El phishing por correo electrónico es una de las técnicas de fraude más antiguas y, aun así, de las más eficaces. Consiste en enviar un email que imita a una entidad de confianza (tu banco, una empresa de mensajería, una plataforma de streaming o un organismo público) para que hagas clic en un enlace, descargues un archivo o facilites tus credenciales. Esta guía explica cómo funciona, qué señales lo delatan y qué hacer si ya has caído.
Cómo funciona un ataque de phishing
El objetivo casi siempre es el mismo: conseguir datos que permitan al estafador acceder a tu dinero o a tus cuentas. El proceso suele seguir estos pasos:
- El cebo: recibes un correo con apariencia oficial, con logotipos, colores y firmas copiados de la entidad real.
- La urgencia: el mensaje te avisa de un problema (cuenta bloqueada, pago rechazado, paquete retenido, devolución pendiente) que debes resolver «de inmediato».
- El enlace: te lleva a una web que imita a la original, con una dirección parecida pero distinta.
- La captura: introduces usuario, contraseña, datos de tarjeta o códigos, y esa información llega directamente al estafador.
- La explotación: con esos datos acceden a tu banca online, hacen compras o venden tus credenciales a terceros.
En otras variantes, el correo incluye un archivo adjunto (una supuesta factura o notificación) que instala programas maliciosos en tu dispositivo.
Ejemplos de mensajes habituales
Estos son textos típicos, inventados aquí a modo de ilustración, que reproducen el estilo de los correos fraudulentos:
- «Hemos detectado un acceso inusual a su cuenta. Verifique su identidad en las próximas 24 horas para evitar el bloqueo».
- «Su suscripción no se ha podido renovar. Actualice su método de pago para no perder el servicio».
- «Tiene una devolución pendiente de 186,40 €. Acceda al formulario para recibirla».
- «Adjuntamos la factura de su último pedido. Abra el documento para revisar el importe».
Señales de alerta para detectar un correo falso
| Elemento | Qué revisar | Señal de alerta |
|---|---|---|
| Remitente | La dirección completa, no solo el nombre visible | Dominios raros, con letras cambiadas o terminaciones extrañas |
| Enlaces | Pasa el ratón por encima sin hacer clic | La dirección real no coincide con la web oficial de la entidad |
| Tono | Si te presiona con plazos muy cortos | Amenazas de bloqueo, multas o pérdida del servicio |
| Saludo | Si usa tu nombre o una fórmula genérica | «Estimado cliente» en mensajes que dicen ser personales |
| Petición | Qué datos te solicitan | Claves completas, PIN, CVV o códigos recibidos por SMS |
| Adjuntos | Tipo de archivo | Archivos comprimidos, ejecutables o documentos que piden «habilitar contenido» |
Regla básica: ninguna entidad legítima te pedirá por correo que introduzcas tu contraseña completa, el PIN de tu tarjeta o los códigos de confirmación que te llegan por SMS.
Cómo protegerte en el día a día
- Accede a tu banco o a cualquier servicio escribiendo tú la dirección en el navegador o desde la app oficial, nunca desde el enlace de un correo.
- Activa la verificación en dos pasos en tu correo y en tus cuentas importantes.
- Usa contraseñas distintas para cada servicio; un gestor de contraseñas facilita mucho la tarea.
- Mantén actualizados el sistema operativo, el navegador y el antivirus.
- Desconfía de cualquier mensaje que mezcle urgencia y dinero, aunque parezca venir de alguien conocido.
El phishing también llega por SMS y por teléfono. Si quieres conocer esas variantes, consulta nuestras guías sobre smishing y sobre el vishing o llamadas del falso departamento de seguridad.
Qué hacer si has hecho clic o has facilitado tus datos
Actuar rápido reduce el daño. Sigue este orden:
- Si diste datos bancarios: llama a tu banco por el teléfono oficial (el que figura en tu tarjeta o en la app) y pide bloquear tarjetas y accesos.
- Cambia contraseñas: empieza por el correo y la banca online, y sigue por cualquier servicio en el que usaras la misma clave.
- Si abriste un adjunto: desconecta el equipo de internet y analízalo con un antivirus actualizado; si tienes dudas, pide ayuda técnica.
- Revisa movimientos: comprueba tu cuenta y tus tarjetas durante las semanas siguientes.
- Guarda pruebas: no borres el correo; haz capturas y conserva la dirección del remitente y del enlace.
- Denuncia: ante la Policía Nacional o la Guardia Civil, sobre todo si se han producido cargos.
Si ves cargos que no reconoces, el Real Decreto-ley 19/2018 de servicios de pago regula las operaciones no autorizadas: debes comunicarlas al banco sin demora y, como máximo, en un plazo de 13 meses desde el cargo. En nuestra guía sobre cómo reclamar al banco una transferencia o un cargo con tarjeta tienes más detalles. Para orientación técnica gratuita puedes llamar al 017, la línea de ayuda en ciberseguridad de INCIBE.
Si el fraude te ha causado pérdidas y necesitas ordenar la documentación o valorar tus opciones, puedes solicitar una consulta con nuestro equipo.
