Cómo identificar intentos de phishing: guía práctica

Imagina que recibes un correo electrónico que parece venir de tu banco. El mensaje dice que tu cuenta ha sido comprometida y que debes hacer clic en un enlace para verificar tu identidad. Tu corazón se acelera un poco. Haces clic, introduces tu usuario y contraseña, y el sitio te confirma que todo está bien. Pero tres días después, tu banco te contacta con noticias preocupantes: alguien accedió a tu cuenta desde otro país.

Esto es phishing. No es un ataque técnico sofisticado contra servidores; es un ataque contra ti, contra tu instinto de confiar. Los atacantes fabrican un correo convincente, te engañan para que hagas clic, y luego capturan tus credenciales. Este artículo te enseña qué buscar para evitar caer en esa trampa.

Qué es el phishing y por qué funciona tan bien

El phishing es un ataque de ingeniería social: alguien finge ser una persona o entidad que confías (tu banco, un servicio que usas, un compañero de trabajo) para que hagas algo que los beneficia a ellos y te daña a ti. La mayoría de las veces, el objetivo es obtener tus credenciales (usuario y contraseña) o hacer que descargues malware (software malicioso).

Funciona porque explota dos realidades humanas. Primero, confiamos en las personas y organizaciones familares; nuestro cerebro está cableado para asumir que los correos que parecen auténticos probablemente lo son. Segundo, podemos estar ocupados, distraídos o asustados en el momento en que recibimos el mensaje, lo que nos hace menos cautelosos de lo que normalmente seríamos.

Señales de alerta: urgencia, genéricos y dominios extraños

Los atacantes usan ciertos patrones una y otra vez. El primero es la urgencia fabricada: "Tu cuenta será cerrada en 24 horas si no verificas tu identidad ahora". "Hemos detectado una actividad sospechosa". "Actúa inmediatamente". El propósito es que no pienses con claridad y hagas clic sin inspeccionar.

Otro patrón es el saludo genérico. Un correo auténtico de tu banco probablemente diría "Estimado [tu nombre]", porque tienen tu nombre en sus registros. Un phishing dice "Estimado usuario" o "Estimado cliente". No es una regla infalible (algunos sistemas legítimos también usan saludos genéricos), pero es una señal de alerta.

El patrón más importante es el dominio del remitente. Un dominio es la parte de una dirección de correo después del símbolo @. Si recibes un correo que parece de tu banco pero viene de una dirección como "[email protected]" o "[email protected]" (nota la letra cero en lugar del número), el dominio es falso. Los dominios verdaderos de organizaciones conocidas son muy específicos. Si tienes dudas, busca en Google el número de servicio al cliente oficial y llama directamente; no respondas al correo.

Solicitación de credenciales por correo electrónico es casi siempre phishing

Una regla muy confiable: las organizaciones legítimas casi nunca te piden que introduzcas tus credenciales por correo electrónico. Si tu banco te envía un mensaje que dice "Haz clic aquí para verificar tu contraseña", es casi con certeza phishing.

¿Por qué? Porque los sitios web auténticos no necesitan que les envíes tu contraseña. Cuando ingresas en un sitio legítimo, tu navegador establece una conexión segura directamente con los servidores de la organización. Nadie en el medio (ni siquiera tu proveedor de correo electrónico) ve tu contraseña. Un correo que pide tus credenciales demuestra que el remitente no tiene acceso a tus datos a través de medios normales, lo que es una bandera roja.

Por qué los URLs son tu defensa más fuerte

En 2024, los kits de phishing (herramientas que venden en internet) pueden clonar sitios web con precisión asombrosa. Un atacante puede crear una copia pixel-perfecta de la página de inicio de sesión de tu banco. El botón se ve igual. Los logos se ven iguales. Los colores se ven iguales. Pero la URL, la dirección en la barra de direcciones del navegador, no puede ser falsificada fácilmente.

Por ejemplo, si el sitio legítimo es www.tubank.com/login y el phishing es www.tubank-verify.com/login o www.tubank.com.verify-now.net, esos son dominios diferentes. Aprende a leer URLs con atención. La parte más importante es el dominio (la palabra principal entre // y /). Todo lo que viene después puede parecer auténtico.

Los administradores de contraseñas (password managers) son una defensa contra el phishing

Un administrador de contraseñas es un software que almacena de forma segura todos tus usuarios y contraseñas. Cuando ingresas en un sitio web auténtico, el administrador reconoce el dominio correcto y rellena automáticamente tu contraseña. Pero aquí está la parte crucial: si estás en un sitio falso (un phishing), el dominio será incorrecto y el administrador se negará a rellenar tu contraseña. Te obligará a detener, a pensar, y a notar que algo está mal.

Esto no es magia. Es simplemente que una máquina puede leer dominios con más precisión que un humano apresurado. Un administrador de contraseñas no te protege si deliberadamente ignoras la advertencia, pero convierte el phishing en mucho trabajo. Muchos ataques requieren velocidad; si ralentizas el proceso, evitas el ataque.

Más allá del correo: smishing y vishing

El phishing por correo electrónico es el más común, pero existen variantes. El smishing es phishing por SMS (texto). Recibes un mensaje de texto que parece ser de tu banco o de un servicio: "Verifica tu cuenta aquí", seguido de un enlace. El vishing es phishing por voz: te llama alguien que dice ser de tu banco y te pide tu contraseña o PIN. Las defensas son similares: desconfía de las solicitudes inesperadas de credenciales, verifica llamando al número oficial de la organización, e inspecciona URLs en los SMS antes de hacer clic.

Resumen: el phishing no es inevitable

No existe defensa perfecta. Un atacante suficientemente determinado y con información sobre ti podría crear un ataque personalizado (llamado spear phishing) que sea difícil de detectar. Pero el 99 por ciento del phishing sigue patrones predecibles: urgencia falsa, saludos genéricos, dominios extraños, solicitudes de contraseñas, y URLs incorrectas. Aprende a notar esos patrones. Lee las direcciones de correo y las URLs con lentitud. Desconfía de la urgencia. Y cuando dudes, llama directamente al número oficial de la organización.

Ahora que entiendes cómo identificar phishing, el siguiente paso es aprender cómo funcionan las contraseñas seguras y por qué los administradores de contraseñas son herramientas de seguridad, no de conveniencia. También te recomendamos explorar autenticación multifactor, un mecanismo que requiere más de un paso para ingresar a tu cuenta, lo que hace que incluso si alguien obtiene tu contraseña por phishing, no pueda acceder sin ese segundo factor.