¿Cómo identificar un correo de phishing?

¿Qué es un correo de phishing?

Un correo de phishing es un mensaje fraudulento diseñado para engañarte y hacerte revelar información confidencial, como contraseñas, datos bancarios o credenciales de acceso. Su objetivo no es infectar directamente tu dispositivo, sino manipularte para que actúes tú mismo: hacer clic en un enlace, descargar un archivo o completar un formulario falso. La palabra «phishing» proviene del inglés fishing (pescar), porque el atacante lanza un anzuelo y espera a que alguien pique.

Lo que hace especialmente peligroso al phishing es su capacidad de imitar fuentes de confianza. Un correo fraudulento puede suplantar a tu banco, a una plataforma de streaming, a una institución pública o incluso a un compañero de trabajo. El diseño puede ser impecable, el tono puede sonar profesional y el remitente puede parecer completamente legítimo a primera vista. Por eso no basta con confiar en el aspecto visual del mensaje.

Señales clave para detectar un correo de phishing

Detectar un correo fraudulento no exige conocimientos técnicos avanzados. Lo que sí exige es saber qué mirar y en qué orden. La mayoría de los correos de phishing fallan en al menos uno de estos cinco puntos, y con frecuencia fallan en varios al mismo tiempo. Revisarlos antes de actuar te dará la ventaja que los atacantes no quieren que tengas.

Remitente sospechoso o dominio falsificado

El primer lugar donde debes mirar es la dirección de correo del remitente, no el nombre visible. El nombre que aparece en tu bandeja de entrada puede decir «Banco Santander» o «Soporte de Google», pero la dirección real detrás de ese nombre puede ser completamente diferente. Los atacantes falsifican el nombre visible con facilidad; el dominio es más difícil de disfrazar, aunque lo intentan.

Presta atención a dominios que imitan al legítimo con cambios sutiles: una letra sustituida, un guion añadido o una extensión distinta. Por ejemplo, «soporte@paypa1.com» (con el número uno en lugar de la letra ele) o «banco-seguro.com» en lugar de «banco.com». A simple vista parecen iguales; al leerlos despacio, la diferencia se nota.

Urgencia artificial y amenazas veladas

La urgencia es la herramienta favorita del phishing. Frases como «Tu cuenta será bloqueada en 24 horas», «Pago pendiente: actúa hoy» o «Actividad sospechosa detectada: verifica ahora» están diseñadas para que reacciones antes de pensar. Ese estado de alerta que sientes al leerlas es exactamente lo que el atacante busca provocar. Cuando hay prisa, la revisión desaparece.

Una regla práctica: cualquier correo que te presione para actuar de forma inmediata merece más revisión, no menos. Las instituciones legítimas —bancos, plataformas digitales, organismos públicos— nunca exigen que resuelvas algo en minutos bajo amenaza de consecuencias graves. Si el tono del mensaje suena alarmante, tómate un momento antes de hacer cualquier cosa.

«Los correos de phishing crean urgencia artificial porque saben que una persona que actúa con prisa raramente se detiene a comprobar si el remitente es legítimo.» — Instituto Nacional de Ciberseguridad (INCIBE)

Errores de redacción y formato inconsistente

Aunque los correos de phishing modernos han mejorado mucho su redacción, todavía es frecuente encontrar señales en el texto. Un saludo genérico como «Estimado cliente» en lugar de tu nombre, un logo que no cuadra con el del sitio oficial o un diseño que parece ligeramente diferente al habitual son detalles que vale la pena notar. Las empresas legítimas cuidan su comunicación visual con consistencia.

También fíjate en incoherencias de tono o estilo. Si recibes un correo de alguien que conoces y su manera de escribir parece diferente a la habitual, es una señal legítima de alerta. Los atacantes que suplantan identidades personales suelen reproducir el nombre, pero no logran imitar el estilo. La intuición de que «algo no encaja» merece ser escuchada.

Enlaces que no llevan a donde dicen

Uno de los trucos más comunes del phishing es mostrar un texto de enlace que parece legítimo («Accede a tu cuenta en banco.com») mientras la URL real apunta a un dominio completamente diferente. Antes de hacer clic en cualquier enlace dentro de un correo, pasa el cursor por encima sin presionar: la URL real aparecerá en la barra inferior del navegador o en un pequeño recuadro emergente.

En dispositivos móviles puedes mantener el dedo pulsado sobre el enlace para ver la dirección antes de abrirla. Busca dominios que imiten al legítimo con cambios mínimos, como «micro-soft.com» en lugar de «microsoft.com», o que usen extensiones inusuales como «.xyz», «.tk» o «.info» para marcas conocidas. Si la URL no te convence, no hagas clic.

Archivos adjuntos no solicitados

Los archivos adjuntos son otra vía habitual de ataque. Si recibes un correo con un archivo que no esperabas —una factura, un presupuesto, un documento de Word que pide «habilitar macros» al abrirse— debes tratarlo como sospechoso hasta confirmar su origen. Este tipo de archivos puede contener software malicioso que se instala en tu dispositivo sin que lo notes.

Antes de abrir cualquier adjunto de procedencia dudosa, contacta directamente con el supuesto remitente a través de un canal diferente al propio correo: una llamada, un mensaje en otra plataforma o accediendo a la web oficial de la empresa. Nunca respondas al mismo correo para verificar su autenticidad, porque estarías comunicándote con el atacante.

Tipos de phishing que debes conocer

El phishing no existe en una sola forma. Con el tiempo, los atacantes han desarrollado variantes adaptadas a distintos canales y perfiles de víctimas. Conocer las diferencias entre ellos te ayuda a reconocerlos con más rapidez, independientemente del canal por el que lleguen. El correo electrónico sigue siendo el más común, pero no es el único.

Spear phishing: el ataque personalizado

El spear phishing es la versión dirigida y personalizada del phishing masivo. En lugar de enviar millones de correos genéricos, el atacante investiga a su víctima en redes sociales, LinkedIn u otras fuentes para redactar un mensaje que parece provenir de alguien de confianza. Puede mencionar tu nombre, tu empresa, tu cargo o una situación concreta de tu vida profesional. Eso lo hace mucho más difícil de detectar.

Este tipo de ataque suele apuntar a personas con acceso a información valiosa: empleados de finanzas, responsables de sistemas o directivos. Aunque representa una fracción pequeña del volumen total de phishing, es responsable de una proporción muy elevada de las brechas de seguridad registradas. La personalización es su principal fortaleza y tu mayor punto de vulnerabilidad frente a él.

Smishing y vishing: más allá del correo

El smishing es el phishing que llega por SMS o aplicaciones de mensajería. Un mensaje de texto que avisa de un «paquete retenido», una «multa pendiente» o un «movimiento inusual en tu cuenta» puede parecer legítimo porque aparece en el mismo hilo que los mensajes reales de tu banco o de un servicio oficial. La clave para detectarlo es la misma que con el correo: la URL adjunta o el número de teléfono remitente no coincide con el oficial.

El vishing, por su parte, se realiza mediante llamadas telefónicas. El atacante se hace pasar por un representante de tu banco, de soporte técnico o de una institución pública, y usa la conversación en tiempo real para presionarte y obtener información. El peligro del vishing es que la presión social de una llamada directa dificulta pensar con claridad. Si recibes una llamada inesperada solicitando datos, cuelga y llama tú mismo al número oficial de la entidad.

¿Cómo verificar si un correo es legítimo?

Antes de actuar sobre cualquier correo que te genere dudas, existen formas concretas de verificar su autenticidad sin necesidad de herramientas técnicas. El primer paso siempre es ir a la fuente oficial directamente, sin usar los enlaces del correo. Si el mensaje dice ser de tu banco, abre el navegador, escribe la dirección oficial del banco y accede desde allí. Si hay realmente un problema, lo verás reflejado dentro de tu cuenta.

También puedes comprobar el encabezado técnico del correo, que contiene información sobre el servidor desde el que fue enviado. En Gmail, por ejemplo, puedes acceder a esta información desde los tres puntos del menú y seleccionando «Mostrar original». Un correo legítimo de un banco o empresa grande mostrará una autenticación correcta en los registros SPF, DKIM y DMARC; si alguno de estos aparece como «falló» o no está presente, es una señal de alerta técnica.

Otra opción accesible es copiar el contenido sospechoso del correo (sin hacer clic en ningún enlace) y pegarlo en el buscador para ver si hay alertas o reportes de otros usuarios sobre esa misma campaña de phishing. Los ataques masivos suelen dejar rastro en foros de ciberseguridad y en bases de datos públicas de amenazas, lo que puede confirmarte rápidamente si estás ante un correo fraudulento conocido.

Qué hacer si recibes un correo de phishing

Recibir un correo de phishing no significa que hayas sido víctima de un ataque. El riesgo real empieza cuando interactúas con él: cuando haces clic en un enlace, descargas un archivo o introduces datos en un formulario. Si lo identificas a tiempo, la respuesta correcta es sencilla: no toques nada, no respondas y procede a reportarlo.

Si el correo suplantaba a una empresa o institución real, también es recomendable notificárselo directamente a esa organización. Muchas empresas tienen canales específicos para recibir reportes de phishing, lo que les permite alertar a otros clientes y bloquear el dominio fraudulento con mayor rapidez. Actuar así no solo te protege a ti, sino que también reduce el alcance del ataque.

¿Cómo protegerte de futuros ataques?

Identificar el phishing es el primer paso, pero la protección real viene de hábitos sostenidos en el tiempo. La autenticación en dos pasos (2FA) es una de las medidas más efectivas que puedes activar hoy mismo: aunque un atacante obtuviera tu contraseña, no podría acceder a tu cuenta sin el segundo factor de verificación, que normalmente llega a tu teléfono o aplicación de autenticación.

Mantener actualizados el sistema operativo y las aplicaciones también reduce tu superficie de exposición. Muchos ataques aprovechan vulnerabilidades informáticas presentes en versiones desactualizadas del software. Una actualización que postergues puede ser exactamente el punto de entrada que un atacante necesita. Activar las actualizaciones automáticas es una forma sencilla de cerrar esa puerta.

El phishing es parte de un ecosistema más amplio de ciberdelincuencia que evoluciona de forma constante. Entender sus mecanismos también te acerca al campo de la ingeniería en ciberseguridad, donde estos vectores de ataque se estudian, modelan y combaten con métodos técnicos cada vez más sofisticados. Cuanto más conoces sobre cómo operan los atacantes, más difícil se vuelve engañarte.

Preguntas frecuentes

¿Qué pasa si abres un correo de phishing sin hacer clic en nada?

Abrir un correo de phishing sin interactuar con su contenido rara vez causa daño directo. El riesgo real comienza cuando haces clic en un enlace, descargas un archivo adjunto o introduces datos en un formulario. Sin embargo, algunos correos muy elaborados pueden incluir imágenes de rastreo que confirman al atacante que tu dirección está activa, lo que puede derivar en más intentos. Por precaución, márcalo como phishing y elimínalo sin abrirlo si tienes dudas desde el primer momento.

¿Cómo sé si un enlace dentro de un correo es malicioso?

La forma más sencilla es pasar el cursor sobre el enlace sin hacer clic. En la barra inferior del navegador o en un recuadro emergente verás la URL real de destino. Si esa URL no coincide con el dominio oficial de la empresa que supuestamente envió el correo, el enlace es sospechoso. En móviles, mantén el dedo pulsado sobre el enlace para ver la dirección antes de abrirla. También puedes copiar la URL y pegarla en servicios como VirusTotal para comprobar si está registrada como maliciosa.

¿Puede el phishing afectar mi dispositivo móvil?

Sí. Los dispositivos móviles son vulnerables al phishing tanto a través del correo electrónico como mediante SMS (smishing), aplicaciones de mensajería y redes sociales. El smishing representa ya una parte significativa de las amenazas móviles activas, y su peligro radica en que los mensajes fraudulentos pueden aparecer en el mismo hilo de conversación que los mensajes legítimos de tu banco o de un servicio oficial. Los mismos principios de verificación aplican: revisa remitente, enlace y solicitud antes de actuar.

¿Qué diferencia hay entre phishing y spam?

El spam es correo no solicitado con fines generalmente publicitarios, sin intención necesariamente maliciosa. El phishing, en cambio, es un ataque deliberado cuyo objetivo es robar información confidencial, credenciales de acceso o dinero mediante engaño. Todo phishing puede llegar como spam, pero no todo el spam es phishing. La diferencia clave está en la intención: el spam molesta, el phishing daña.

¿Cómo reportar un correo de phishing en España?

En España, el organismo de referencia para reportar incidentes de phishing es el Instituto Nacional de Ciberseguridad (INCIBE), que dispone de una línea de ayuda en ciberseguridad accesible para ciudadanos y empresas. También puedes reportar el correo directamente desde tu cliente de correo usando la opción «Marcar como phishing» o «Reportar correo no deseado». Si el correo suplantaba a una entidad financiera, notifícalo además directamente al banco o empresa afectada para que puedan alertar a otros clientes.

¿Qué es el spear phishing y por qué es más peligroso?

El spear phishing es una variante de phishing personalizada y dirigida a una persona o grupo concreto. A diferencia del phishing masivo, el atacante investiga previamente a su víctima —usando redes sociales, LinkedIn u otras fuentes— para redactar un mensaje que menciona su nombre, empresa, cargo o situaciones reales de su entorno laboral. Esta personalización hace que el correo sea mucho más difícil de identificar como fraudulento, incluso para personas con experiencia en ciberseguridad. Es más raro, pero considerablemente más efectivo que el phishing genérico. Puedes ampliar este contexto en nuestra sección sobre tipos de malware más comunes, donde se aborda cómo estos ataques pueden derivar en infecciones.

¿Las empresas legítimas piden contraseñas por correo?

No. Ninguna empresa, banco, plataforma digital u organismo público legítimo te pedirá tu contraseña, número de tarjeta completo o código de verificación a través de un correo electrónico. Esta es una de las reglas más consistentes en el mundo de la seguridad digital. Si recibes un mensaje que solicita este tipo de información, puedes estar seguro de que se trata de un intento de fraude, independientemente de lo profesional que parezca su diseño o redacción.

Conclusión

Identificar un correo de phishing no depende de tener conocimientos técnicos avanzados, sino de saber dónde mirar. El remitente, el tono del mensaje, los enlaces y los adjuntos son los cuatro elementos que casi siempre revelan si un correo tiene intenciones fraudulentas. Aplicar esa mirada crítica de forma habitual es lo que separa a quien cae en la trampa de quien la detecta a tiempo.

Los hábitos que te protegen son simples: verifica antes de hacer clic, nunca actúes bajo presión y usa la autenticación en dos pasos en todas tus cuentas importantes. Cada una de estas prácticas reduce de forma significativa tu exposición a estos ataques, que seguirán evolucionando, pero que continuarán aprovechando los mismos principios psicológicos de siempre: la urgencia, la confianza y la distracción.

La ciberseguridad es un campo que va mucho más allá de detectar correos falsos, y si este tema te ha generado curiosidad, en este sitio web encontrarás más contenidos que te ayudarán a entender cómo funcionan las amenazas digitales y cómo los profesionales trabajan para contrarrestarlas. Seguir aprendiendo es la mejor inversión que puedes hacer para protegerte.

Sigue aprendiendo: