Te llega un SMS de «tu banco» avisando de un movimiento sospechoso, un correo de «Correos» diciendo que tienes un paquete retenido, o un mensaje de WhatsApp de un «familiar» pidiendo dinero urgente. Todos tienen algo en común: quieren que actúes rápido, sin pensar, antes de que te des cuenta de que es falso. El phishing (la técnica de hacerse pasar por una entidad real para robarte datos o dinero) ha evolucionado mucho, y los mensajes de hoy ya no tienen las faltas de ortografía evidentes de hace años. En este artículo vamos a ver, con ejemplos de trucos actuales, cómo identificar un intento de estafa antes de hacer clic en nada.
Las señales que delatan un mensaje falso, aunque esté bien escrito
Urgencia artificial: «tu cuenta se bloqueará en 24 horas», «paga ahora o perderás el envío», «actividad sospechosa detectada, verifica inmediatamente». Las entidades reales rara vez presionan con plazos tan cortos por SMS o email; es la táctica número uno para que no pares a pensar.
Remitente que no cuadra del todo: el nombre que aparece puede decir «Banco Santander», pero si tocas o pasas el cursor sobre el remitente, la dirección real suele ser algo como «notificaciones@bancsantnder-alertas.com» o un número de teléfono normal y corriente, no un número corto oficial.
Enlaces que no llevan donde dicen: el texto del enlace puede decir «correos.es», pero el destino real (si mantienes pulsado sin soltar en el móvil, o pasas el cursor por encima en el ordenador) es una web completamente distinta, normalmente con un dominio raro (.xyz, .top, o una URL larguísima con números).
Te piden datos que la entidad nunca pediría así: ningún banco, ni Correos, ni la Agencia Tributaria te van a pedir tu contraseña completa, el código de una tarjeta de coordenadas, o el código de verificación por SMS a través de un enlace. Si te lo piden, es phishing con total seguridad.
Ejemplos reales de trucos actuales
El «paquete retenido»: un SMS que simula ser de Correos, SEUR o DHL, avisando de que hay que pagar una pequeña cantidad (1-3 euros) de «aranceles» o «gastos de gestión» para liberar un paquete. El enlace lleva a una página que imita la web oficial y te pide los datos completos de la tarjeta.
Otro clásico es el ‘acceso sospechoso’ bancario: un email o SMS que dice haber detectado un inicio de sesión desde un dispositivo nuevo, con un botón de «No fui yo, verificar cuenta» que lleva a una web idéntica a la de tu banco, diseñada solo para robar tus credenciales cuando las escribes.
También está el ‘familiar en apuros’ por WhatsApp: un mensaje desde un número desconocido diciendo «papá/mamá, he cambiado de número, necesito que me hagas una transferencia urgente» — apela directamente a la emoción para que actúes sin verificar.
Un truco más sutil es el código de verificación ‘por error’: te llega un SMS con un código de verificación real (de WhatsApp, de tu banco) y casi a la vez, alguien te escribe diciendo que te lo mandó «por error» y que se lo reenvíes. En realidad, están intentando entrar en tu propia cuenta usando ese código que tú mismo les facilitas.
Qué hacer paso a paso ante un mensaje sospechoso
No hagas clic en el enlace ni descargues ningún archivo adjunto, por curiosidad que tengas de comprobar de qué se trata. Verifica directamente desde la fuente oficial: si dice ser tu banco, abre la app oficial o llama al teléfono que tienes guardado tú (nunca el que aparece en el mensaje sospechoso). Si dice ser un paquete, entra directamente en la web de la empresa de mensajería escribiendo tú la dirección, no a través del enlace recibido. Si es un familiar pidiendo dinero por un canal inusual, llama por teléfono para confirmar su voz antes de hacer nada. Y, en general, borra o marca como spam el mensaje una vez confirmado que es falso, sin reenviarlo ni responder, ya que responder confirma al estafador que tu número o email está activo.
Qué hacer si ya has hecho clic o has dado algún dato
Si has introducido una contraseña en una web falsa, cámbiala de inmediato en el sitio oficial real, y también en cualquier otro servicio donde uses esa misma contraseña. En caso de haber dado datos de una tarjeta, contacta con tu banco cuanto antes para bloquearla y solicitar una nueva; la mayoría de bancos tienen un teléfono de emergencia 24 horas para estos casos. Y si lo que has facilitado es un código de verificación, cambia la contraseña de esa cuenta inmediatamente y revisa si hay sesiones abiertas desde dispositivos que no reconozcas (la mayoría de apps permiten cerrarlas todas desde los ajustes de seguridad).
Preguntas frecuentes
¿Los mensajes de phishing siempre tienen faltas de ortografía? No necesariamente; los más recientes están cada vez mejor escritos, así que no te fíes solo de eso para descartarlos.
¿Es seguro abrir el mensaje para leerlo? Sí, leer el mensaje no supone ningún riesgo; el peligro está en hacer clic en enlaces o abrir archivos adjuntos.
¿Puedo denunciar estos mensajes? Sí, puedes reenviarlos a organismos como el INCIBE (Instituto Nacional de Ciberseguridad) o bloquear y reportar el número o remitente directamente desde tu app de mensajería o correo.
¿Por qué me llegan estos mensajes justo ahora? Los estafadores suelen aprovechar fechas señaladas (campañas de compras, declaración de la renta, rebajas) porque saben que hay más gente esperando paquetes o gestionando temas bancarios en esos momentos.
Conclusión
El phishing depende de que actúes rápido y sin pensar, así que la mejor defensa es exactamente la contraria: pararte, comprobar el remitente y el enlace real, y verificar siempre por un canal que hayas elegido tú, nunca por el que te ofrece el propio mensaje sospechoso. Con las señales de este artículo en mente, vas a poder identificar la inmensa mayoría de estos intentos antes de que te causen ningún problema.
Escrito por Julian Casero, técnico en electrónica y reparador de móviles desde hace más de 5 años. En ResuelveTech comparto soluciones probadas para los problemas más comunes de tu móvil y tu PC.