Cinco comprobaciones para detectar un correo de phishing antes de hacer clic
Aprende a identificar correos fraudulentos revisando la dirección real, inspeccionando enlaces con cautela y detectando la falsa urgencia antes de cometer un error.
La respuesta corta: Comprueba siempre la dirección real que se esconde tras el nombre del remitente, pasa el cursor sobre el enlace para examinar el dominio exacto sin pulsar, desconfía de cualquier mensaje que exija una acción inmediata y accede a los servicios tecleando la dirección oficial en el navegador.
El correo electrónico sigue siendo la vía de entrada más habitual para los ataques dirigidos a particulares y empresas. Aunque los filtros antispam detienen gran parte de la basura electrónica, los intentos de suplantación de identidad (phishing) más elaborados consiguen colarse a diario en la bandeja de entrada. La clave para neutralizarlos no radica en herramientas complejas, sino en adquirir una rutina metódica de comprobación antes de interactuar con cualquier mensaje dudoso.
1. El nombre visible frente a la dirección real
Cualquier remitente puede configurar su cliente de correo para mostrar un nombre como «Soporte de Google», «Banco Santander» o el nombre de tu propio jefe. Sin embargo, el nombre visible no garantiza la identidad técnica del mensaje.
- Despliega los detalles del remitente: pulsa o pasa el ratón por encima del nombre para ver la dirección completa que hay entre corchetes o paréntesis.
- Examina el dominio tras la arroba: un mensaje legítimo de tu banco llegará desde un dominio propio de la entidad, nunca desde proveedores gratuitos (como Gmail u Outlook) ni desde dominios con sufijos extraños o errores tipográficos deliberados (como sustituir una «l» minúscula por un número «1»).
Revisar con calma este detalle encaja dentro de una buena gestión del correo, donde clasificar y verificar remitentes ahorra sorpresas desagradables.
2. Inspeccionar el enlace sin tocarlo
El texto que ves en un correo no tiene por qué coincidir con la dirección web a la que te lleva. Un botón o una frase pueden mostrar un enlace aparentemente inofensivo, pero apuntar a un servidor controlado por atacantes.
- En el ordenador: sitúa el cursor sobre el hipervínculo sin hacer clic. En la esquina inferior de la pantalla o en una pequeña ventana flotante aparecerá la URL de destino real.
- Cuidado con los subdominios: la parte que define a quién pertenece la página es el dominio principal, justo antes de la primera barra diagonal tras el protocolo. Por ejemplo, en seguridad.banco.com.servidor-externo.net/login, el sitio real es servidor-externo.net, no tu banco.
- En el móvil o tableta: mantener pulsado un enlace para previsualizarlo entraña el riesgo de abrirlo por error. Si tienes dudas en el teléfono, no lo toques; abre el navegador por tu cuenta y entra directamente.
3. La trampa de la urgencia y las consecuencias graves
Los correos fraudulentos casi siempre apelan a una emoción primaria: el miedo a perder acceso a una cuenta, la sorpresa por un cargo imprevisto o el estrés por una factura pendiente. Frases como «su cuenta será bloqueada en 24 horas» o «pago rechazado, actualice sus datos ya» buscan forzar una reacción impulsiva.
Cuando estés trabajando con prisa, párate un segundo. Tomarse el tiempo de planificar el día antes de abrir el correo reduce de forma drástica la posibilidad de caer en estas trampas diseñadas para pillarte desprevenido.
4. Adjuntos sospechosos y formatos poco habituales
El phishing no siempre busca que introduzcas credenciales en una web falsa; a veces pretende que ejecutes código dañino en tu equipo a través de un archivo adjunto.
- Desconfía de archivos comprimidos (.zip o .rar) que afirman contener una factura o un albarán de entrega.
- Evita abrir documentos que soliciten activar macros o contenidos dinámicos para poder leerlos.
- Presta atención a extensiones engañosas, como dobles nombres de archivo (por ejemplo, factura.pdf.exe).
5. El principio de acceso independiente
Si tras revisar el mensaje sigues teniendo dudas razonables sobre si una notificación de tu banco, de una empresa de paquetería o de tu proveedor de correo es auténtica, aplica una regla de oro: nunca uses los enlaces del correo.
Abre una pestaña nueva en el navegador, escribe tú mismo la dirección oficial del servicio o utiliza la app oficial de la entidad desde tu móvil. Si realmente existe un aviso pendiente, una factura impagada o una necesidad de cambiar la contraseña, el aviso aparecerá en el panel de control oficial una vez que inicies sesión.
Preguntas frecuentes
- ¿Qué debo hacer si he pulsado en un enlace de phishing?
- Cambia inmediatamente la contraseña de la cuenta afectada desde la web oficial del servicio, cierra las sesiones activas en todos los dispositivos y activa la verificación en dos pasos. Si facilitaste datos bancarios, contacta de inmediato con tu entidad.
- ¿Puede infectarse mi dispositivo solo por abrir y leer un correo?
- En la inmensa mayoría de los casos no hay peligro por abrir o leer un correo electrónico en texto plano. El riesgo real surge al pulsar en enlaces fraudulentos, rellenar formularios falsos o descargar y ejecutar archivos adjuntos.
- ¿Cómo puedo saber si la dirección de un remitente es auténtica?
- Despliega la información completa del remitente en tu gestor de correo para ver la dirección que va detrás del nombre. Fíjate en el texto que sigue a la arroba: debe coincidir exactamente con el dominio web oficial de la organización que dice escribirte.