Cómo detectar un correo de phishing: 12 señales de alerta

Un correo de phishing es un mensaje que finge venir de alguien en quien confías para que hagas clic en un enlace, abras un archivo, entregues una contraseña o envíes dinero. La mayoría se detectan comprobando quién envió realmente el mensaje, a dónde apuntan de verdad sus enlaces y si te presiona para actuar deprisa por algo que no esperabas.

El phishing se aprovecha de la confianza: el logotipo de un banco, el nombre de un compañero, el tono de una empresa de paquetería. Los hábitos que siguen llevan unos segundos y sirven en cualquier aplicación de correo.

Las 12 señales de alerta de un correo de phishing

1. El nombre visible y la dirección no coinciden. «PayPal Support» se puede asociar a cualquier dirección. Toca el nombre o pasa el cursor por encima para ver la dirección completa. Que una marca escriba desde una cuenta gratuita de correo web o desde un dominio sin relación con ella es una señal de alerta clara.
2. Un dominio parecido o disfrazado. Los atacantes registran dominios que difieren en un solo carácter (rnicrosoft.com, con «r n» en lugar de «m»), añaden palabras (paypal-secure-login.com) o usan el nombre real como subdominio (paypal.com.account-check.net, que pertenece a account-check.net). Los nombres de dominio internacionalizados permiten letras de otros alfabetos idénticas a las latinas, como una «а» cirílica en lugar de una «a». Su forma interna empieza por xn-- (punycode); si ves ese prefijo en un enlace o una dirección que no esperabas, desconfía.
3. Urgencia, miedo o presión. «Tu cuenta se cerrará en 24 horas», «factura impagada», «acciones legales». Los plazos artificiales existen para que no compruebes nada.
4. Enlaces cuyo texto y destino difieren. El texto visible de un enlace puede decir cualquier cosa. El destino real aparece al pasar el cursor con el ratón, en la barra de estado o en un cuadro emergente. Si el texto indica un sitio y el destino es otro, no hagas clic.
5. Adjuntos inesperados. Desconfía de cualquier archivo que no esperabas, y en especial de los archivos HTML (pueden abrir una página de inicio de sesión falsa muy convincente guardada en tu propio ordenador), los ZIP u otros archivos comprimidos, las imágenes de disco ISO e IMG, los archivos comprimidos protegidos con contraseña cuya clave viene en el cuerpo del correo y los documentos de Office que te piden «habilitar contenido» o macros. Los archivos comprimidos y las imágenes de disco son populares porque pueden ocultar el tipo de archivo real a los filtros de correo.
6. Una petición de credenciales o datos personales. Las empresas legítimas no te piden que confirmes tu contraseña, tu PIN, el número completo de tu tarjeta o un código de un solo uso por correo ni mediante un enlace de un correo.
7. Un código QR que te piden escanear. El phishing con QR («quishing») esconde el enlace dentro de una imagen para que los filtros no puedan leerlo, y lo abres en el móvil, que suele estar menos protegido que un ordenador de trabajo. Desconfía de los códigos QR en correos sobre la configuración de la MFA, la firma de documentos o problemas con una cuenta.
8. Una dirección Reply-To distinta. La línea From puede parecer correcta mientras las respuestas van a otro sitio. Al pulsar responder, comprueba la dirección que aparece en el campo Para. Una discrepancia es habitual en el fraude con facturas.
9. Un saludo genérico o datos erróneos. «Estimado cliente», «Estimado usuario» o tu dirección de correo usada como nombre indican una campaña masiva. Eso sí, que el nombre sea correcto no demuestra nada.
10. Una oferta demasiado buena para ser verdad. Reembolsos inesperados, premios, herencias, rendimientos en criptomonedas o un trabajo al que nunca te presentaste son un cebo. También lo es pedirte una pequeña tarifa para liberar un pago grande.
11. Un cambio de datos de pago o bancarios. En el compromiso del correo empresarial, un proveedor, un compañero o un directivo «actualiza» su cuenta bancaria o pide una transferencia urgente o tarjetas regalo. El correo puede proceder de una cuenta realmente comprometida, así que puede superar todas las comprobaciones técnicas.
12. Avisos o códigos de MFA que no has solicitado. Una ráfaga de solicitudes de aprobación en tu móvil, o un correo que te pide que le devuelvas un código, significa que alguien puede tener ya tu contraseña y está intentando superar el segundo factor. Rechaza la solicitud y cambia tu contraseña.

Guía rápida: dónde mirar

Cómo comprobar un enlace sin abrirlo

1. En un ordenador, pasa el cursor por encima del enlace y espera a que aparezca la dirección real en la parte inferior de la ventana o en un cuadro emergente.
2. En un móvil, mantén pulsado el enlace para ver la dirección. Algunos móviles muestran una vista previa en vivo de la página, así que es más seguro copiar el enlace y pegarlo en una aplicación de notas.
3. Busca el dominio registrado: lee el nombre del host de derecha a izquierda, hasta la primera barra simple. En https://login.example.com.secure-verify.io/account el dominio es secure-verify.io, no example.com.
4. Si necesitas entrar en el servicio, escribe tú mismo su dirección o usa un marcador o la aplicación oficial en lugar del enlace.

Nuestro Analizador de correos de phishing revisa el texto o las cabeceras que pegues en busca de enlaces engañosos, remitentes suplantados y otras señales de alerta, sin que tengas que abrir nada.

Cómo leer las cabeceras de un correo con seguridad

Todo correo lleva cabeceras ocultas que registran qué servidores lo gestionaron y si superó la autenticación. Verlas es seguro porque solo estás leyendo texto. Dónde encontrarlas:

• Gmail: abre el mensaje, elige el menú de tres puntos y después Mostrar original.
• Outlook en la web y el nuevo Outlook: abre el mensaje, elige el menú de tres puntos y después Ver y Ver detalles del mensaje.
• Outlook clásico para Windows: abre el mensaje, después Archivo y Propiedades, y mira en Encabezados de Internet.
• Apple Mail: Visualización, Mensaje, Todos los encabezados o Código fuente sin formato.

La línea más útil suele ser Authentication-Results, que añade tu propio proveedor de correo:

Authentication-Results: mx.example.net;
  spf=pass smtp.mailfrom=bounce.example-shop.com;
  dkim=pass header.d=example-shop.com;
  dmarc=pass header.from=example-shop.com

Comprueba que los dominios que aparecen aquí coinciden con la marca que esperas. Compara también las direcciones de From, Reply-To y Return-Path, y lee las líneas Received de abajo arriba para ver dónde empezó el mensaje. Si pegas las cabeceras en nuestro Analizador de cabeceras de correo, verás cada salto y cada resultado de autenticación de forma legible.

Qué pueden y qué no pueden decirte SPF, DKIM y DMARC

Estos tres estándares permiten que un servidor receptor compruebe si un mensaje viene realmente del dominio que dice:

• SPF enumera los servidores autorizados a enviar correo de un dominio, y se comprueba con el remitente del sobre (el Return-Path).
• DKIM añade una firma criptográfica que demuestra que un dominio se hizo responsable del mensaje y que las partes firmadas no se modificaron.
• DMARC exige que SPF o DKIM se superen para un dominio alineado con la dirección From visible, e indica a los receptores qué hacer cuando no es así: nada, cuarentena o rechazo.

Cuando una marca publica una política DMARC estricta, los delincuentes no pueden poner fácilmente ese dominio exacto en la línea From. Por eso el phishing recurre tan a menudo a dominios parecidos, trucos con el nombre visible o cuentas comprometidas. Un mensaje de paypa1-billing.com puede superar SPF, DKIM y DMARC sin problema para su propio dominio. Que se supere la comprobación demuestra quién envió el correo, no que el remitente sea honesto. En cambio, un fallo en un mensaje que dice venir de una gran marca es un motivo serio de sospecha.

Si gestionas un dominio, comprueba que tus propios registros están configurados con nuestro Comprobador de SPF y DMARC, y lee SPF, DKIM y DMARC explicados para ver los detalles de la configuración.

Qué hacer con un correo sospechoso

1. No hagas clic en los enlaces, no abras los adjuntos, no escanees códigos QR ni respondas.
2. Verifica por otro canal: llama a la persona a un número que ya tengas, o inicia sesión en el servicio escribiendo su dirección.
3. Denúncialo. En el trabajo, usa el botón «Informar de phishing» o reenvíalo como te pida tu equipo de TI. En Gmail y Outlook, usa la opción integrada Denunciar phishing (en Outlook, «Informar de phishing»). En el Reino Unido puedes reenviar los correos sospechosos al NCSC a report@phishing.gov.uk; en EE. UU. puedes denunciar el fraude a la FTC en reportfraud.ftc.gov.

Qué hacer si ya hiciste clic

Lo que importa es lo que ocurrió después del clic. Actúa rápido:

1. Si introdujiste una contraseña, cámbiala de inmediato en el sitio real, escribiendo la dirección a mano, y también en cualquier otra cuenta que use la misma contraseña. Después cierra todas las demás sesiones, algo que ofrecen la mayoría de los servicios grandes en sus ajustes de seguridad.
2. Activa o revisa la MFA. Elimina los dispositivos, las contraseñas de aplicación o los registros de autenticador que no reconozcas. Las passkeys y las llaves de seguridad físicas resisten el phishing porque solo funcionan en el sitio web auténtico.
3. Revisa los ajustes de tu buzón. Los atacantes que entran en una cuenta de correo suelen añadir reglas de reenvío o filtros que ocultan las respuestas. Busca reglas que no hayas creado tú.
4. Si abriste un adjunto o ejecutaste un archivo, desconecta el dispositivo de la red y avisa a tu equipo de TI, o, si es un dispositivo personal, haz un análisis completo con un software de seguridad actualizado.
5. Si enviaste dinero o datos de tu tarjeta, llama de inmediato a tu banco o al emisor de la tarjeta, usando el número que figura en la tarjeta o en su sitio web oficial. Cuanto más rápido actúes, más probabilidades hay de detener un pago.
6. Avisa a las personas que puedan ser el siguiente objetivo, como compañeros o contactos, si tu cuenta se usó para enviar mensajes.

Preguntas frecuentes

¿Pueden hackearte solo por abrir un correo de phishing?

Para los usuarios normales con aplicaciones de correo actualizadas, abrir un correo rara vez basta. El peligro viene de hacer clic en enlaces, abrir adjuntos, introducir datos o responder. Cargar imágenes remotas puede confirmar al remitente que tu dirección está activa.

¿Qué diferencia hay entre phishing y spear phishing?

El phishing se envía a muchísimas personas con un señuelo genérico. El spear phishing apunta a una persona u organización concreta y usa nombres, cargos, proyectos o proveedores reales para resultar creíble, lo que lo hace más difícil de detectar.

Si un correo supera SPF, DKIM y DMARC, ¿es seguro?

No. Superarlos solo demuestra que el dominio de la dirección From autorizó el mensaje. Los delincuentes pueden registrar sus propios dominios parecidos con registros válidos, y las cuentas reales comprometidas también los superan. Juzga siempre el dominio en sí y lo que te pide el mensaje.

¿Cómo compruebo si un enlace de un correo es seguro?

Pasa el cursor por encima o cópialo sin abrirlo, identifica el dominio registrado leyendo de derecha a izquierda y compáralo con el dominio real de la organización. Si tienes dudas, entra directamente en el sitio en lugar de usar el enlace.

¿Por qué los correos de phishing usan códigos QR?

Un código QR esconde el enlace dentro de una imagen que muchos filtros no decodifican, y te lleva al móvil, que puede carecer de las protecciones de un ordenador de trabajo gestionado y hace más difícil inspeccionar la dirección completa.