las plataformas que te lo permitan.
- Si has compartido información o autorizado alguna transacción, contacta a tu banco lo antes posible.
Pruebas y denuncia (para poder reclamar)
- Recopila pruebas: haz capturas de pantalla, guarda correos completos, anota números, enlaces y cualquier justificante que tengas.
- Finalmente, reporta la situación: avisa a la plataforma y utiliza los canales oficiales para hacer la denuncia.
Checklist rápido anti-phishing
- ¿Me mete prisa o miedo? Sospecha.
- ¿Me pide datos/códigos? Es phishing casi seguro.
- ¿El enlace no es el oficial? No entres.
- Verifica entrando por la app/web oficial o llamando al número oficial.
Fuentes consultadas
- INCIBE — definición de phishing y recomendaciones prácticas (phishing, smishing, vishing; identificación de correos maliciosos; QR phishing).
- CISA — reconocer y reportar phishing (señales, verificación y reporte).
- ENISA — guía/brief sobre phishing y patrones de campañas.
- FTC — cómo reconocer y evitar phishing, y medidas de protección recomendadas.
