Cómo Identificar un Correo de Phishing en 10 Segundos (Guía con Ejemplos Reales)

Hay una diferencia enorme entre saber, en abstracto, que el phishing existe, y reconocerlo en los diez segundos que realmente tienes antes de decidir si haces clic o no. La mayoría de las capacitaciones de seguridad se quedan en lo primero. Esta guía se enfoca en lo segundo: señales concretas, rápidas de verificar, que puedes aplicar sin necesidad de ser un experto técnico.

La mayoría de los clientes de correo muestran un nombre amigable — "Banco XYZ", "Soporte Técnico" — que puede ser configurado libremente por quien envía el mensaje, sin ninguna relación con la dirección de correo real detrás. Tocar o pasar el cursor sobre el nombre del remitente casi siempre revela la dirección completa. Un correo que dice venir de tu banco, pero cuya dirección real termina en un dominio genérico o claramente distinto al oficial, es la señal más rápida y más confiable que existe.

"Tu cuenta será suspendida en 24 horas." "Actividad sospechosa detectada, verifica ahora." "Última oportunidad para reclamar tu reembolso." El phishing depende de que actúes antes de pensar, y la urgencia artificial es la herramienta más común para lograrlo. Las comunicaciones legítimas de instituciones serias rara vez presionan con plazos tan agresivos para acciones que involucran datos sensibles o dinero.

Pasar el cursor sobre cualquier enlace en un correo (sin hacer clic) muestra la URL real de destino en la mayoría de los clientes de correo, generalmente en la esquina inferior de la pantalla. Si el texto del enlace dice "Ingresa a tu cuenta bancaria" pero la URL real apunta a un dominio que no reconoces, o que se parece al oficial pero con una letra cambiada o un dominio adicional agregado, es phishing. Esta es, probablemente, la verificación individual más efectiva de todas.

El phishing dirigido y bien elaborado ya casi no tiene errores de ortografía evidentes — esa señal, aunque todavía útil para el phishing masivo genérico, ya no es suficiente por sí sola. Lo que sí sigue apareciendo con frecuencia son inconsistencias más sutiles: un logo ligeramente distinto en resolución o color al oficial, un pie de página con información de contacto que no coincide con la de la empresa real, o un formato de firma que no sigue el estándar habitual de esa organización.

Ninguna institución financiera legítima pide, por correo electrónico, que envíes tu contraseña completa, tu clave dinámica, o los números completos de tu tarjeta. Si el correo pide directamente información que una entidad real nunca solicitaría por ese canal, no hace falta analizar nada más — es phishing, sin importar qué tan convincente se vea el resto del mensaje.

Un correo que llega sobre una factura de un proveedor con el que nunca has trabajado, una notificación de envío de un pedido que nunca hiciste, o una solicitud de pago relacionada con un contrato que no existe, son señales de contexto que a menudo se pasan por alto en el apuro. Antes de actuar sobre cualquier correo con implicaciones financieras, vale la pena preguntarse: ¿esto tiene sentido dado lo que realmente está pasando en mi trabajo o mi vida en este momento?

La verificación más confiable no está dentro del correo mismo — está fuera de él. Si el correo dice ser de tu banco, no uses ningún enlace ni número de teléfono que aparezca en el mensaje; entra directamente a la app oficial o llama al número que ya tenías guardado de antes. Si dice ser de un proveedor pidiendo cambio de datos bancarios, llama por un canal ya conocido para confirmar antes de procesar cualquier pago — la variante que cubrimos en detalle en nuestra guía sobre fraude del CEO y compromiso de correo corporativo.

No respondas, no hagas clic en ningún enlace, y repórtalo al equipo de TI o seguridad de tu empresa en lugar de simplemente borrarlo — cada reporte ayuda a identificar patrones de campañas dirigidas contra la organización. Si ya hiciste clic o ingresaste información antes de darte cuenta, cambia inmediatamente las credenciales afectadas y notifica al equipo de seguridad sin demora; entre más rápido se actúa, menor es la ventana de exposición.