Guía anti-phishing

Cómo detectar un SMS o email de phishing

Señales de alarma reales, ejemplos habituales en España y qué hacer si ya has hecho clic.

Las señales de alarma más habituales

Las estafas por phishing han mejorado mucho en los últimos años, pero casi siempre repiten los mismos trucos. Si el mensaje que has recibido tiene varias de estas señales, desconfía:

Urgencia o amenaza. «Tu cuenta será suspendida en 24 horas», «último aviso», «paquete retenido en aduanas». Buscan que actúes sin pensar.
Te piden datos que nunca deberías dar por SMS o email. Contraseñas, códigos de verificación, el PIN o el número completo de tu tarjeta. Ninguna empresa seria los pide así.
Un enlace acortado o raro. Direcciones tipo bit.ly, cutt.ly o dominios con palabras añadidas («correos-envio-tracking.com») en vez del dominio oficial.
Saludo genérico. «Estimado cliente» en vez de tu nombre, cuando la empresa real sí conoce tus datos.
Premios o dinero inesperado. Loterías que no jugaste, reembolsos que no esperabas, regalos «exclusivos».
El remitente no cuadra. Un email que dice ser de tu banco pero viene de una dirección rara, o un SMS desde un número de móvil normal en vez del número corto habitual de la empresa.

El truco que más engaña: el mensaje puede tener el logo correcto, buena ortografía y sonar muy convincente. El dato que de verdad delata al phishing casi siempre es el dominio real del enlace, no el aspecto del mensaje. Pasa el ratón por encima del enlace (sin hacer clic) o mantenlo pulsado en el móvil para ver la URL completa antes de abrirlo.

Ejemplos típicos en España

«Paquete retenido» (suplantando a Correos, SEUR, DHL...)

Un SMS avisa de que tu paquete no se pudo entregar y pide pagar una pequeña cantidad (gastos de aduana, una «recogida») en un enlace. El objetivo es robar los datos de tu tarjeta en una página que imita a la empresa de mensajería.

«Problema con tu cuenta» (suplantando a tu banco)

Un email o SMS avisa de un acceso sospechoso o de que tu cuenta se bloqueará, con un enlace a una página idéntica a la de tu banco donde te piden usuario, contraseña y el código de la app.

«Hacienda te debe un reembolso»

Mensajes que imitan a la Agencia Tributaria ofreciendo una devolución, pidiendo datos bancarios o el DNI para «procesar el ingreso». Hacienda nunca pide estos datos por SMS o email.

Qué hacer si ya has hecho clic o has dado datos

No sigas rellenando nada en esa página, aunque te pida «confirmar» algo más.
Si diste una contraseña, cámbiala inmediatamente en el sitio real — y en cualquier otro sitio donde usaras la misma contraseña.
Si diste datos de tu tarjeta o cuenta bancaria, llama ya a tu banco (al teléfono que tengas guardado, no a uno que venga en el mensaje) para bloquear la tarjeta o vigilar movimientos.
Activa la verificación en dos pasos en tus cuentas importantes (email, banco, redes sociales) si todavía no la tenías.
Denúncialo. Puedes reenviar SMS de phishing al 7726 (gratis, operadores en España) y denunciar ante la Policía o la Guardia Civil si ha habido pérdida económica.
Avisa a tus contactos si el mensaje venía de una cuenta tuya hackeada (email, WhatsApp, redes sociales), por si ha llegado también a ellos en tu nombre.

Si tienes dudas sobre un mensaje concreto ahora mismo, puedes analizarlo con el comprobador de CazaTimos antes de decidir qué hacer.

Cómo protegerte de cara al futuro

Nunca hagas clic en enlaces de mensajes inesperados: entra a la web oficial escribiendo tú la dirección, o usa la app oficial.
Desconfía de cualquier mensaje que mezcle urgencia + dinero + un enlace.
Guarda los teléfonos oficiales de tu banco y de las empresas que más uses, para llamar siempre por ese canal ante cualquier duda.
Activa la verificación en dos pasos en el email, el banco y las redes sociales.
Si una oferta sincroniza con un sorteo, premio o deuda que no esperabas, es casi siempre un engaño.