¿Has recibido un SMS, WhatsApp o correo sospechoso y no sabes si es una estafa? Antes de pulsar ningún enlace, hay varias comprobaciones que puedes hacer para saber si un mensaje es falso o un intento de phishing. En esta guía aprenderás cómo identificar enlaces sospechosos, comprobar quién te envía el mensaje y detectar señales de fraude antes de introducir contraseñas, datos bancarios o información personal. También veremos qué hacer si ya has hecho clic por error.
Cómo saber rápidamente si un mensaje o enlace es una estafa
Desconfía si el mensaje te pide actuar con urgencia, introducir una contraseña, facilitar datos bancarios, realizar un pago o pulsar un enlace inesperado. Antes de hacer clic, comprueba el remitente, revisa cuidadosamente la dirección del enlace y entra en la web oficial escribiendo tú mismo su dirección en el navegador. Si supuestamente procede de tu banco, Correos, una empresa o una administración pública, verifica el aviso directamente desde su aplicación o página oficial.
Las señales que delatan un mensaje falso, aunque esté bien escrito
Urgencia artificial: «tu cuenta se bloqueará en 24 horas», «paga ahora o perderás el envío», «actividad sospechosa detectada, verifica inmediatamente». Las entidades reales rara vez presionan con plazos tan cortos por SMS o email; es la táctica número uno para que no pares a pensar.
Remitente que no cuadra del todo: el nombre que aparece puede decir «Banco Santander», pero si tocas o pasas el cursor sobre el remitente, la dirección real suele ser algo como «notificaciones@bancsantnder-alertas.com» o un número de teléfono normal y corriente, no un número corto oficial.
Enlaces que no llevan donde dicen: el texto del enlace puede decir «correos.es», pero el destino real (si mantienes pulsado sin soltar en el móvil, o pasas el cursor por encima en el ordenador) es una web completamente distinta, normalmente con un dominio raro (.xyz, .top, o una URL larguísima con números).
Te piden datos que la entidad nunca pediría así: ningún banco, ni Correos, ni la Agencia Tributaria te van a pedir tu contraseña completa, el código de una tarjeta de coordenadas, o el código de verificación por SMS a través de un enlace. Si te lo piden, es phishing con total seguridad.
Ejemplos reales de trucos actuales
El «paquete retenido»: un SMS que simula ser de Correos, SEUR o DHL, avisando de que hay que pagar una pequeña cantidad (1-3 euros) de «aranceles» o «gastos de gestión» para liberar un paquete. El enlace lleva a una página que imita la web oficial y te pide los datos completos de la tarjeta.
Otro clásico es el ‘acceso sospechoso’ bancario: un email o SMS que dice haber detectado un inicio de sesión desde un dispositivo nuevo, con un botón de «No fui yo, verificar cuenta» que lleva a una web idéntica a la de tu banco, diseñada solo para robar tus credenciales cuando las escribes.
También está el ‘familiar en apuros’ por WhatsApp: un mensaje desde un número desconocido diciendo «papá/mamá, he cambiado de número, necesito que me hagas una transferencia urgente» — apela directamente a la emoción para que actúes sin verificar.
Un truco más sutil es el código de verificación ‘por error’: te llega un SMS con un código de verificación real (de WhatsApp, de tu banco) y casi a la vez, alguien te escribe diciendo que te lo mandó «por error» y que se lo reenvíes. En realidad, están intentando entrar en tu propia cuenta usando ese código que tú mismo les facilitas.
Qué hacer paso a paso ante un mensaje sospechoso
No hagas clic en el enlace ni descargues ningún archivo adjunto, por curiosidad que tengas de comprobar de qué se trata. Verifica directamente desde la fuente oficial: si dice ser tu banco, abre la app oficial o llama al teléfono que tienes guardado tú (nunca el que aparece en el mensaje sospechoso). Si dice ser un paquete, entra directamente en la web de la empresa de mensajería escribiendo tú la dirección, no a través del enlace recibido. Si es un familiar pidiendo dinero por un canal inusual, llama por teléfono para confirmar su voz antes de hacer nada. Y, en general, borra o marca como spam el mensaje una vez confirmado que es falso, sin reenviarlo ni responder, ya que responder confirma al estafador que tu número o email está activo.
Qué hacer si ya has hecho clic o has dado algún dato
Si has introducido una contraseña en una web falsa, cámbiala de inmediato en el sitio oficial real, y también en cualquier otro servicio donde uses esa misma contraseña. En caso de haber dado datos de una tarjeta, contacta con tu banco cuanto antes para bloquearla y solicitar una nueva; la mayoría de bancos tienen un teléfono de emergencia 24 horas para estos casos. Y si lo que has facilitado es un código de verificación, cambia la contraseña de esa cuenta inmediatamente y revisa si hay sesiones abiertas desde dispositivos que no reconozcas (la mayoría de apps permiten cerrarlas todas desde los ajustes de seguridad).
Preguntas frecuentes
¿Los mensajes de phishing siempre tienen faltas de ortografía? No necesariamente; los más recientes están cada vez mejor escritos, así que no te fíes solo de eso para descartarlos.
¿Es seguro abrir el mensaje para leerlo? Sí, leer el mensaje no supone ningún riesgo; el peligro está en hacer clic en enlaces o abrir archivos adjuntos.
¿Puedo denunciar estos mensajes? Sí, puedes reenviarlos a organismos como el INCIBE (Instituto Nacional de Ciberseguridad) o bloquear y reportar el número o remitente directamente desde tu app de mensajería o correo.
¿Por qué me llegan estos mensajes justo ahora? Los estafadores suelen aprovechar fechas señaladas (campañas de compras, declaración de la renta, rebajas) porque saben que hay más gente esperando paquetes o gestionando temas bancarios en esos momentos.
¿Cómo puedo comprobar un enlace sospechoso sin abrirlo? En un ordenador puedes colocar el cursor sobre el enlace sin hacer clic para ver la dirección de destino. En el móvil, puedes mantener pulsado el enlace para previsualizar la dirección, siempre evitando abrirlo. Comprueba que el dominio esté escrito correctamente y, si tienes dudas, no uses ese enlace: entra directamente en la web oficial escribiendo su dirección en el navegador.
Conclusión
El phishing depende de que actúes rápido y sin pensar, así que la mejor defensa es exactamente la contraria: pararte, comprobar el remitente y el enlace real, y verificar siempre por un canal que hayas elegido tú, nunca por el que te ofrece el propio mensaje sospechoso. Con las señales de este artículo en mente, vas a poder identificar la inmensa mayoría de estos intentos antes de que te causen ningún problema.
Otra forma de proteger tu red es comprobar si alguien está usando tu WiFi sin permiso, algo que muchas veces pasa desapercibido.
Una de las estafas más habituales termina con una cuenta de Instagram hackeada. Si te ha pasado, aquí tienes cómo recuperarla.
Escrito por Julian Casero, técnico en electrónica y reparador de móviles desde hace más de 5 años. Comparte en ResuelveTech soluciones prácticas para los problemas tecnológicos del día a día.